IT-system registrerar beteende, inte avsikt. Det gör dem till en användbar utgångspunkt för en inventering, och samtidigt en ofullständig källa. Den som vill bygga en översikt över den AI som faktiskt används, måste veta vilka signaler som säger något och vilka som ger en falsk känsla av fullständighet.
Trafik till domäner hos AI-leverantörer är oftast den mest konkreta signal som finns tillgänglig. En brandvägg eller proxy registrerar vilka domäner som besöks, från vilken enhet, och med vilken frekvens. Detta visar användning som ingen behövde rapportera. Det visar inte vad som hände i den interaktionen: vilka uppgifter som matades in, för vilken uppgift, med vilket resultat. Trafik till en chatbot-domän kan vara ett engångstest eller en daglig arbetsrutin. Utan ytterligare kontext förblir den skillnaden osynlig.
Fakturor, abonnemang och kortavskrivningar visar vilka verktyg som formellt anskaffats, ofta utanför den officiella IT-inköpsprocessen. Ett team som tecknar ett abonnemang med ett företagskort lämnar ett spår som inköp eller ekonomi kan hitta. Denna signal är tillförlitlig för det som har anskaffats, men säger inget om gratisverktyg, provversioner eller personliga konton som används för arbete. Mer om vad detta spår konkret ger finns beskrivet på sidan om inköps- och licensspår som källa för en AI-inventering.
Single sign-on-plattformar och identity providers registrerar vilka applikationer som kopplats till ett företagskonto. Denna signal fångar verktyg som via OAuth fått åtkomst till exempelvis ett e-postkonto eller en dokumentmiljö. Det är en av få källor som också visar vilka rättigheter ett verktyg har fått, inte bara att det har använts. Begränsningen: verktyg som används utan koppling, via en webbläsare och ett separat konto, faller utanför detta.
Programvara som är installerad på bärbara datorer och arbetsstationer är i regel synlig via den hanteringsplattform som IT använder för patchar och uppdateringar. Detta visar installerade AI-verktyg, men missar allt som körs via en webbläsare utan installation. För de flesta AI-tillämpningar som används idag utgör det en betydande del av totalen.
I organisationer där utvecklare arbetar är användningen av AI-modeller via API:er ett separat spår. Hanteringsplattformar hos molnleverantörer och API-gateways registrerar vilka nycklar som är aktiva och vilken volym de bearbetar. Denna signal är ofta den mest underskattade: ett fristående skript som anropar en modell för en intern uppgift, faller utanför varje samtal om "AI-verktyg" eftersom ingen känner igen det som sådant.
Var och en av dessa källor visar en del av beteendet, registrerat av ett system som inte är utformat för det ändamålet. Ingen av dessa signaler fångar varför ett verktyg används, för vilken uppgift, med vilken typ av uppgifter, eller vem som är ansvarig för det. Det är anledningen till att en inventering som enbart bygger på teknik ger en skev bild. Varför listan som IT tar fram strukturellt inte stämmer överens med vad som faktiskt används, förklaras på sidan om varför IT-listan inte stämmer.
Tekniska signaler är en anledning att fråga, inte ett substitut för att faktiskt fråga. En medarbetare som använder ett verktyg för att skapa utkast, snabba upp en analys eller kontrollera kod, vet saker som ingen logg fångar: varför han valde just det verktyget, vad han gör med det, och vad han skulle sakna om det stängdes av. Det samtalet ger bara något om det förs utan att det leder till avräkning. Hur det görs i praktiken beskrivs på sidan om att ställa frågor utan att det känns som ansvarsutkrävande.
Värdet av nätverksdata, inköpsspår, identitetsloggar och samtal med medarbetare uppstår först när de läggs samman i en fast struktur: vilken tillämpning, vilken roll, vilken risknivå, vilken ägare. Utan den strukturen förblir det en samling lösa observationer. Hur den uppbyggnaden går till steg för steg beskrivs på sidan om att bygga upp en AI-inventering, och vad som exakt måste dokumenteras per tillämpning finns på sidan om dokumentationsfälten per AI-tillämpning.
En fullständig översikt över vilken AI som används besvarar frågan om överblick och risk. Den besvarar inte frågan om hur stor del av arbetet som själv kan tas över av AI, och var det konkret slår ut per uppgift. Så snart det är klart vilka verktyg som används i vilken roll, ligger den följdfrågan nära till hands. Werkscan från FTE TO AI räknar per uppgift ut hur stor del av arbetet som kan tas över av AI, som ett komplement till den översikt som Responsible AI Scan ger.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.