Obstaw bez ryzyka. Zagraj bezpiecznie. U nas nikt nie korzysta z AI, więc jesteśmy bezpieczni

Mam wrażenie, że dość często „gra z AI i danymi” przypomina grę na automatach czy zakłady losowe. Obstawiamy duże kwoty, nie patrzymy na to jakie jest prawdopodobieństwo naszej wygranej, cieszymy się jak się uda, a jak przegramy, to nie wyciągamy nauki.

Spójrzmy na przykład zjawiska shadow AI w organizacji, czyli wykorzystywania nieautoryzowanych narzędzi do realizacji zadań zawodowych przez pracowników. Dość typowa sytuacja w wielu organizacjach. Typowa, bo trudna do zarządzenia. Co nie znaczy, że niemożliwa. Niewłaściwe podejście może nas wiele kosztować – finansowo, reputacyjnie i regulacyjnie. Nie warto ryzykować.

Pozwólcie jednak, że zanim przejdziemy do konkretów, to przekażę Wam kilka ogłoszeń o legalarchitect.pl:

✅ zakończyliśmy lipcowe (2) edycje szkolenia „ Zostań AI Governance Officer’em ”, w których uczestniczyło 25 osób; kolejne edycje są w planach;

✅ 8 sierpnia planujemy szkolenie w zakresie cyberbezpieczeństwa i AI, które poprowadzi dr Tomasz Soczyński, Ph.D. świetnie poruszający się na styku „twardej technologii” i przepisów prawa,

✅ na stronie pojawił się quiz dla AI Governance Officera,

✅ zapraszamy do aktywnego włączenia się w rozwój strony, wszelkie propozycje mile widziane.

Tymczasem wracamy do głównego wątku, czyli naszego podejścia do zarządzania ryzykiem Shadow AI w organizacji i w ogóle identyfikacji zjawiska – bardziej konkretne działania zostawimy sobie na później.

//www.legalarchitect.pl/mitre-atlas":

Musimy przy tym zrobić pewne założenia. Zakładamy przy tym, że w naszej organizacji funkcjonuje:

- system zarządzania ryzykiem, choć nie jest on specyficznie ukierunkowany na zagrożenia związane z AI (co nie znaczy, że gdzieś tam o nie zahacza),

- system zarządzania bezpieczeństwem informacji, w tym cyberbezpieczeństwem, który nie ma charakteru papierowego, ale rzeczywiście działa,

- w organizacji mamy lepiej lub gorzej poukładane role i każdy wie za co odpowiada.

Niestety, nie mamy jeszcze dobrze rozpoznanych ryzyk AI, w szczególności nie rozprawiliśmy się z tym, co nazywa się Shadow AI – korzystaniem z narzędzi do generowania tekstu, kodu czy obrazu bez wiedzy i zgody naszej organizacji. To co widzimy, to że w niektórych obszarach efektywność się poprawia, ale nie wiążemy tego z rozwojem AI i większą dostępnością rozwiązań. A to duży błąd, bo może to być pierwszy sygnał, że coś jest nie tak.

Prawda, że brzmi absurdalnie? Poprawa efektywności i lepsze wyniki mają świadczyć o problemie? No właśnie mogą ; )

Zaczyna się od tego, że w organizacji ludzie zaczynają „szeptać” o narzędziach typu Claude czy ChatGPT i o tym jaką wartość im przynoszą. Oczywiście nikt nie mówi, że wrzuca jakieś „tematy zawodowe” do tych narzędzi, ale tylko sobie sprawdza lub wrzuca anonimowe dane. Tutaj jesteśmy odpowiedzialni.

Ktoś w IT przebudził się ze snu zimowego i sprawdził ruch sieciowy i to z czego, a także jak korzystają nasi pracownicy. Finanse coraz częściej muszą wyjaśniać czym są comiesięczne „dwudziestodolarowe” subskrypcje z Florydy na kartach służbowych. Na sprintach pojawiają się od czasu do czasu informacje na temat tego co u konkurencji i jakie incydenty ostatnio pojawiają się wokół AI. Zarząd, powoli, zaczyna dostrzegać znaczenie AI, ale wychodzi z założenia, że wdrożenie „kopajlota” rozwiąże problem Shadow AI.

