Kennisbank

Ponudnik je v vaš izdelek vgradil AI, ne da bi to povedal

Kako do tega pride

Ponudnik doda funkcijo, ki pod pokrovom deluje na jezikovnem modelu ali API-ju tretje stranke. Za ponudnika je to posodobitev izdelka, ne dogodek, ki bi zahteval obvestilo. V opisu posodobitve je omenjen nov gumb, ne pa tehnologija v ozadju. Vaša organizacija programsko opremo že uporablja, pogodba je bila podpisana na podlagi stare funkcionalnosti, in sprememba ne pride skozi nabavo ali varnost — te vidijo le, kaj se zgodi ob novem nakupu, ne pa, kaj se tiho doda k obstoječemu izdelku.

Vzorec je enak kot pri razširitvi brskalnika z dostopom do vaše e-poste: dostop in funkcija obstajata že preden jih kdorkoli oceni. Pri ponudniku je razdalja le večja — v izvorno kodo ne morete pogledati in se morate zanašati na to, kar ponudnik pove, ali ne pove.

Zakaj to ne izgine sami od sebe

Ni trenutka, ko bi se to samo javilo. Zaposleni uporabi novo funkcijo, ker je priročna, ne ker bi prepoznal komponento AI. Ponudnik nima spodbude, da to dejavno sporoči, dokler ga nihče ne vpraša: to ne prinaša prihodka, lahko pa sproži vprašanja. In verjetnost, da boste na to naleteli sami, je majhna, razen če pride do incidenta ali če to opazi redna kontrola.

S tem je to podobno interni pilotni postavitvi, ki je ostala visečа: tako kot pri testni postavitvi, ki je nikoli niso izklopili ne manjka zlonamernosti, temveč trenutek, ko nekdo postavi vprašanje. Pri ponudniku k temu prispeva še to, da ste odvisni od njegove pripravljenosti odgovoriti.

Kaj lahko storite

Izhodišče ni pravno uveljavljanje pogodbe ob prvem dvomu, temveč najprej razumeti, kaj se dogaja. To se začne s postavljanjem vprašanj ponudniku: kateri deli izdelka uporabljajo AI, kateri podatki gredo tam, in ali se je to spremenilo od podpisa pogodbe. Ponudniki, ki lahko odgovorijo brez posledic, to prej storijo resnicoljubno kot ponudniki, ki sumijo, da bi pošten odgovor ogrozil pogodbo.

Enaka logika velja znotraj organizacije: zaposleni, ki uporabljajo orodje, o katerem nihče ne ve, da vsebuje AI, to prijavijo šele, ko prijava ne prinese kazni. Kako to organizirati, je opisano pri zaposlenih, ki uporabljajo orodje, ki ga nihče ni odobril. Pri ponudniku deluje enako načelo: vprašanje brez obtoževanja dobi drugačen odgovor kot vprašanje, ki se razume kot uvod v sankcije.

Ko je jasno, kaj je ponudnik dodal, je naslednje vprašanje funkcionalno, ne pravno: kakšno vlogo ima ta komponenta AI v procesu, kakšna je stopnja tveganja in kaj je treba o tem zapisati. Ista vprašanja postavite pri vsaki uporabi AI, ki jo sami uvajate, ne glede na to, ali prihaja preko ponudnika ali preko zaposlenega, ki uporablja brezplačno orodje — glejte tudi poslovni podatki, ki pristanejo v brezplačnem klepetalnem oknu. Kaj morate zapisati za posamezno uporabo, je odvisno od tega, kaj ta uporaba počne in s katerimi podatki, ne od tega, od kod izvira. Pregled tega, kaj je pri tem pomembno, je na kaj morate zapisati za posamezno uporabo.

Ponudnika, ki doda AI brez obvestila, torej ne obravnavamo posebej kot incident, temveč ga vključimo v popis, ki ga že sestavljate za preostanek organizacije. Kako se ta popis v praksi sestavlja — vključno z tem, kako ponudnikom v njem določite mesto — je opisano na kako sestavite popis AI.

Kaj to ni

To ni razlog za pravni napad na vsakega ponudnika, ki nečesa ni sporočil. Ugotavljanje kršitve pogodbe je drugo vprašanje kot ugotavljanje tveganja, in ta dva se ne prekrivata samodejno: ponudnik lahko nekaj opusti sporočiti, ne da bi ta uporaba prinašala visoko tveganje, in obratno. Prvi korak je ocena tveganja, ne vprašanje krivde. Kdor začne s sankcijami, bo od ponudnikov v prihodnje prejemal manj informacij, ne več.

Naslednje vprašanje

Ko je jasno, katere komponente AI so preko ponudnikov, zaposlenih ali lastnih pobud dejavne znotraj organizacije, se pojavi drugo vprašanje: kaj to pomeni za samo delo. Ne vsaka uporaba AI, ki pride v organizacijo, dejansko koristi procesu, v katerem je — in ne vsak proces, ki zdaj poteka ročno, je po definiciji boljši brez AI. Delovni pregled podjetja FTE TO AI za vsako nalogo izračuna, kateri delež dela lahko razumno prevzame AI, ne glede na to, kako je ta AI prišel v organizacijo. To spremeni popis, ki ga zdaj sestavljate, ne le v orodje za upravljanje, temveč tudi v izhodišče za ugotavljanje, kje AI dejansko naredi razliko.