Kennisbank

Tillägget som ingen har godkänt, men som ändå läser med

En medarbetare installerar ett webbläsartillägg som sammanfattar e-post, föreslår kalenderbokningar eller skriver utkaststext i Gmail eller Outlook Web. Installationen tar en minut och ber om tillstånd för åtkomst till sidinnehållet. Det tillståndet ges utan att någon läser exakt vad som delas, hur länge det sparas, om modellen tränas på det, eller om leverantören säljer det vidare. Tillägget fungerar, sparar tid, och sprids sedan informellt: en kollega ser det, ber om länken, installerar det också.

Hur detta uppstår

Webbläsartillägg faller utanför de flesta inköpsprocesser. Det köps inget in, det finns inget kontrakt, ingen faktura som sticker ut hos finance. Installationen sker via webbläsaren själv, ofta med ett personligt eller arbetskonto som inte går via IT. För medarbetaren är det inget 'nytt verktyg' i den bemärkelse som kräver godkännande — det är ett litet hjälpmedel, jämförbart med en stavningskontroll. Att tillägget har läsåtkomst till all mail, inklusive bilagor, kontrakt och kunduppgifter, är en teknisk detalj som klickades bort vid installationen.

Detta mönster är inte unikt för mail. Samma väg går via ett verktyg som ingen har godkänt i bredare mening, via företagsdata som klistras in i ett gratis chattfönster, och via en avdelning som på eget initiativ har tecknat ett abonnemang. Webbläsartillägget är bara den variant med den mest direkta åtkomsten: inte till ett enskilt dokument, utan till hela mailboxen.

Varför det inte försvinner av sig självt

En IT-lista över godkänd programvara fångar inte upp detta. Tillägget står inte i kontraktsöversikten, inte i fakturaflödet, inte i en SSO-logg om den inte används. Det enda sättet att veta om det finns där är att fråga — de personer som använder det. Och det fungerar bara om att fråga inte får konsekvenser. Så snart en anmälan leder till en anklagelse upphör informationen. Nästa tillägg anmäls då inte, utan används mer tyst.

Tillägget försvinner inte heller för att det är användbart. Den som kan hantera mail snabbare ger inte upp det bara för att det finns ett policydokument någonstans som avråder från det. Ett förbud utan alternativ förflyttar beteendet till ett annat konto, en annan webbläsare, en privat telefon. Problemet blir då mer osynligt, inte mindre.

Vad en organisation kan göra

Utgångspunkten är inte att spåra upp och bestraffa, utan att kartlägga vad som finns och utifrån det göra ett val. Det börjar med en inventering som inte bara tittar på vad som har köpts in, utan på vad som används: hur ni bygger upp en AI-inventering beskriver det tillvägagångssättet, inklusive frågan om hur ni får människor att själva rapportera vad de använder.

För varje tillägg som kommer upp till ytan är några frågor relevanta. Vilka uppgifter berör det — bara det som visas på skärmen, eller hela mailboxen via en API-koppling? Bearbetas innehållet av en extern modell, och om så, under vilka villkor? Finns det en affärsmässig anledning till användningen, eller ersätter det något organisationen redan hade? Vad som ska dokumenteras per tillämpning — vem som är ägare, vilken data som ingår, vilken risknivå som gäller — beskrivs i vad ni måste dokumentera per tillämpning. Det är ingen juridisk övning i sig; det är underlaget för att från fall till fall besluta: tillåta, ersätta med en hanterad variant, eller avveckla.

Till detta hör också blicken utåt. Inte varje AI-funktion i mailmiljön kommer från ett tillägg som en medarbetare själv installerade. En leverantör av ett befintligt verktyg kan ha lagt till en AI-funktion i en uppdatering, utan att detta betraktades som en ny bedömning. Vad det innebär för befintliga kontrakt och personuppgiftsbiträdesavtal beskrivs i en leverantör som byggt in AI i sin produkt.

Utan häxjakt

Syftet med denna inventering är inte att spåra upp medarbetaren som installerade tillägget. Den som hamnar där ser inte nästa tillägg längre, eftersom ingen längre rapporterar. Syftet är en bild av vad som faktiskt sker med maildata, kontraktsdokument och kundkommunikation, så att en styrelseledamot eller General Counsel kan göra ett underbyggt val om vad som blir kvar, vad som ersätts, och vad som avvecklas — med en motivering som kan läggas fram för en tillsynsmyndighet eller revisor.

Från risk till insikt i tidsanvändning

Samma fråga som avslöjar att ett tillägg läser med i mailen, avslöjar också hur mycket tid det tillägget faktiskt tar över från det arbete som tidigare gjordes för hand. Dessa två frågor ligger nära varandra: den ena handlar om risk och tillsyn, den andra om var tidsanvändningen i själva arbetet förändras. För det sistnämnda räknar FTE TO AI:s arbetsskanning per uppgift ut vilken del av arbetet som kan tas över av AI, oavsett vilket verktyg som gör det — ett nästa steg för den som efter inventeringen vill veta vad den AI som redan finns betyder för organisationen av arbetet.