No bo przecież, skoro nasi pracownicy będą mieli dostęp do autoryzowanego narzędzia, to potencjalne ryzyko zniknie.

Nie zniknie. I w naszej dojrzałej organizacji dobrze o tym wiedzą i nie ignorują problemu. Przechodzimy więc do fazy rozpoznania – identyfikacji – ryzyka, która ma nam pokazać czy to nas dotyczy, a także jaka jest potencjalna skala zjawiska i czy powinniśmy „nerwowo” reagować, czy też spokojne i uporządkowane podejście nam w zupełności wystarczy.

Na początek staramy się więc zebrać wysokiej jakości dane, które pokażą nam rzeczywisty obraz, który nie ma na celu piętnować kogokolwiek. Przecież nie mieliśmy żadnej polityki / oświadczenia / zakazu, a jedynie wierzyliśmy, że nasze „ogólne zasady” są na tyle przejrzyste i zrozumiałe, że nikt o zdrowych zmysłach nie przekroczy granicy.

Te dane to przede wszystkim:

- dane techniczne, które w sposób zagregowany pokazują np. zwiększony ruch na strony dostawców rozwiązań AI,

- dane ankietowe, które zebraliśmy od pracowników – rzecz jasna anonimowo – w zakresie wykorzystywania różnych narzędzi AI,

- dane biznesowe, które pokazują, gdzie AI może pomóc i gdzie jest największe ryzyko ich wykorzystania, np. w obszarze obsługi zgłoszeń / reklamacji.

Możemy do tego dorzucić także rozmowy z osobami odpowiedzialnymi za poszczególne jednostki, które mogą podzielić się własnymi spostrzeżeniami bazującymi na „operacyjnych” pogadankach z pracownikami.

Zebranie tych danych nie daje nam jeszcze pełnego obrazu. Na razie pokazuje, że zjawisko występuje. Nie wiemy jednak – ze 100% pewnością – w jaki sposób rozwiązania AI są wykorzystywane i czy przykładowo już dzisiaj nie dochodzi do naruszeń, np. w zakresie danych osobowych czy tajemnicy przedsiębiorstwa. Tak więc mamy na czym budować nasze dalsze podejście.

Teraz dochodzimy do pewnych wniosków – np. skala zjawiska jest minimalna.

ALE UWAGA! Taki wniosek może być mylący, bo pracownicy niekoniecznie muszą dzielić się z nami swoimi faktycznymi działaniami. Mogą nieco zamazywać rzeczywisty obraz. Dane techniczne są już bardziej wiarygodne, ale też niekoniecznie jasno pokazują poziom ryzyka.

Możemy też dojść do wniosku, że sprawa jest poważna i trzeba działać. Nie chodzi nawet o to, że ludzie wrzucają wrażliwe informacje do narzędzi, ale o to, że mogą za chwilę zacząć to robić, bo kolega czy koleżanka dała im przykład genialnego zastosowania czy poprawy efektywności. A my jeszcze nie zbudowaliśmy w nich świadomości i kompetencji, które są niezbędne do racjonalnej oceny.

I tu dochodzimy do ważnego momentu – oceny ryzyka, w którym wycenimy prawdopodobieństwa zdarzenia i jego skutku. Od jego wyniku zależy co zrobimy dalej. Zakaz? Częściowy zakaz? A może działania edukacyjne?

No, tym zajmiemy się później. Dzisiaj zostawiam Was z myślą – gdzie jest Wasza organizacja, jaka jest skala zjawiska i czy rzeczywiście bez konkretnych działań jesteście to w stanie racjonalnie ocenić?

Już niedługo wrócę ze wsparciem! Stay tuned!