Dodávateľ pridá funkciu, ktorá pod kapotou beží na jazykovom modeli alebo API tretej strany. Pre dodávateľa je to aktualizácia produktu, nie udalosť, ktorá si vyžaduje oznámenie. Poznámky k vydaniu spomínajú nové tlačidlo, nie technológiu, ktorá za ním stojí. Vaša organizácia softvér už používa, zmluva je podpísaná na základe pôvodnej funkcionality, a zmena sa nedostane cez nákup ani bezpečnosť — tie vidia iba to, čo sa deje pri novom obstarávaní, nie to, čo si existujúci produkt ticho pridá.
Vzor je rovnaký ako pri rozšírení prehliadača s prístupom k vašej pošte: prístup a funkcia existujú už predtým, než ich niekto posúdil. Pri dodávateľovi je iba odstup väčší — do zdrojového kódu nevidíte a musíte sa spoliehať na to, čo dodávateľ povie, alebo nepovie.
Neexistuje okamih, kedy by sa toto samo nahlásilo. Zamestnanec novú funkciu používa, pretože je praktická, nie pretože v nej rozpoznáva AI komponent. Dodávateľ nemá motiváciu to aktívne nahlásiť, kým sa na to nikto nepýta: neprináša to tržby a môže to vyvolať otázky. A šanca, že na to narazíte sami, je malá, pokiaľ nenastane incident alebo si to nevšimne pravidelná kontrola.
Tým sa to podobá na interný pilotný projekt, ktorý zostal zabehnutý: podobne ako pri skúšobnom nastavení, ktoré sa nikdy nevypnulo tu nechýba zlý úmysel, ale chvíľa, kedy by sa niekto na to spýtal. Pri dodávateľovi k tomu ešte pribúda, že ste závislí od jeho ochoty odpovedať.
Východiskovým bodom nie je právne vymáhanie zmluvy pri prvej pochybnosti, ale najprv zistiť, o čo ide. To začína otázkami dodávateľovi: ktoré časti produktu používajú AI, aké dáta k nim smerujú, a či sa to zmenilo od podpisu zmluvy. Dodávatelia, ktorí môžu odpovedať bez následkov, odpovedajú pravdivejšie ako dodávatelia, ktorí tušia, že pravdivá odpoveď ohrozí zmluvu.
Rovnaká logika platí aj v rámci organizácie: zamestnanci, ktorí používajú nástroj, o ktorom nikto nevie, že obsahuje AI, to nahlásia až vtedy, keď nahlásenie neprináša trest. Ako to organizovať, je popísané pri zamestnancoch, ktorí používajú nástroj, ktorý nikto neschválil. Pri dodávateľovi platí ten istý princíp: otázka bez podozrievania dostane inú odpoveď než otázka, ktorá sa číta ako predohra k sankciám.
Ako náhle je jasné, čo dodávateľ pridal, nasledujúca otázka nie je právna, ale funkčná: akú úlohu hraje tento AI komponent v procese, aká je úroveň rizika, a čo by o tom malo byť zaznamenané. Rovnaké otázky si kladiete pri každej AI aplikácii, ktorú sami nasadzujete, či prichádza cez dodávateľa, alebo cez zamestnanca, ktorý používa bezplatný nástroj — pozrite tiež firemné dáta, ktoré sa dostanú do bezplatného chatového okna. To, čo si pri každej aplikácii zaznamenáte, závisí od toho, čo tá aplikácia robí a s akými dátami, nie od toho, odkiaľ pochádza. Prehľad toho, čo je pri tom relevantné, nájdete na čo musíte pri každej aplikácii zaznamenať.
Dodávateľ, ktorý pridá AI bez oznámenia, by sa teda nemal riešiť samostatne ako incident, ale mal by sa zahrnúť do inventára, ktorý už zostavujete pre zvyšok organizácie. Ako sa tento inventár v praxi zostavuje — vrátane toho, ako v ňom umiestnite dodávateľov — je popísané na ako zostavíte AI inventár.
Toto nie je dôvod na právnu offenzívu voči každému dodávateľovi, ktorý niečo nenahlásil. Zistiť porušenie zmluvy je iná otázka než zistiť riziko, a tieto dve sa nespájajú automaticky: dodávateľ môže niečo opomenúť nahlásiť bez toho, aby aplikácia predstavovala vysoké riziko, a naopak. Prvým krokom je posúdenie rizika, nie otázka viny. Kto začne sankciami, dostane od dodávateľov v budúcnosti menej informácií, nie viac.
Ako náhle je jasné, ktoré AI komponenty sú aktívne v organizácii prostredníctvom dodávateľov, zamestnancov alebo vlastných iniciatív, vzniká iná otázka: čo to znamená pre samotnú prácu. Nie každá AI aplikácia, ktorá sa dostane dovnútra, robí v procese, v ktorom sa nachádza, skutočne niečo užitočné — a nie každý proces, ktorý dnes prebieha manuálne, je automaticky lepší bez AI. Pracovný scan od FTE TO AI vypočíta pre každú úlohu, akú časť práce môže AI rozumne prevziať, nezávisle od otázky, ako sa tá AI dostala dovnútra. To robí z inventára, ktorý teraz zostavujete, nielen nástroj riadenia, ale aj východiskový bod na určenie, kde AI skutočne robí rozdiel.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.