Dein Personal nutzt bereits KI. Die einzige Frage ist, wohin die Daten gehen.
Nicht genehmigter Chatbot-Einsatz ist bereits Routine in den meisten Unternehmen. Warum Verbote scheitern und wie man Menschen sichere Alternativen bietet.
Wie viele AI-Tools verwendet euer Team tatsächlich?
Fragt ihr den Abteilungsleiter, bekommt ihr eine Zahl. Fragt ihr anonym das Team, erhaltet ihr eine höhere Zahl. Dieser Unterschied ist Schatten-AI und keine Randerscheinung. Für einen großen Teil der Büroangestellten ist sie einfach die Art und Weise, wie die Arbeit heute erledigt wird, da niemand ihnen eine genehmigte Methode dafür gegeben hat.
Was tatsächlich kopiert wird
Nicht die einfachen Dinge. Menschen öffnen keinen Chatbot, um ein Memo zu überprüfen. Sie öffnen ihn, wenn die Arbeit schwierig ist und die Frist nahend.
Also werden in das System der unübersetzte Vertragsentwurf eingefügt, der vor einem Telefonat um vier Uhr zusammengefasst werden muss, die Bewerbungsunterlagen eines Kandidaten und die unfreundlichen Notizen des Interviewers, die zu einem Ablehnungsbrief werden, der keine Probleme verursachen wird. Die wütende E-Mail eines Kunden mit der Kontonummer noch darin. Eine Tabellenkalkulation der Gewinnmargen des letzten Quartals pro Kunde, eingefügt, damit das Modell das Muster finden kann. Produktionsprotokolle, die zufällig einen API-Schlüssel drei Zeilen weiter unten enthalten. Die Geschäftsunterlagen, weil jemand bis zum Morgen eine verständliche Version wünschte.
Jedes dieser Beispiele ist eine vernünftige Entscheidung eines Mitarbeiters, der versucht, eine gute Arbeit zu leisten. Zusammen bewegen sie Ihre vertraulichen Unterlagen, die Daten Ihrer Kunden und gelegentlich Ihre Live-Anmeldeinformationen auf Infrastruktur, von der Sie keinen Vertrag, keine Aufbewahrungsbedingungen und keine Aufzeichnung haben.
Warum ein Verbot nicht funktioniert
Die übliche Reaktion ist, die Domains zu blockieren und eine klare E-Mail zu senden. Das funktioniert nicht und verschlimmert die Situation auf spezifische Weise.
Durch das Blockieren des Unternehmensnetzwerks wird die Aktivität auf persönliche Handys verlagert, wo Sie überhaupt keine Sichtbarkeit haben. Die Arbeit wird immer noch mit AI erledigt, nur außerhalb dessen, was Sie sehen oder steuern können. Währenddessen erledigen diejenigen, die sich an die Richtlinie halten, dieselben Aufgaben langsamer als diejenigen, die sie ignorieren, was jedem das Verhalten lehrt, das das Unternehmen tatsächlich belohnt. Ein Verbot wandelt ein beherrschbares Problem in eine unsichtbare Angelegenheit um und zahlt für diese Privilegierung in Form von Produktivität.
Die Offenlegung liegt im Vertrag vor der Technik
Das eigentliche Risiko ist selten ein dramatischer Verstoß. Es ist die Papierarbeit.
Die meisten Chatbot-Verbraucherversionen nutzen, was Sie eingeben, um das Produkt zu verbessern; Geschäftsversionen tun dies in der Regel nicht. Dieser Unterschied bedeutet den Unterschied zwischen einer normalen Geschäftsbeziehung und einer unlogierten Übertragung persönlicher Daten an einen Verarbeiter, den Sie nie ernannt haben, ohne einen Datenschutzvertrag, eine festgelegte Aufbewahrungsfrist oder gar keine Ahnung, in welcher Gerichtsbarkeit die Daten gelandet sind. Ihre eigenen Kundenverträge verbieten dies zunehmend und viele erfordern nun, dass Sie alle Sub-Prozessoren auflisten, die mit den Daten Ihrer Kunden arbeiten.
Das Schlimmste ist die Aufzeichnung. Wenn ein wichtiger Kunde fragt, ob seine Informationen durch ein Drittanbieter-AI-System verarbeitet wurden, ist "wir wissen es nicht" eine viel schädlichere Antwort als "ja, unter diesen Bedingungen."
Bieten Sie bessere Alternativen an
Schatten-AI ist ein Nachfragesignal. Ihre Mitarbeiter haben Ihnen durch ihr Verhalten mitgeteilt, dass dieses Tool sie schneller macht. Die Aufgabe besteht darin, diese Nachfrage auf Ihren Bedingungen zu erfüllen.
Eine sanktionierte Option funktioniert nur, wenn sie genauso gut ist wie das, was sie derzeit verwenden, und nicht schwieriger zu erreichen ist. Das bedeutet ein richtiges Geschäft oder Enterprise-Level mit deaktivierter Schulung, Single Sign-On für Abwanderer, absichtlich konfigurierte Aufbewahrung anstelle der Standardkonfiguration und einem unterzeichneten Vertrag, den Sie einem Kunden zeigen können. Für die enge Bandbreite wirklich eingeschränkter Materialien – Patientenakten, unveröffentlichte Ergebnisse, Code unter NDA, Rechtsprivilegien – ist die Antwort ein Modell auf Hardware, die Sie kontrollieren, wo die Daten nie das Gebäude verlassen.
Die ersten 90 Tage
- Fragen statt auditieren: Eine anonyme Umfrage zu den Tools, die Menschen verwenden und für was, wird Ihnen in einer Woche mehr verraten als eine Protokolanalyse in einem Viertel, und sie stellt niemanden auf die Defensive.
- Eines Tools richtig kaufen: Wählen Sie den Marktführer für Ihren Hauptanwendungsfall, nehmen Sie das Enterprise-Level, deaktivieren Sie die Schulung, stellen Sie es hinter SSO und rollen Sie es allen aus, die es benötigen.
- Eine Seite mit Regeln in einfacher Sprache schreiben: Drei Kategorien – in Ordnung, fragen Sie zuerst, niemals – mit echten Beispielen aus Ihrem eigenen Geschäft, nicht abstrakte Datenklassen.
- Eine Person für die mittlere Kategorie benennen. Wenn "fragen Sie zuerst" keine Adresse hat, wird es zu "machen Sie es trotzdem."
- Die wichtigsten Benutzer eine Stunde schulen. Sie setzen die Normen für alle anderen.
- Nach 90 Tagen überprüfen, was Menschen tatsächlich tun.
Das Ziel ist nicht Null AI-Nutzung außerhalb der genehmigten Liste. Das Ziel ist, dass nichts Vertrauliches Ihr Unternehmen verlässt, ohne einen Vertrag dahinter zu haben, und dass Sie dies mit Beweisen belegen können.
Dies ist der Teil der AI-Implementierung, den niemand freiwillig machen möchte: die Umfrage, die Vertragsbedingungen, die unangenehme Bestandsaufnahme dessen, was bereits herausgegangen ist. Bei Hercules A tragen wir diese Last für unsere Kunden, einschließlich der privaten, On-Premise-Modelle für Arbeiten, die niemals einem öffentlichen Dienst berühren sollten. Die harte Arbeit ist der Punkt.