Jeszcze niedawno podstawowym pytaniem dotyczącym sztucznej inteligencji w przedsiębiorstwach było: czy pozwolić pracownikom korzystać z generatywnej AI?
Dzisiaj dla wielu organizacji to pytanie jest już spóźnione.
Pracownicy korzystają z AI niezależnie od tego, czy firma zdążyła przygotować formalną politykę dotyczącą takich narzędzi. Modele językowe pomagają tworzyć prezentacje, podsumowywać dokumenty, analizować dane, pisać kod, przygotowywać oferty, odpowiadać na wiadomości czy generować materiały marketingowe.
Sama obecność AI w firmie nie musi być problemem.
Problem zaczyna się wtedy, gdy organizacja nie potrafi odpowiedzieć na kilka podstawowych pytań:
Kto korzysta z AI? Z jakiego modelu? Do czego? Jakie dane do niego przekazuje? Co powstaje przy jego pomocy? Kto sprawdza rezultat przed wykorzystaniem go w biznesie?
Jeżeli firma nie zna odpowiedzi, w praktyce może już mieć do czynienia ze zjawiskiem określanym jako shadow AI.
Czym jest shadow AI?
Shadow AI można potraktować jako nową odmianę znanego od lat problemu shadow IT.
Shadow IT oznacza wykorzystywanie przez pracowników aplikacji, usług chmurowych czy urządzeń, które nie zostały oficjalnie zatwierdzone lub nie są kontrolowane przez dział IT.
W przypadku shadow AI problem dotyczy narzędzi wykorzystujących sztuczną inteligencję.
Pracownik może przykładowo założyć prywatne konto w popularnym modelu AI, wkleić do niego dokument i poprosić o jego streszczenie. Może użyć innego narzędzia do analizy danych, kolejnego do stworzenia prezentacji, a jeszcze innego do napisania fragmentu kodu.
Z perspektywy pracownika to po prostu sposób na szybsze wykonanie zadania.
Z perspektywy organizacji sytuacja jest bardziej skomplikowana.
Firma może nawet nie wiedzieć, że określone informacje zostały przekazane do zewnętrznego systemu.
Co pracownicy wpisują do AI?
To jedno z najważniejszych pytań, jakie powinny dziś zadawać sobie organizacje.
Jeżeli sztuczna inteligencja ma pomóc wykonać realne zadanie biznesowe, użytkownik często musi przekazać jej odpowiedni kontekst.
Może więc wkleić:
-
fragment umowy,
-
korespondencję z klientem,
-
wyniki sprzedaży,
-
dokument wewnętrzny,
-
informacje dotyczące projektu,
-
fragment kodu źródłowego,
-
dane zawarte w arkuszu kalkulacyjnym,
-
opis problemu klienta,
-
materiały przygotowywane do publikacji.
Nie oznacza to oczywiście, że każde wykorzystanie generatywnej AI prowadzi do wycieku danych.
Problemem jest brak kontroli.
Organizacja powinna wiedzieć, jakie kategorie informacji mogą być przekazywane do określonych narzędzi i w jakich sytuacjach korzystanie z nich jest niedopuszczalne.
Samo polecenie pracownikom, żeby „uważali, co wpisują do ChatGPT”, trudno uznać za kompletny system zarządzania ryzykiem.
AI może przygotować raport. Ale kto odpowiada za jego treść?
Drugim problemem są rezultaty generowane przez modele.
Sztuczna inteligencja potrafi stworzyć przekonująco wyglądającą analizę, prezentację czy dokument. Profesjonalna forma nie oznacza jednak automatycznie, że zawarte w nim informacje są prawdziwe.
Modele generatywne mogą popełniać błędy, nieprawidłowo interpretować dane, tworzyć nieistniejące informacje czy przedstawiać błędny wniosek w bardzo przekonujący sposób.
W środowisku biznesowym pojawia się więc pytanie o odpowiedzialność.
Jeżeli pracownik przygotował raport przy pomocy AI, a następnie dokument trafił do zarządu albo klienta, kto powinien wcześniej sprawdzić jego zawartość?
Autor?
Przełożony?
Osoba zatwierdzająca dokument?
A może organizacja powinna posiadać różne procedury zależnie od rodzaju zastosowania AI?
– Największym ryzykiem nie jest to, że AI czasem się pomyli. Największym ryzykiem jest sytuacja, w której organizacja nie potrafi powiedzieć, jak do tego błędu doszło, kto powinien był go wychwycić i kto odpowiadał za końcowy rezultat – zwraca uwagę Bartosz Łopiński, CEO Billennium.
I właśnie w tym miejscu zaczyna się AI Governance.
Co to jest AI Governance?
