Un furnizor adaugă o funcție care rulează, sub capotă, pe un model de limbaj sau pe un API al unei terțe părți. Pentru furnizor este o actualizare de produs, nu un eveniment care merită o notificare. Notele de lansare menționează un buton nou, nu tehnologia din spatele lui. Organizația dumneavoastră folosește deja software-ul, contractul a fost semnat pe baza vechii funcționalități, iar modificarea nu trece prin achiziții sau security — aceștia văd doar ce se întâmplă la o achiziție nouă, nu ce se adaugă discret la un produs existent.
Modelul este același ca la o extensie de browser cu acces la e-mailul dumneavoastră: accesul și funcția existau deja înainte ca cineva să le fi evaluat. La un furnizor, distanța este doar mai mare — nu puteți verifica codul sursă și trebuie să vă bazați pe ce spune furnizorul, sau nu spune.
Nu există un moment în care acest lucru se anunță de la sine. Un angajat folosește noua funcție pentru că este utilă, nu pentru că recunoaște o componentă AI. Furnizorul nu are niciun stimulent să anunțe activ acest lucru cât timp nimeni nu întreabă: nu generează venituri și poate genera întrebări. Iar șansa ca dumneavoastră să descoperiți asta singuri este mică, cu excepția cazului în care are loc un incident sau o verificare periodică o observă.
Asta face ca situația să fie asemănătoare cu un proiect pilot intern care a rămas activ: la fel ca la o instalație de test care nu a fost dezactivată niciodată, nu este vorba de rea-intenție, ci de absența unui moment în care cineva pune întrebarea. La un furnizor, se adaugă și dependența de disponibilitatea acestuia de a răspunde.
Punctul de plecare nu este să impuneți contractul din punct de vedere juridic la prima îndoială, ci mai întâi să știți ce se întâmplă. Asta începe cu întrebări adresate furnizorului: care componente ale produsului folosesc AI, ce date sunt transmise acolo și dacă acest lucru s-a schimbat de la semnarea contractului. Furnizorii care pot răspunde fără consecințe o fac mai probabil sincer decât furnizorii care suspectează că un răspuns onest pune contractul în pericol.
Aceeași logică se aplică în interiorul organizației: angajații care folosesc un instrument despre care nimeni nu știe că include AI raportează acest lucru abia atunci când raportarea nu atrage o sancțiune. Cum organizați acest lucru este descris la angajați care folosesc un instrument pe care nimeni nu l-a aprobat. Pentru un furnizor, principiul funcționează la fel: o întrebare fără subînțeles acuzator primește un răspuns diferit față de o întrebare percepută ca preludiu la sancțiuni.
Odată clarificat ce a adăugat furnizorul, întrebarea următoare nu este juridică, ci funcțională: ce rol joacă această componentă AI în proces, care este nivelul de risc și ce trebuie consemnat în privința ei. Aceleași întrebări le puneți pentru orice aplicație AI pe care o folosiți dumneavoastră înșivă, fie că ajunge prin intermediul unui furnizor, fie prin intermediul unui angajat care folosește un instrument gratuit — vedeți și date ale companiei care ajung într-o fereastră de chat gratuită. Ce consemnați pentru fiecare aplicație depinde de ce face aplicația respectivă și cu ce date, nu de originea aplicației. Un rezumat al aspectelor relevante se găsește la ce trebuie să consemnați pentru fiecare aplicație.
Un furnizor care adaugă AI fără notificare nu trebuie, deci, tratat separat ca incident, ci integrat în inventarul pe care îl construiți deja pentru restul organizației. Cum se construiește acest inventar în practică — inclusiv modul în care le acordați furnizorilor un loc în el — este descris la cum construiți un inventar AI.
Acesta nu este un motiv pentru o ofensivă juridică împotriva fiecărui furnizor care nu a raportat ceva. A stabili încălcarea contractului este o întrebare diferită de a stabili riscul, și cele două nu coincid automat: un furnizor poate să nu fi raportat ceva fără ca aplicația să implice un risc ridicat, și invers. Primul pas este evaluarea riscului, nu întrebarea vinovăției. Cine începe cu sancțiuni va primi de la furnizori, de acum înainte, mai puține informații, nu mai multe.
Odată clarificat care componente AI sunt active în organizație prin furnizori, angajați sau inițiative proprii, apare o altă întrebare: ce înseamnă asta pentru munca în sine. Nu orice aplicație AI care ajunge în organizație face, de fapt, ceva util pentru procesul în care se află — și nu orice proces care se desfășoară acum manual este, prin definiție, mai bun fără AI. Scanarea muncii de la FTE TO AI calculează, pentru fiecare sarcină, ce parte din muncă poate fi în mod rezonabil preluată de AI, indiferent de modul în care a apărut acel AI. Astfel, inventarul pe care îl construiți acum devine nu doar un instrument de guvernanță, ci și un punct de plecare pentru a determina unde AI face, de fapt, o diferență reală.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.