Sarah Webb, provozní ředitelka a spoluzakladatelka LawVu – série rozhovorů

Sarah Webb je provozní ředitelka a spoluzakladatelka LawVu. Má zkušenosti z oblasti inženýrství a vedení softwarových týmů, mimo jiné ze společností LOVEFiLM a Amazon. Do LawVu nastoupila v roce 2015 jako technická ředitelka a v roce 2020 se stala provozní ředitelkou. Spojuje tak zkušenosti z oblasti technologií, provozu, bezpečnosti a správy. Zaměřuje se na to, aby právním týmům pomáhala propojovat data a pracovní postupy a zároveň vyvažovat inovace v oblasti umělé inteligence s podnikovými riziky.

LawVu nabízí interním právním týmům operační systém pro právní agendu, který na jedné propojené platformě spojuje příjem požadavků, právní záležitosti, smlouvy, výdaje a znalosti. Jeho funkce umělé inteligence a integrace pomáhají týmům pracovat s nástroji, které už používají, a zároveň zachovávat oprávnění a dohled. V tomto rozhovoru Webb hovoří o stínové umělé inteligenci, agentních pracovních postupech, institucionálních znalostech a základech, které podniky potřebují pro řízené zavádění umělé inteligence.

Spoluzaložila jste LawVu poté, co jste velkou část své kariéry věnovala budování a vedení softwarových týmů, mimo jiné ve společnostech LOVEFiLM a Amazon. Co vás přivedlo k tomu, že jste v provozu právních oddělení rozpoznala problém, který stojí za to řešit, a jak se vaše původní vize LawVu proměňovala s tím, jak umělá inteligence měnila technologické prostředí?

Většinu začátku své kariéry jsem strávila v inženýrských a technologických funkcích, mimo jiné ve společnostech LOVEFiLM a Amazon. Přechod k technologiím pro právní oblast jsem původně neplánovala; vyplynul spíše z okolností. V LawVu působím už téměř 11 let. Začínala jsem jako technická ředitelka, ale poměrně brzy jsem přešla na pozici provozní ředitelky. Už tato změna výrazně ovlivnila můj pohled na podnikání.

Na začátku jsme se nejprve snažili vyřešit problém s přehledem. Většina zákazníků přecházela z Outlooku a excelových tabulek a už jen to, že se všechno podařilo soustředit na jednom místě, představovalo skutečný úspěch. Potom nastalo období, kdy týmy přešly na práci na dálku, a bez centralizované platformy byla spolupráce ještě obtížnější. Potvrdilo se tím něco, čeho jsme si všímali už dříve: velká část opakující se právní práce nebyla zbytkem firmy oceňována, nebo o ní ostatní ani nevěděli, protože nebylo kde ji zviditelnit. Toto období nás přimělo věnovat se se zákazníky skutečně důkladnému vzdělávání v tom, jak strukturovat data a řídit interní změny, nejen jim předat nástroj.

Brzy jsme také vytvořili integrace napříč sadou Microsoftu, protože naším cílem vždy bylo zapojit se do prostředí, ve kterém firma každodenně pracuje, a ne po týmech chtít, aby opustily to, co znají. Od té doby se změnil rozsah toho, co si tentýž přístup žádá. Dříve šlo při snižování vstupní bariéry k získání použitelných dat hlavně o pohodlí. Dnes jde o rozdíl mezi umělou inteligencí, která dokáže skutečně pracovat s právní agendou, a umělou inteligencí, která vám jen znovu předkládá tříštěnost, jež v ní už panuje.

Tvrdíte, že „stínová umělá inteligence“ je často spíš problém pracovních postupů než zaměstnanců. Co to v praxi znamená a co se mohou organizace dozvědět, když zaměstnanci obcházejí schválené nástroje nebo systémy umělé inteligence a dávají přednost vlastním řešením?

