Există un moment în care un angajat are o problemă și caută o soluție. Un text care trebuie realizat mai rapid, un set de date care trebuie să fie mai clar, un client care vrea răspuns chiar astăzi. Ghișeul IT durează prea mult, sau nu există niciun ghișeu. Astfel se creează un cont, se instalează o extensie, se face un abonament pe un card de credit pe care nimeni nu îl verifică. Nu din rea-voință. Din presiunea muncii.
Așa apare shadow AI. Nu ca o răscoală împotriva politicii, ci ca un răspuns practic la o lacună din politică. Și nu dispare de la sine, pentru că motivul pentru care a apărut — o sarcină care se realizează mai rapid cu AI decât fără — continuă să existe atâta timp cât politica nu oferă o alternativă. Interzicerea nu schimbă sarcina. Schimbă doar dacă știți sau nu că instrumentul este folosit.
O listă a software-ului aprobat spune ceva despre ce s-a solicitat și s-a acordat. Nu spune nimic despre ce se folosește efectiv. Între aceste două liste există o diferență care crește pe măsură ce instrumentele AI devin mai accesibile: fără instalare, fără proces de achiziție, doar un browser și un cont. O extensie de browser cu acces la e-mailul dumneavoastră se situează în afara oricărui proces de achiziție și în afara oricărei liste, în timp ce accesul pe care îl are este la fel de sensibil ca cel al unui sistem aprobat. Cine se uită doar la lista IT-ului se uită la o parte a realității și o numește întregul.
Singurul mod de a afla ce se folosește cu adevărat este să întrebați. Nu ca întrebare de control cu o sancțiune la final, ci ca inventariere fără consecințe pentru cei care cooperează. De îndată ce angajații suspectează că un răspuns sincer duce la o discuție cu un superior, informația nu dispare — pur și simplu se ascunde. Același instrument continuă să funcționeze, doar mai puțin vizibil. O organizație care dorește să cunoască amploarea shadow AI trebuie, deci, să reglementeze întâi condiția în care primește răspunsul. Nu este o chestiune de a pierde încrederea, ci o chestiune de ordine: întâi vizibilitate, apoi politică.
Odată ce inventarierea este realizată, apare ceva util: o listă de instrumente clasificate după rol și nivel de risc, nu după bine sau rău. Un instrument care rescrie text pentru uz intern implică un risc diferit de un instrument care procesează date despre clienți sau pregătește decizii. Unele dintre aceste instrumente au apărut dintr-o utilizare individuală care a crescut până a devenit standard de departament — vedeți un departament cu propriul abonament — și merită mai degrabă formalizare decât interdicție. Altele au fost create o singură dată pentru un proiect care s-a finalizat, dar accesul a rămas deschis; acesta este modelul descris la o configurație de test care nu a fost niciodată dezactivată. Clasificarea determină ce este necesar: uneori nimic, uneori o ajustare, uneori integrare în structura de guvernanță existentă.
Scopul acestei abordări nu este să identifice pe toți cei care au pornit un instrument fără permisiune. Scopul este să se cunoască ce funcționează, cine îl folosește și ce risc este asociat cu el — astfel încât un administrator, CIO sau General Counsel să poată răspunde la această întrebare atunci când este adresată, intern sau extern. Aceasta necesită o metodă fixă de inventariere care nu se oprește la o singură rundă, pentru că apar continuu instrumente noi. Modul în care această inventariere este construită în practică, inclusiv întrebarea cine o realizează și cât de des, este descris în cum construiți un inventar AI.
Structura de guvernanță în sine — ce reguli se aplică pentru ce nivel de risc, ce termene și obligații sunt asociate acestora — este un subiect separat cu propriul conținut actual, care nu este repetat aici. Ce contează pe această pagină este mecanismul: obținerea vizibilității fără a bloca fluxul de informații, și traducerea acestei vizibilități într-o clasificare care se aliniază cu ceea ce organizația a instituit deja în materie de gestionare a riscurilor.
Inventarul care scoate la iveală shadow AI nu face acest lucru doar în cazul instrumentelor individuale. El scoate la iveală și faptul că un furnizor a adăugat AI la un sistem deja în uz, fără să existe o discuție separată despre acest lucru — modelul din spatele unui furnizor care a integrat AI în produsul său — și că informații sensibile ale companiei sunt uneori pur și simplu lipite într-o fereastră de chat publică, așa cum este descris la date ale companiei într-o fereastră de chat gratuită. Toate aceste forme au aceeași origine: o sarcină pentru care AI funcționează mai rapid decât procesul existent.
Această constatare duce în mod logic la o altă întrebare, independentă de aprobare și risc: ce parte din munca însăși este potrivită să fie preluată de AI. Scanul de muncă al FTE TO AI calculează acest lucru per sarcină, pe baza a ceea ce implică efectiv munca, și arată unde automatizarea poate prelua o parte reală din timp — ca punct de plecare pentru o discuție despre ce se poate planifica cu acest lucru, nu ca înlocuire a întrebării de guvernanță care este centrală pe această pagină.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.