Det finns ett ögonblick där en medarbetare har ett problem och söker en lösning. En text som måste gå snabbare, ett dataset som måste bli mer överskådligt, en kund som vill ha svar redan idag. IT-supporten tar för lång tid, eller det finns ingen support. Så skapas ett konto, installeras en tillägg, tecknas ett abonnemang på ett kreditkort som ingen kontrollerar. Inte av illvilja. Av arbetsbelastning.
Så uppstår skugg-AI. Inte som uppror mot policyn, utan som praktisk respons på ett hål i policyn. Och det försvinner inte av sig självt, eftersom anledningen till att det uppstod — en uppgift som går snabbare med AI än utan — fortsätter att existera så länge policyn inte erbjuder ett alternativ. Att förbjuda förändrar inte uppgiften. Det förändrar bara om ni vet att verktyget används.
En översikt över godkänd programvara säger något om vad som har ansökts om och beviljats. Den säger ingenting om vad som faktiskt används. Mellan dessa två listor finns en skillnad som blir större i takt med att AI-verktyg blir mer lättillgängliga: ingen installation, ingen inköpsprocess, bara en webbläsare och ett konto. Ett webbläsartillägg med tillgång till er e-post faller utanför varje inköpsprocess och utanför varje översikt, medan tillgången det har är precis lika känslig som ett godkänt system. Den som bara tittar på IT-listan tittar på en del av verkligheten och kallar det helheten.
Det enda sättet att veta vad som faktiskt används är att fråga. Inte som en kontrollfråga med en sanktion i slutet, utan som en inventering utan konsekvenser för den som medverkar. Så snart medarbetare misstänker att ett ärligt svar leder till ett samtal med en chef, försvinner inte informationen — den går bara under jord. Samma verktyg fortsätter att köras, bara mindre synligt. En organisation som vill känna till omfattningen av skugg-AI måste därför först reglera villkoret under vilket den får svaret. Det handlar inte om att förlora förtroende, det handlar om ordningsföljd: först överblick, sedan policy.
När inventeringen väl är genomförd uppstår något användbart: en lista över verktyg efter roll och risknivå, inte efter rätt eller fel. Ett verktyg som skriver om text för internt bruk bär en annan risk än ett verktyg som behandlar kunduppgifter eller förbereder beslut. Några av dessa verktyg har uppstått ur en individuell användning som växt till en avdelningsstandard — se en avdelning med ett eget abonnemang — och förtjänar snarare formalisering än ett förbud. Andra har satts upp en gång för ett projekt som är avslutat, men åtkomsten står fortfarande öppen; det är mönstret som beskrivs i en testuppsättning som aldrig stängdes av. Klassificeringen avgör vad som behövs: ibland ingenting, ibland en anpassning, ibland en inlemning i den befintliga styrningsstrukturen.
Syftet med detta tillvägagångssätt är inte att peka ut alla som startade ett verktyg utan tillstånd. Syftet är att veta vad som körs, vem som använder det, och vilken risk som är kopplad till det — så att en styrelseledamot, CIO eller General Counsel kan besvara den frågan när den ställs, internt eller externt. Det kräver ett fast sätt att inventera som inte stannar vid en enda omgång, eftersom nya verktyg ständigt tillkommer. Hur denna inventering byggs upp i praktiken, inklusive frågan om vem som utför den och hur ofta, beskrivs i hur ni bygger upp en AI-inventering.
Styrningsstrukturen i sig — vilka regler som gäller för vilken risknivå, vilka tidsramar och skyldigheter som hör till detta — är ett separat ämne med eget aktuellt innehåll, som inte upprepas här. Vad som räknas på denna sida är mekanismen: att få överblick utan att stänga av informationsflödet, och att omsätta den överblicken till en klassificering som ansluter till vad organisationen redan har inrättat för riskhantering.
Inventeringen som avslöjar skugg-AI gör det ofta inte bara vid enskilda verktyg. Den avslöjar också att en leverantör har lagt till AI i ett system som redan var i bruk, utan att det förts ett separat samtal om detta — mönstret bakom en leverantör som byggde in AI i sin produkt — och att känslig företagsinformation ibland helt enkelt klistras in i ett offentligt chattfönster, som beskrivs vid företagsdata i ett gratis chattfönster. Alla dessa former delar samma ursprung: en uppgift där AI fungerar snabbare än den befintliga processen.
Denna slutsats leder naturligt till en annan fråga, fristående från godkännande och risk: vilken del av själva arbetet som är lämplig att låta AI ta över. Arbetsanalysen från FTE TO AI räknar ut det per uppgift, baserat på vad arbetet faktiskt innebär, och visar var automatisering kan ta över en verklig del av tiden — som en språngbräda till ett samtal om vad som kan planeras med den tiden, inte som ersättning för den styrningsfråga som står i centrum på denna sida.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.