Pokud lidem uvnitř firmy nezpřístupníte vhodné nástroje, najdou si vlastní, aby pracovali efektivněji. V tom spočívá podstata problému. Když někdo obejde schválený systém, první reakcí bývá označit to za porušení pravidel, které je třeba zarazit nebo proti němuž je potřeba sepsat směrnici. V praxi vám to obvykle říká něco o samotném pracovním postupu: schválená cesta byla pomalejší nebo komplikovanější než alternativa, a tak si lidé našli způsob, jak ji obejít.

Právě proto představuje stínová umělá inteligence větší riziko než stínové IT. Incidenty související se stínovou umělou inteligencí nyní tvoří 20 procent úniků dat a jejich průměrná cena činí 10,2 milionu dolarů. Lidé totiž nepoužívají jen neschválený nástroj, ale vkládají do něj přímo citlivé materiály, například znění smluv, podmínky obchodních dohod a interní úvahy.

Organizace by si z toho měly především vzít ponaučení, kde je mezera. Absence bezpečné a spolehlivé alternativy lidem nezabrání používat umělou inteligenci, jen je přiměje dělat to někde, kde na to nevidíte. Pod tím se navíc skrývá hlubší riziko, které přesahuje oblast bezpečnosti. Když je práce roztříštěná mezi osobními nástroji umělé inteligence místo toho, aby probíhala ve sdíleném a strukturovaném systému, firma se rozhoduje na základě neúplného obrazu, aniž by tušila, že jeho část chybí. Pokud nástroj umělé inteligence vidí jen 60 procent relevantních dat, protože zbytek je v něčím osobním účtu, klesá jeho přesnost a roste riziko chybného rozhodnutí. Zákaz obcházení systému nic z toho nevyřeší. Vyřeší to, když lidem nabídnete něco lepšího než způsob, jakým systém obcházejí.

Na základě spolupráce LawVu se stovkami právních týmů ve velkých firmách: jaké nejčastější chyby podle vás organizace dělají při zavádění správy umělé inteligence, zejména když zaměstnanci získávají přístup ke stále výkonnějším univerzálním nástrojům umělé inteligence?

Nejčastější chybou je považovat písemnou směrnici za skutečnou kontrolu. Mnoho organizací už má dokument, který stanovuje, jak se umělá inteligence má a nemá používat. Jen velmi málo z nich však vybudovalo také funkční opatření, která skutečně řídí, k čemu má nástroj přístup, zaznamenávají, co udělal, a umožňují to zpětně zrekonstruovat, pokud to někdy bude potřeba.

Druhou chybou je nepočítat s tím, kolik rizik přibývá s každým dalším nástrojem. Každé jednoúčelové řešení, které tým zavede, ať už pro smlouvy, výdaje nebo příjem požadavků, vyžaduje vlastní integraci, používá vlastní ověřovací protokol a uchovává vlastní kopii citlivých údajů. Každé z nich se samostatně zdá být zvládnutelné. Dohromady však z právně-technologického prostředí vytvářejí roztříštěnou síť rizik a více než třetina úniků dat má původ právě v takovém přístupu třetích stran. Většina týmů si neuvědomí, jak se tato rizika sčítají, dokud se sama nestane předmětem kontroly poté, co se něco pokazí.

Třetí chybou je přistupovat k univerzálním nástrojům umělé inteligence jinak než k jakémukoli jinému softwaru, který pracuje s citlivými údaji. Každý zákazník, se kterým jsme od samého začátku spolupracovali, včetně zákazníků z veřejného sektoru, u nás prošel úplným bezpečnostním posouzením, protože v systému, jako je ten náš, se nacházejí jedny z nejcitlivějších informací, které firma má: obchodní tajemství, údaje o fúzích a akvizicích (M&A) a osobní údaje (PII). Zaměstnanci přitom každý den předávají stejný druh informací veřejně dostupným nástrojům umělé inteligence, aniž by se setkali s podobně důkladnou kontrolou. Nepůsobí to totiž jako zavedení nového dodavatele, ale jen jako používání nástroje. Právě v tomto rozdílu mezi tím, co prochází auditem, a tím, co ve skutečnosti představuje riziko, se většina programů řízení a správy rozpadá.