AI Governance można najprościej określić jako system zasad i procesów określających, w jaki sposób organizacja korzysta ze sztucznej inteligencji i kto odpowiada za poszczególne etapy tego procesu.
Nie chodzi wyłącznie o przygotowanie dokumentu zatytułowanego „Polityka korzystania z AI”.
Taka polityka może być jednym z elementów systemu, ale sama nie rozwiązuje problemu.
Organizacja musi przełożyć zasady na codzienną pracę.
Powinna więc określić m.in.:
-
z jakich modeli i aplikacji AI można korzystać,
-
do jakich zadań mogą być wykorzystywane,
-
jakie dane można do nich przekazywać,
-
jakie informacje są wyłączone z użycia,
-
które rezultaty wymagają kontroli człowieka,
-
kto odpowiada za ich zatwierdzenie,
-
jak reagować na błędy,
-
jak kontrolować dostęp do narzędzi.
Dopiero wtedy polityka AI zaczyna funkcjonować jako rzeczywisty mechanizm zarządzania.
Firma powinna wiedzieć, gdzie wykorzystuje AI
Kolejnym elementem AI Governance jest widoczność.
Organizacja może dopuścić kilka różnych modeli AI, ale powinna wiedzieć, gdzie i w jakim celu są wykorzystywane.
W dojrzałym podejściu do zarządzania AI istotne może być ustalenie:
- kto korzysta z modelu,
- z jakiego rozwiązania korzysta,
- w jakim celu,
- jakiego rodzaju dane przetwarza,
- jakie rezultaty powstają,
- oraz kto odpowiada za ich dalsze wykorzystanie.
Znaczenie może mieć również możliwość odtworzenia procesu, jeżeli po kilku tygodniach okaże się, że w dokumencie, analizie lub decyzji pojawił się błąd.
Bez takiej informacji trudno odpowiedzieć nawet na podstawowe pytanie: skąd właściwie wziął się problem?
Human in the loop, czyli człowiek nadal jest potrzebny
Jednym z fundamentów odpowiedzialnego wykorzystania AI jest koncepcja human in the loop.
Oznacza ona pozostawienie człowieka w procesie podejmowania decyzji lub zatwierdzania rezultatów wygenerowanych przez system.
Nie każdy tekst wygenerowany przez AI wymaga oczywiście wieloetapowej kontroli.
Ryzyko związane z przygotowaniem wewnętrznej listy pomysłów na firmową imprezę jest zupełnie inne niż w przypadku analizy prawnej, informacji finansowej, dokumentu dla klienta czy materiału, na podstawie którego podejmowana będzie ważna decyzja biznesowa.
Dlatego procedury powinny uwzględniać poziom ryzyka.
Im poważniejsze mogą być konsekwencje błędu, tym większe znaczenie ma kontrola człowieka.
Najważniejsze jest jednak ustalenie, kto konkretnie ma tę kontrolę wykonać.
Stwierdzenie, że „treści z AI należy sprawdzać”, niewiele daje, jeśli nikt nie wie, kto jest za sprawdzenie odpowiedzialny.
Czy każda treść stworzona przez AI powinna być oznaczana?
To zależy od sposobu jej wykorzystania.
Wewnętrzna pomoc przy redagowaniu wiadomości czy tworzeniu roboczej wersji prezentacji nie musi być traktowana identycznie jak automatycznie wygenerowany materiał publikowany bezpośrednio na zewnątrz.
Znacznie ważniejsze od oznaczania każdego użycia AI jest ustalenie odpowiedzialności za rezultat.
Jeżeli pracownik korzysta z AI jako narzędzia wspomagającego, ale sprawdza treść, poprawia ją i bierze za nią odpowiedzialność, sytuacja jest inna niż w przypadku automatycznej publikacji wyniku bez kontroli człowieka.
Firmy powinny więc klasyfikować zastosowania AI według ryzyka, a nie traktować wszystkich przypadków jednakowo.
AI Governance to również zarządzanie kosztami
Generatywna AI jest nie tylko zagadnieniem dotyczącym bezpieczeństwa i jakości.
Jest również kosztem.
Jeżeli poszczególne zespoły samodzielnie kupują dostęp do różnych usług, organizacja może z czasem płacić za wiele podobnych narzędzi.
Jeden dział korzysta z jednego modelu, drugi kupuje konkurencyjne rozwiązanie, a pracownicy dodatkowo posiadają indywidualne subskrypcje.
Bez centralnej widoczności trudno określić, ile firma faktycznie wydaje na AI i czy wykorzystywane rozwiązania przynoszą wartość odpowiadającą ponoszonym kosztom.
AI Governance zaczyna więc zahaczać również o klasyczne zarządzanie technologią: licencje, dostawców, dostęp i wykorzystanie zasobów.
