Kennisbank

Verktyget som ingen godkände, men alla använder

En medarbetare klistrar in ett stycke text i ett gratis chattfönster eftersom det går snabbare än det interna systemet. Ett team tecknar ett abonnemang på ett AI-verktyg eftersom ansökan om något officiellt skulle ta veckor. En leverantör lägger till AI-funktionalitet i programvara som redan använts i flera år, utan att det förts något samtal om det. Ingen av dessa personer försöker dölja något. De försöker göra sitt arbete.

Det är kärnan i skugg-AI: det uppstår inte av ovilja, utan ur ett gap mellan vad människor behöver och vad den formella processen levererar. Så länge det gapet finns kvar, fortsätter skugg-AI att uppstå, oavsett hur mycket policy som skrivs.

Varför IT-listan inte stämmer

De flesta organisationer har en förteckning över godkänd programvara. Den förteckningen är en utgångspunkt, inte en avspegling av verkligheten. Det som människor faktiskt använder ligger nästan alltid ett steg före: frågan om hur ni förhindrar företagsdata i ett gratis chattfönster illustrerar hur enkelt ett verktyg kan hamna helt utom synhåll. Detsamma gäller för en avdelning som på eget initiativ tecknar ett abonnemang eftersom den vanliga vägen känns för långsam, eller för ett webbläsartillägg som får tillgång till e-posten utan att det finns ett separat godkännande för det. Ingen av dessa situationer finns med på en IT-lista. De existerar likväl.

Varför det inte försvinner av sig självt

Det finns en tendens att behandla skugg-AI som ett efterlevnadsproblem: förbjuda, blockera, sanktionera. Det ger motsatt effekt. Den som vet att ett ärligt svar leder till problem, ger inte längre ett ärligt svar. Verktyget försvinner inte, det blir bara mer osynligt. Precis motsatsen till vad en organisation behöver.

En andra anledning till att det inte löser sig av sig självt: befintlig styrning är ofta byggd för programvara som man köper och installerar, inte för en tjänst som någon öppnar i en webbläsare och lämnar igen nästa dag. En testuppställning som en gång var tänkt att vara tillfällig visar hur något litet, utan ett tydligt utvärderingstillfälle, kan pågå i flera år utan att någon känner ägarskap. Utan en process som strukturellt uppmärksammar den här typen av användning, förblir det under radarn, hur goda avsikterna än är.

Vad som faktiskt fungerar: att fråga utan konsekvenser

Det enda sättet att veta vad som pågår är att fråga. Inte som kontroll, utan som inventering. Medarbetare som vet att ett ärligt svar inte leder till ett samtal med HR, ger också det svaret. Det kräver en ton och en process som i förväg gör klart: det här handlar om att få överblick, inte om att komma åt någon.

Det handlar också om hur nya processer placeras bredvid befintliga. En andra process som läggs bredvid den befintliga utan att den första justeras eller dras tillbaka, ignoreras ofta, helt enkelt eftersom människor håller fast vid sina vanor. En inventering som blir en extra skyldighet ovanpå arbetet får samma behandling.

Från inventering till klassificering

Så snart det är klart vad som verkligen används, följer nästa fråga: vad gör verktyget, och vilken risk hör till det? Ett verktyg som sammanfattar text för internt bruk kräver något annat än ett verktyg som medverkar i beslut om kundacceptans eller personalbedömning. Den klassificeringen efter roll och risknivå är det som gör en inventering till något användbart: en grund utifrån vilken styrelse, CIO eller General Counsel kan förklara vad som pågår och varför det är försvarbart.

Detta styrningslager ansluter till den riskstruktur en organisation redan har, inte till ett nytt ramverk vid sidan om. Innehållet i de regler som AI-tillämpningar måste uppfylla förändras och hålls aktuellt på annat håll; det som räknas här är att organisationen har ett fungerande sätt att veta vad som körs, vem som är ansvarig för det, och hur det kan visas för styrelse eller tillsynsmyndighet.

Nästa fråga: vad kan tas över

Så snart det är klart vilken AI som faktiskt används och vilken risk det innebär, uppstår naturligt en annan fråga: vilken del av arbetet skulle en AI-tillämpning egentligen kunna ta över, och vilken del inte. Det är en annan fråga än den om godkännande och tillsyn, men en som logiskt följer på den. Arbetsanalysen från FTE TO AI beräknar per uppgift vilken del av arbetet som kan tas över av AI, utifrån vad en befattning faktiskt innebär. Där Responsible AI Scan skapar ordning i det som redan pågår, visar arbetsanalysen vad som ännu finns att vinna.