Nhân viên của bạn đã sử dụng AI. Câu hỏi duy nhất là dữ liệu đi đâu.
Sử dụng chatbot không được phê duyệt đã trở thành thói quen trong hầu hết các công ty. Điều gì rời khỏi tòa nhà, tại sao các lệnh cấm thất bại và làm thế nào để cung cấp cho mọi người một lựa chọn an toàn.
AI không được phê duyệt: Một vấn đề ngày càng phổ biến trong văn phòng
Khi hỏi một trưởng phòng về số lượng công cụ AI mà nhóm của họ sử dụng, bạn có thể nhận được một con số cụ thể. Nhưng nếu hỏi các thành viên trong nhóm một cách ẩn danh, bạn sẽ nhận được một con số lớn hơn. Khoảng cách này được gọi là "AI không được phê duyệt" và nó không phải là hành vi ngoại lệ. Đối với một phần lớn nhân viên văn phòng, đây đơn giản là cách công việc được thực hiện hiện nay vì không có phương pháp được phê duyệt nào khác.
Những gì thực sự được dán vào hộp
Không chỉ những thứ đơn giản. Nhân viên không mở chatbot để kiểm tra chính tả một bản ghi nhớ. Họ mở nó khi công việc trở nên khó khăn và thời hạn sắp hết hạn.
Vì vậy, những gì được dán vào hộp bao gồm bản thảo hợp đồng cung cấp cần tóm tắt trước cuộc gọi lúc 4 giờ chiều, hồ sơ ứng viên và ghi chú thô của người phỏng vấn, được chuyển thành thư từ chối không gây rắc rối, email của khách hàng tức giận với số tài khoản vẫn còn trong đó, bảng tính về lợi nhuận ròng của quý trước theo từng khách hàng, được dán nguyên vì mô hình cần tìm ra quy luật, nhật ký sản xuất chứa chìa khóa API ba dòng xuống, và tập tin báo cáo hội đồng quản trị vì ai đó muốn có phiên bản tiếng Anh đơn giản vào sáng hôm sau.
Mỗi trường hợp trong số này là quyết định hợp lý của một nhân viên cố gắng làm tốt công việc của mình. Khi kết hợp lại, chúng khiến thông tin nhạy cảm về thương mại, dữ liệu cá nhân của khách hàng và đôi khi là thông tin đăng nhập trực tiếp được chuyển đến cơ sở hạ tầng mà công ty bạn không có hợp đồng, không có điều khoản lưu giữ và không có ý tưởng về khu vực pháp lý nó rơi vào. Các hợp đồng khách hàng ngày càng cấm chính xác điều này, và nhiều hợp đồng hiện nay yêu cầu bạn phải nêu tên tất cả các nhà xử lý phụ khi xử lý dữ liệu của họ.
Tại sao lệnh cấm không hiệu quả?
Phản ứng thông thường là chặn các miền và gửi một email nghiêm khắc. Nhưng điều đó không giúp ích gì và thậm chí khiến vấn đề trở nên tồi tệ hơn theo một cách cụ thể.
Việc chặn mạng nội bộ di chuyển hoạt động sang điện thoại cá nhân, nơi công ty hoàn toàn mất khả năng giám sát. Công việc vẫn được thực hiện bằng AI, chỉ là bên ngoài tầm nhìn hoặc kiểm soát của bạn. Trong khi những người tuân thủ chính sách sẽ thực hiện các nhiệm vụ tương tự chậm hơn so với những người phớt lờ nó, điều này dạy cho mọi người hành vi mà công ty thực sự tưởng thưởng. Một lệnh cấm biến một vấn đề có thể quản lý thành một vấn đề không thể nhìn thấy và chi trả giá sản xuất vì quyền được ẩn danh.
Rủi ro nằm ở khía cạnh hợp đồng hơn là kỹ thuật
Rủi ro thực sự hiếm khi là một vi phạm nghiêm trọng. Nó thường liên quan đến các thủ tục giấy tờ.