Czy należy zablokować pracownikom ChatGPT?
Najprostsza odpowiedź na ryzyko shadow AI brzmi: zablokować wszystkie zewnętrzne narzędzia.
Tylko że w wielu organizacjach może to być rozwiązanie pozorne.
Jeżeli pracownicy rzeczywiście zyskują dzięki AI znaczną oszczędność czasu, całkowity zakaz może sprawić, że część z nich będzie próbowała obchodzić ograniczenia.
Może wtedy korzystać z prywatnego komputera, telefonu lub konta.
W rezultacie firma zamiast zwiększyć kontrolę, może mieć jej jeszcze mniej.
Alternatywą jest stworzenie bezpiecznej ścieżki korzystania z AI.
Pracownik powinien wiedzieć:
- z czego może korzystać,
- do czego może tego używać,
- jakich informacji nie wolno przekazywać,
- oraz kiedy wynik musi zostać sprawdzony przez człowieka.
– Nie chodzi o blokowanie AI ani kontrolowanie każdego promptu. Chodzi o stworzenie takich granic, w których pracownicy mogą korzystać z AI szybko i wygodnie, ale organizacja nie traci nad tym kontroli – podkreśla Bartosz Łopiński.
Polityka AI nie może kończyć się na dokumencie
Wiele organizacji zaczyna zarządzanie AI od napisania polityki.
To dobry pierwszy krok.
Nie powinien być jednak ostatnim.
Dokument, którego nikt nie czyta i którego zasad nie da się zastosować w codziennej pracy, daje jedynie pozorne poczucie bezpieczeństwa.
Skuteczny model zarządzania powinien łączyć przynajmniej kilka elementów:
- Zasady – pracownik wie, co jest dozwolone.
- Technologię – organizacja posiada narzędzia umożliwiające egzekwowanie kluczowych reguł.
- Edukację – użytkownicy rozumieją ryzyka związane z AI.
- Odpowiedzialność – wiadomo, kto zatwierdza rezultat.
- Audytowalność – w przypadku problemu można ustalić, co się wydarzyło.
Dopiero połączenie tych elementów daje organizacji realną kontrolę.
AI Act dodatkowo zwiększa znaczenie kompetencji dotyczących AI
Zarządzanie wykorzystaniem sztucznej inteligencji nie jest już wyłącznie kwestią dobrych praktyk przedsiębiorstwa.
W Unii Europejskiej stopniowo wdrażane są przepisy AI Act, które ustanawiają wspólne ramy prawne dotyczące systemów sztucznej inteligencji.
Jednym z istotnych zagadnień jest AI literacy, czyli odpowiedni poziom wiedzy i kompetencji osób zajmujących się systemami AI lub wykorzystujących je w imieniu organizacji.
Dla przedsiębiorstw oznacza to, że edukacja dotycząca sztucznej inteligencji nie powinna ograniczać się do szkolenia pokazującego pracownikom, jak pisać skuteczne prompty.
Równie ważne jest rozumienie ograniczeń modeli, ryzyka błędów, zasad dotyczących danych oraz odpowiedzialności związanej z wykorzystaniem wygenerowanych rezultatów.
Nie każda firma potrzebuje własnego modelu AI
Kolejnym problemem, przed którym stają organizacje, jest wybór technologii.
Najpopularniejsze modele AI są dostarczane przez dużych globalnych producentów. Nie oznacza to jednak, że przedsiębiorstwo musi stworzyć własny model językowy, żeby zachować kontrolę nad wykorzystaniem sztucznej inteligencji.
Znacznie ważniejsza może być możliwość decydowania:
- jakie modele są dopuszczone,
- jakie dane mogą do nich trafiać,
- którzy użytkownicy mogą z nich korzystać,
- do jakich zastosowań są przeznaczone,
- oraz jakie zasady bezpieczeństwa obowiązują niezależnie od dostawcy.
To istotne również dlatego, że rynek AI zmienia się niezwykle szybko.
Model będący dzisiaj standardem w organizacji za rok może zostać zastąpiony innym rozwiązaniem.
Dobrze zaprojektowane AI Governance nie powinno więc zależeć wyłącznie od jednego producenta technologii.
Cyfrowa suwerenność nie oznacza rezygnacji z globalnego AI
W debacie o sztucznej inteligencji coraz częściej pojawia się również pojęcie cyfrowej suwerenności.
Wiele najpopularniejszych modeli wykorzystywanych przez europejskie przedsiębiorstwa rozwijanych jest poza Europą.
Nie musi to automatycznie oznaczać konieczności rezygnowania z tych technologii.
Znacznie bardziej praktyczne jest rozwijanie lokalnych kompetencji pozwalających świadomie decydować, w jaki sposób zewnętrzne modele są wykorzystywane.
