En AI-inventering är ingen ögonblicksbild av vad IT-avdelningen har anskaffat. Det är en löpande översikt över vad som faktiskt används i organisationen för att utföra arbete, oavsett om det användandet är godkänt, anskaffat eller till och med känt av den avdelning som formellt beslutar om programvara. Den som vill bygga upp en inventering som täcker denna skillnad måste söka på fler ställen än de flesta organisationer är vana vid.
Listan över godkända applikationer är en logisk utgångspunkt, men täcker bara det som har kommit in via ett formellt spår. AI-funktionalitet landar även via kanaler som inte identifieras som en 'ny applikation': en uppdatering av befintlig programvara, ett webbläsartillägg, en funktion som aktiveras av en leverantör utan separat meddelande. Varför IT-listan inte stämmer beskriver mekanismerna som gör att en inventering som enbart bygger på denna lista per definition är ofullständig. Det betyder inte att listan är onödig — det betyder att den är en källa bland andra, inte den enda.
Fakturor, prenumerationer och licensräkningar berättar en annan historia än IT-listan, eftersom inköp ofta sker på avdelningsnivå och inte alltid går via ett centralt IT-spår. Ett team som tecknar en prenumeration för ett verktyg med en AI-funktion registrerar det hos inköp eller ekonomi, inte nödvändigtvis hos IT. Vad inköps- och licensuppgifter avslöjar visar vilka mönster i dessa uppgifter pekar på AI-användning som ännu inte har upptäckts på annat håll: återkommande små prenumerationer, namngivning av verktyg, ökning av datatrafik till vissa domäner. Detta ersätter inte direkt förfrågan, men är ett sätt att veta var ni bör rikta den förfrågan först.
Nätverkstrafik, DNS-loggar och åtkomsthantering kan ge indikationer om vilka tjänster som nås från företagsutrustning. Inte alla signaler är lika tillförlitliga: trafik till en AI-leverantör kan tyda på aktiv användning, men även på en bakgrundsprocess som inte har något att göra med det dagliga arbetet. Vilka IT-signaler som är användbara redogör för vilka tekniska indikatorer som ger fäste och vilka som ger för mycket brus för att fungera som grund för en inventering. Resultatet av dessa signaler är en lista med misstankar, ingen bekräftad översikt — bekräftelsen kommer från de personer som utför arbetet.
Ingen teknisk signal och ingen inköpspost berättar för er varför någon använder ett verktyg, för vilken uppgift, och om användningen är tillfällig eller strukturell. Den informationen kommer bara fram om medarbetare är beredda att dela den. Det sker inte av sig självt: den som misstänker att ett svar på frågan 'vilken AI använder ni' leder till ett förbud eller en anteckning, svarar undvikande eller inte alls. Hur ni frågar medarbetare utan att det leder till konsekvenser beskriver hur den frågan ställs på ett sätt som gör ett ärligt svar mer troligt. Denna del av inventeringen ger ofta den största delen av de tillämpningar som inte blir synliga via någon annan källa.
En inventering som bara samlar namn på verktyg är inte användbar för styrning. Per tillämpning behövs mer: vem som använder verktyget och för vilken uppgift, vilken typ av data som matas in i det, om resultatet spelar en roll i ett beslut om en kund, medarbetare eller tredje part, och vilken leverantör som ligger bakom. Vad ni behöver registrera per tillämpning ger fälten som behövs för att senare kunna klassificera en tillämpning efter roll och risknivå, utan att ni behöver upprepa inventeringen så snart den klassificeringen efterfrågas.
I en organisation med flera enheter, affärsområden eller länder blir själva inventeringen ett samordningsproblem: vem frågar, i vilken ordning, och hur sammanställs resultaten utan att avdelningar börjar korrigera eller jämna ut varandras svar. Hur ni bygger upp en AI-inventering i en organisation med flera delar går in på den skalan: var samordningen fastnar och hur resultaten från olika delar förblir jämförbara.
En inventering som en gång är uppbyggd är en bild av ett ögonblick. För att hålla den användbar för styrelseledamöter, CIO:er och riskansvariga måste den upprepas och kopplas till en klassificering som ansluter till organisationens befintliga riskstruktur. Den delen — inventering, klassificering efter roll och risknivå, och kopplingen till styrning — är vad Responsible AI Scan arbetar med. Skanningen är under uppbyggnad; den som är intresserad av detta kan anmäla sig till väntelistan.
En inventering besvarar frågan vilken AI som används. En annan, kompletterande fråga är vilken del av det faktiska arbetet — uppgift för uppgift — som kan tas över av AI. Den frågan besvaras av arbetsskanningen från FTE TO AI, som per uppgift beräknar vilken del av arbetet som kan tas över.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.