Kennisbank

Hur förhindrar ni en avdelning med en egen prenumeration?

Ett marknadsteam behöver en skrivassistent. En finansanalytiker vill ha ett verktyg som sammanfattar kalkylblad. Ingen av dem väntar på en inköpsprocess som tar månader. Det finns ett kreditkort, en e-postadress, och inom tio minuter finns det en prenumeration som avdelningen själv betalar, själv förvaltar och själv använder. IT-avdelningen vet ingenting om det. Det finns ingen anledning att rapportera det, för inget fel har begåtts — ett problem har bara blivit löst.

Hur det uppstår

De flesta skugg-AI börjar inte med ett försök att kringgå regler. Det börjar med en uppgift som måste gå snabbare, en deadline som inte väntar på en godkännandeprocess, och ett verktyg som är tillgängligt utan att någon annan behöver blandas in. Avdelningen som prenumererar ser det inte som ett IT-beslut. Det känns som en kontorsförnödenhet, inte annorlunda än en programvarulicens som alla redan använde innan det fanns en central inköpspolicy. Att en språkmodell behandlar företagsdata, läser kunduppgifter eller genererar utkast som går ut externt är för användaren ingen styrningsfråga. Det är bara jobb.

Samma dynamik gäller när en leverantör byggde in AI i sin produkt utan att det förts något separat samtal om det: funktionaliteten dyker upp i en uppdatering, ingen skriver under på något, och organisationen använder den innan någon har fastställt vem som är ansvarig för det.

Varför det inte försvinner av sig själv

Ett meddelande om att obehöriga verktyg inte är tillåtna förändrar litet. Avdelningen som har prenumerationen upplever det som en lösning som fungerar, inte som en risk som ska rapporteras. Ett förbud utan alternativ ger två resultat: prenumerationen går under jorden, eller teamet slutar använda den och arbetet blir långsammare igen. Inget av det är vad en organisation vill.

Därtill kommer att en sådan prenumeration sällan är ett enskilt beslut. Den blir en del av arbetsflödet, kopplad till andra verktyg, använd i processer som numera är beroende av den. Vad som börjar som ett test blir en fast del av hur teamet arbetar — exakt det mönster som också syns vid en testuppställning som aldrig stängdes av: ingen har beslutat att göra den permanent, men ingen har heller beslutat att avsluta den.

Vad bestraffning inte åstadkommer

Reflexen att spåra upp skugg-AI och konfrontera användaren med det slår tillbaka. Den som vet att en rapportering leder till en tillrättavisning rapporterar inte. Prenumerationen fortsätter att existera, bara mindre synlig. Avdelningen blir mer försiktig med vad den rapporterar, inte mer noggrann med vad den använder.

Vad som fungerar är att fråga utan att det medför någon sanktion. Ett team som använder ett verktyg för att snabba upp en uppgift har oftast en anledning till det som organisationen vill känna till: en process som är för långsam, en uppgift som blir överbelastad, ett behov som det befintliga utbudet inte täcker. Se hur detta beskrivs vid medarbetare som använder ett verktyg som ingen har godkänt — utgångspunkten är inte överträdelsen, utan behovet som ligger bakom den.

Vad en organisation kan göra med det

Det första steget är inte kontroll, utan inventering: vilka verktyg finns, vem använder dem, för vilken uppgift, och med vilka uppgifter. Det sker inte via IT-listan — den registrerar vad som är godkänt, inte vad som används. Det sker genom att fråga, på ett sätt som inte innehåller något hot.

Så snart det finns insyn i vad som pågår kan klassificering följa: vilken roll spelar verktyget, vilken risknivå passar det, och vilken form av tillsyn är lämplig. Inte varje prenumeration som en avdelning själv har tecknat utgör ett problem. Ett verktyg som skriver om offentlig text hör till en annan kategori än ett verktyg som behandlar kunddata utan att någon vet vart data tar vägen. Skillnaden mellan dessa kategorier är precis vad mänsklig tillsyn i praktiken handlar om: inte all användning kräver samma grad av kontroll, men all användning kräver att man vet att den existerar.

Därefter följer en styrningsstruktur som ansluter till vad som redan finns — ingen ny process vid sidan av det befintliga riskramverket, utan en utvidgning av det. En organisation som behandlar AI-risk separat från resten av sin riskhantering riskerar att det andra systemet ignoreras, vilket beskrivs vid en andra process vid sidan av den befintliga som ignoreras. Det tillvägagångssätt som består är det som ansluter till vad organisationen redan gör för att hantera risk.

Frågan som kvarstår

En prenumeration som en avdelning själv har tecknat är oftast en signal om att något behöver gå snabbare än den nuvarande processen tillåter. Den frågan — vilken del av arbetet som kan snabbas upp, och var det kan ske strukturerat istället för osett — är precis vad FTE TO AI:s arbetsanalys ger svar på. Arbetsanalysen räknar per uppgift ut vilken del av arbetet som kan tas över av AI, så att behovet som ledde till en skuggprenumeration får en plats inom en process som organisationen både känner till och kontrollerar.