Dla przedsiębiorstwa cyfrowa suwerenność może więc oznaczać nie tyle posiadanie własnego odpowiednika każdego globalnego modelu AI, ile zachowanie kontroli nad danymi, procesami, bezpieczeństwem i wyborem dostawców.
Od shadow AI do kontrolowanego wykorzystania sztucznej inteligencji
Sztuczna inteligencja prawdopodobnie pozostanie elementem codziennej pracy.
Pytanie nie brzmi więc już wyłącznie: czy pracownicy będą korzystać z AI?
Znacznie ważniejsze jest:
czy firma będzie wiedziała, jak z niego korzystają?
Shadow AI jest problemem właśnie dlatego, że wykorzystanie technologii rozwija się szybciej niż zdolność organizacji do zarządzania nim.
Pracownik widzi narzędzie, które pozwala mu przygotować prezentację w pół godziny zamiast w trzy godziny. Naturalne jest, że będzie chciał z niego korzystać.
Rolą firmy nie powinno być więc automatyczne blokowanie technologii, lecz stworzenie warunków, w których można wykorzystać jej produktywność bez utraty kontroli nad danymi i odpowiedzialnością.
7 pytań, które firma powinna zadać o AI już teraz
Dobrym początkiem nie musi być zakup kolejnego systemu.
Najpierw warto sprawdzić, czy organizacja potrafi odpowiedzieć na siedem prostych pytań:
-
Z jakich narzędzi AI korzystają nasi pracownicy?
-
Do jakich zadań ich używają?
-
Jakie dane mogą przekazywać do modeli?
-
Których danych nie wolno do nich wprowadzać?
-
Kto weryfikuje treści wygenerowane przez AI?
-
Kto odpowiada za rezultat wykorzystany przez firmę?
-
Czy w przypadku problemu jesteśmy w stanie odtworzyć sposób powstania danego materiału?
Jeżeli na większość z nich odpowiedź brzmi „nie wiemy”, problemem organizacji nie jest to, że pracownicy korzystają z AI.
Problemem jest to, że firma straciła widoczność nad częścią własnych procesów.
I właśnie tę lukę powinno wypełnić AI Governance.
FAQ: AI Governance i shadow AI
Co to jest shadow AI?
Shadow AI to wykorzystywanie przez pracowników narzędzi sztucznej inteligencji poza pełną wiedzą lub kontrolą organizacji. Może obejmować np. korzystanie z niezatwierdzonych modeli AI albo przekazywanie do nich firmowych danych bez ustalonej procedury.
Co oznacza AI Governance?
AI Governance to zbiór zasad, procesów, odpowiedzialności i mechanizmów kontrolnych określających sposób wykorzystania sztucznej inteligencji w organizacji. Obejmuje m.in. dopuszczone narzędzia, zasady dotyczące danych, kontrolę rezultatów i odpowiedzialność użytkowników.
Czy firma powinna mieć politykę korzystania z AI?
Wprowadzenie jasnych zasad jest dobrym punktem wyjścia, szczególnie jeśli pracownicy wykorzystują generatywną AI w codziennej pracy. Sama polityka nie wystarczy jednak bez edukacji, określenia odpowiedzialności i możliwości zastosowania zasad w praktyce.
Czy można wprowadzać dane firmowe do ChatGPT i innych modeli AI?
Nie można odpowiedzieć na to pytanie jednakowo dla wszystkich organizacji i usług. Zależy to m.in. od rodzaju danych, wykorzystywanego produktu, jego warunków, konfiguracji oraz zasad obowiązujących w przedsiębiorstwie. Firma powinna jasno określić, jakie informacje mogą być przetwarzane przy pomocy zatwierdzonych narzędzi AI.
Kto odpowiada za błąd wygenerowany przez AI?
Z perspektywy zarządzania organizacja powinna z góry określić odpowiedzialność za weryfikację i zatwierdzanie rezultatów AI. Szczególnie istotne jest to przy materiałach kierowanych do klientów, zarządu, publikowanych publicznie lub wykorzystywanych do podejmowania istotnych decyzji.
Czy AI Governance oznacza kontrolowanie promptów pracowników?
Nie musi. Celem AI Governance jest przede wszystkim stworzenie zasad pozwalających korzystać z AI w kontrolowany sposób. Zakres monitorowania powinien być dopasowany do potrzeb, ryzyka i obowiązujących organizację regulacji.
Czy shadow AI jest tym samym co shadow IT?
Pojęcia są ze sobą związane. Shadow IT odnosi się szerzej do wykorzystywania niezatwierdzonych technologii i usług IT, natomiast shadow AI koncentruje się na niekontrolowanym wykorzystaniu narzędzi sztucznej inteligencji.
Zostaw komentarz