Phần lớn chatbot tiêu dùng có thể sử dụng những gì bạn gõ để cải thiện sản phẩm; phần doanh nghiệp thường không làm điều đó. Sự phân biệt này là khác biệt giữa mối quan hệ nhà cung cấp thông thường và chuyển giao dữ liệu cá nhân không được ghi nhận đến một nhà xử lý mà bạn chưa bao giờ chỉ định, không có thỏa thuận xử lý dữ liệu, không có thời gian lưu giữ được xác định và không biết khu vực pháp lý nó rơi vào. Các hợp đồng khách hàng ngày càng cấm chính xác điều này, và nhiều hợp đồng hiện nay yêu cầu bạn phải nêu tên tất cả các nhà xử lý phụ khi xử lý dữ liệu của họ.
Phần khó khăn nhất là việc ghi chép. Khi một khách hàng lớn hỏi liệu thông tin của họ có đi qua hệ thống AI hay không, câu trả lời "có" là gây tổn hại hơn nhiều so với "vâng, theo những điều khoản này."
Cung cấp một lựa chọn tốt hơn
AI không được phê duyệt là một tín hiệu về nhu cầu. Nhân viên đã thông báo cho bạn, thông qua hành vi của họ, rằng công cụ này giúp họ nhanh hơn. Nhiệm vụ của bạn là đáp ứng nhu cầu đó theo điều khoản của bạn.
Một lựa chọn được phê duyệt chỉ hiệu quả nếu nó tốt như những gì họ đang sử dụng và không gây khó khăn hơn trong việc tiếp cận. Điều đó có nghĩa là một phiên bản doanh nghiệp hoặc doanh nghiệp với chức năng đào tạo bị vô hiệu hóa, đăng nhập đơn (SSO) để người rời khỏi công ty thực sự mất quyền truy cập, cấu hình lưu giữ có chủ ý thay vì mặc định, và một thỏa thuận được ký kết mà bạn có thể trình cho khách hàng. Đối với nhóm nhỏ các tài liệu thực sự hạn chế - hồ sơ bệnh nhân, kết quả chưa công bố, mã dưới NDA, đặc quyền pháp lý - câu trả lời là chạy mô hình trên phần cứng do bạn kiểm soát, nơi dữ liệu không bao giờ rời khỏi tòa nhà.
Những bước đầu tiên
- Hỏi thay vì kiểm toán. Một cuộc khảo sát ẩn danh hỏi các công cụ mà mọi người sử dụng và cho những mục đích nào sẽ cung cấp cho bạn nhiều thông tin hơn trong một tuần so với phân tích nhật ký trong một quý, và nó không khiến bất kỳ ai cảm thấy bị đe dọa.
- Mua một công cụ đúng cách. Chọn nhà lãnh đạo cho trường hợp sử dụng chính của bạn, mua phiên bản doanh nghiệp, vô hiệu hóa đào tạo, đặt sau SSO, và triển khai nó cho mọi người cần nó.
- Viết một trang quy tắc bằng ngôn ngữ đơn giản. Ba danh mục - được phép, yêu cầu sự đồng ý trước, tuyệt đối cấm - với các ví dụ thực tế từ chính doanh nghiệp của bạn, không phải là các lớp dữ liệu trừu tượng.
- Chỉ định một người cho danh mục giữa. Nếu "yêu cầu sự đồng ý trước" không có địa chỉ, nó trở thành "làm bất cứ điều gì."
- Đào tạo những người dùng nặng nhất trong một giờ. Họ thiết lập chuẩn mực cho mọi người khác.
- Đánh giá sau 90 ngày so với hành vi thực tế của mọi người.
Mục tiêu không phải là không sử dụng AI bên ngoài danh sách được phê duyệt. Mục tiêu là đảm bảo rằng không có tài liệu nhạy cảm nào rời khỏi tổ chức mà không có hợp đồng đứng sau nó, và bạn có thể chứng minh điều đó bằng bằng chứng.
Đây là phần khó khăn nhất của việc áp dụng AI: khảo sát, các điều khoản nhà cung cấp, kiểm kê cẩn thận những gì đã được chuyển ra ngoài. Tại Hercules A, chúng tôi gánh vác trọng trách này cho khách hàng riêng tư, bao gồm cả các mô hình trên máy chủ riêng cho công việc không nên chạm đến dịch vụ công cộng. Việc vun đắp là điểm mấu chốt.