En medarbetare vill få ett möte sammanfattat, ett mail utkastat eller en kalender hanterad. Det finns ett tillägg för det, gratis att installera i webbläsaren, med några klick åtkomst till mailboxen. Tillägget frågar inte IT om detta får ske. Det frågar medarbetaren om denne vill ge åtkomst, och de flesta klickar på godkänn utan att läsa rättigheterna. Därmed har en extern mjukvara läsåtkomst till korrespondens, bilagor och kontaktuppgifter, utanför organisationens synfält.
Detta är inget undantag. Det är det vanliga sättet som AI kommer in i en organisation: inte via ett projekt med en uppdragsgivare och en budget, utan via ett individuellt val att göra en uppgift enklare. Tillägget står inte på någon IT-lista, eftersom IT inte har installerat det. Det står inte i något riskregister, eftersom ingen har anmält det. Det fungerar, och det är för användaren tillräcklig anledning att fortsätta klicka.
En översikt över godkänd mjukvara säger något om vad som har begärts och tillåtits. Den säger ingenting om vad som faktiskt används. Mellan dessa två finns en skillnad som blir större i takt med att AI-verktyg blir enklare att installera och mindre synliga i drift. Ett tillägg i webbläsaren lämnar inte samma spår i nätverket som en ny applikation skulle göra. Det löper med i en session som annars ser normal ut.
Detta ger inte upphov till ett enda dataläckage, utan till ett spritt mönster: här ett tillägg med mailåtkomst, där ett gratis chattfönster där företagsdata klistras in, på ett annat håll en avdelning som på eget initiativ har tecknat en prenumeration. Enskilda beslut, tagna utan ont uppsåt, som tillsammans bildar ett skuggskikt av AI-användning som organisationen inte kan överblicka eftersom den inte har frågat efter det.
Ett förbud mot tillägg med mailåtkomst låter som en lösning, men ett förbud som ingen kontrollerar är en regel på papper. Medarbetaren som använde tillägget gjorde det eftersom arbetet gick snabbare. Det problemet finns fortfarande kvar efter förbudet. Denne tar eventuellt bort tillägget, eller låter det vara och säger inget mer om det. Båda utfallen är sämre än vad ni hade innan förbudet: tidigare visste ni åtminstone att tillägget fanns, nu vet ni det inte längre, eller så är anledningen till att det fanns fortfarande olöst.
Det enda sättet att veta vad som verkligen körs är att fråga. Inte som kontroll, utan som inventering. Den som är rädd för att bli avkrävd svar svarar inte ärligt, eller svarar inte alls. Det gör frågan om hur ni frågar lika viktig som frågan i sig. Detta mönster, och hur en organisation kan hantera det utan häxjakt, beskrivs på sidan om vad ni gör med medarbetare som använder ett verktyg som ingen har godkänt.
Så länge ett tillägg med mailåtkomst förblir osynligt finns det heller ingen tillsyn över vad det gör med den data det behandlar. Inte eftersom ingen vill reglera det, utan eftersom tillsyn bara kan finnas för något som är känt. För verktyg som är kända är frågan om vad tillsyn innebär i praktiken redan svår nog: vem granskar, hur ofta, och vad händer med en avvikelse. Den frågan behandlas på sidan om vad mänsklig tillsyn innebär i praktiken. För ett tillägg som ingen har anmält är svaret på den frågan: ännu ingenting, eftersom det första steget, att veta att det finns, ännu inte har skett.
Samma mönster av något som uppstår vid sidan av den befintliga strukturen, i stället för att införlivas i den, gör sig gällande i större skala när en leverantör bygger in AI i sin produkt utan att detta återspeglas i avtalet eller riskbedömningen; hur det uppstår och varför det glider förbi befintliga avtal beskrivs under vad ni gör med en leverantör som har byggt in AI i sin produkt. Och om det redan finns en process för att anmäla den här typen av användning, men den processen ignoreras eftersom den ligger bredvid det befintliga arbetet i stället för i det, är det ett igenkännbart mönster som beskrivs på sidan om varför en andra process vid sidan av den befintliga ignoreras.
En inventering av tillägg, prenumerationer och verktyg som ingen har godkänt visar var AI redan löper med i arbetet. Den informationen väcker naturligt en följdfråga: om någon redan har anförtrott en del av sina uppgifter till AI, vilken del av det arbetet handlar det då exakt om, och hur förhåller det sig till vad som är möjligt eller önskvärt för resten av organisationen? Arbetsanalysen från FTE TO AI räknar per uppgift ut vilken del av arbetet som kan tas över av AI, och ger därmed en sifferbaserad utgångspunkt vid sidan av den styrningsbild som en inventering ger.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.