Sua equipe já utiliza IA. A única questão é para onde vai os dados.
O uso não aprovado de chatbots já é rotina na maioria das empresas. O que sai do prédio, por que as proibições falham e como oferecer uma alternativa segura às pessoas.
Quantos ferramentas de IA sua equipe realmente utiliza?
Se você perguntar ao chefe do departamento, ele lhe dará um número. Mas se você fizer uma consulta anônima à equipe, o número será ainda maior. Essa diferença é a IA sombra, e não é um comportamento marginal. Para uma grande parte dos trabalhadores do escritório, é simplesmente como o trabalho é feito agora, pois ninguém lhes forneceu uma maneira sancionada de fazê-lo.
O que realmente é colado
Não são coisas triviais. As pessoas não abrem um chatbot para verificar a ortografia de um memorando. Elas o abrem quando o trabalho é difícil e o prazo está próximo.
Então, o que é colado na caixa é o rascunho do contrato de fornecimento que precisa ser resumido antes de uma chamada às quatro da tarde. O currículo do candidato e as anotações brutais do entrevistador, transformadas em uma carta de rejeição que não causará problemas. O e-mail de um cliente irritado com o número da conta ainda visível. Uma planilha das margens do último trimestre por cliente, colada inteira para que o modelo encontre o padrão. Logs de produção que, por acaso, contêm uma chave de API três linhas abaixo. A pasta de trabalho, porque alguém queria uma versão em inglês simples até a manhã seguinte.
Cada um desses é uma decisão razoável de um funcionário tentando fazer um bom trabalho. Juntos, eles movem seus dados confidenciais, informações pessoais dos clientes e, ocasionalmente, credenciais ao vivo para infraestruturas que você não tem contrato, sem termos de retenção, e sem registro.
Por que a proibição não funciona
A resposta usual é bloquear os domínios e enviar um e-mail firme. Isso não funciona e, na verdade, piora as coisas de uma maneira específica.
Bloquear a rede corporativa move a atividade para telefones pessoais, onde você não tem nenhuma visibilidade. O trabalho ainda é feito com IA, apenas fora do alcance de qualquer coisa que você possa ver ou governar. Enquanto isso, as pessoas que obedecem à política fazem as mesmas tarefas mais lentamente do que as que ignoram, o que ensina a todos qual comportamento a empresa realmente recompensa. Uma proibição converte um problema gerenciável em um invisível e paga pelo privilégio em produtividade.
A exposição é contratual antes de ser técnica
O verdadeiro risco raramente é uma violação dramática. É a documentação.
As camadas de consumo da maioria dos chatbots podem usar o que você digita para melhorar o produto; as camadas empresariais geralmente não. Essa distinção é a diferença entre uma relação normal de fornecedor e uma transferência não registrada de dados pessoais para um processador que você nunca nomeou, sem acordo de processamento de dados, sem período definido de retenção e sem ideia de qual jurisdição ele chegou. Seus próprios contratos com clientes proíbem cada vez mais exatamente isso, e muitos agora exigem que você mencione todos os subprocessadores que lidam com os dados dos clientes.
A pior parte é o registro. Quando um cliente importante pergunta se suas informações passaram por um sistema de IA de terceiros, "não sabemos" é uma resposta muito mais prejudicial do que "sim, sob esses termos."
Ofereça às pessoas um lugar melhor para ir
A IA sombra é um sinal de demanda. Seus funcionários lhe disseram, através de seu comportamento, que essa ferramenta os torna mais rápidos. A tarefa é atender a essa demanda nos seus termos.
Uma opção sancionada só funciona se for tão boa quanto o que eles usam agora e não for mais difícil de alcançar. Isso significa uma camada empresarial ou de empresa com treinamento desativado, acesso único (SSO) para que os ex-funcionários percam efetivamente o acesso, retenção configurada intencionalmente em vez de padrão, e um acordo assinado que você possa mostrar a um cliente. Para a estreita faixa de material realmente restrito - registros de pacientes, resultados não publicados, código sob NDA, privilégio legal - a resposta é um modelo rodando em hardware que você controla, onde os dados nunca saem do prédio.
Os primeiros 90 dias
- Faça uma consulta em vez de uma auditoria. Uma pesquisa anônima perguntando quais ferramentas as pessoas usam e para que servirá mais do que a análise de logs em uma semana, e não coloca ninguém na defensiva.
- Compre uma ferramenta corretamente. Escolha o líder para seu principal caso de uso, pegue a camada empresarial, desative o treinamento, coloque-a atrás do SSO e implemente-a para todos que precisarem dela.
- Escreva uma página de regras em linguagem simples. Três categorias - ok, pergunte primeiro, nunca - com exemplos reais retirados dos seus próprios negócios, não de classes abstratas de dados.
- Nomeie uma pessoa para a categoria "pergunte primeiro". Se "pergunte primeiro" não tiver um endereço, se torna "faça mesmo assim."
- Treine os usuários mais pesados por uma hora. Eles definem as normas para os outros.
- Revise em 90 dias contra o que as pessoas realmente fazem.
O objetivo não é zero uso de IA fora da lista aprovada. O objetivo é que nada sensível saia da sua organização sem um contrato por trás, e você possa dizer isso com evidências.
Esta é a parte da adoção de IA que ninguém se voluntaria: a pesquisa, os termos do fornecedor, o inventário embaraçoso do que já foi enviado. Na Hercules A, carregamos esse fardo para nossos clientes, incluindo modelos privados e internos para o trabalho que nunca deve tocar um serviço público. O trabalho pesado é o ponto.