LawVu začleňuje do právních operací agenty umělé inteligence a agentní pracovní postupy. Jak určujete, které právní procesy jsou vhodné k autonomnímu provádění pomocí umělé inteligence a které by měly vždy vyžadovat lidskou kontrolu nebo schválení?

Více než na to, jak složitý proces vypadá na papíře, se zaměřujeme na jeho dopad a možnost zvrátit jeho výsledek. Pokud lze chybu snadno odhalit a napravit, bývá takový proces vhodným kandidátem na automatizaci. Proto se pro ni dobře hodí objemná, jasně vymezená práce, například příjem a třídění požadavků.

Cokoli, co se týká závazku vůči třetí straně, právního rizika nebo rozhodnutí, které lze jen obtížně vzít zpět, vyžaduje zapojení člověka, bez ohledu na to, jak přesně se agent při testování jeví. Stejná logika stojí i za tím, jak v LawVu obecně přistupujeme k toleranci rizika. Zjišťujeme, s jakou mírou rizika se tým dokáže smířit, nastavíme odpovídající kontrolní mechanismy a teprve potom autonomii rozšiřujeme. Skutečnou zkouškou není přesnost, ale to, zda dokážeme říct, k čemu měl agent přístup, proč daný krok provedl, zda k němu měl oprávnění a zda to následně dokážeme prokázat. Pokud na tyto otázky nedokážeme odpovědět, proces ještě není připraven fungovat samostatně.

Tato rozhodnutí nejsou jednou provždy; proces, který je dnes bezpečné automatizovat, může přestat být bezpečný, jakmile se jeho využívání rozšíří nebo se pracovní postup začne dotýkat citlivějších materiálů než na začátku. Stanovenou hranici je proto třeba znovu posuzovat, nejen ji jednou vytyčit.

Server MCP od LawVu umožňuje organizacím propojit nástroje, jako jsou ChatGPT, Claude a Microsoft Copilot, přímo s jejich právním provozním prostředím. Jak mohou firmy externím systémům umělé inteligence poskytnout užitečný přístup k podnikovým datům a zároveň zachovat oprávnění, auditovatelnost, ochranu soukromí a kontrolu?

Člověk má sklon si myslet, že propojení a zabezpečení jsou v rozporu, ale nemusí tomu tak být. Zdrojem pravdivých informací o oprávněních musí zůstat platforma, nikoli nástroj umělé inteligence, který na ní běží. Ať už někdo zahájí konverzaci v ChatGPT, Claude nebo Copilot, jeho oprávnění k zobrazování a provádění akcí by se neměla měnit podle toho, které rozhraní zrovna otevřel.

To funguje pouze tehdy, pokud jsou v cílovém prostředí ještě před připojením čehokoli zavedena správná kontrolní opatření, což je právě přípravná práce, kterou většina firem vynechává. Všichni považují MCP za automatické zvýšení bezpečnosti, protože se přenáší méně dat, a to je pravda — ale pouze pokud přijímající systém dokáže určit, k čemu se přistupovalo, proč, prostřednictvím kterého agenta a v čí prospěch, a dokáže to následně také prokázat.

Je tu také obchodní důvod. Pokud centrální nástroj umělé inteligence dokáže rozpoznat, že se požadavek týká právní oblasti, a automaticky jej předat do LawVu, odpadne zdlouhavé přepínání mezi systémy, při kterém by zaměstnanec musel nejprve vědět, kam se obrátit. Zároveň to znamená, že zaměstnanci nebudou sahat po osobním nástroji umělé inteligence, který vůbec nemá přístup k zabezpečené datové sadě založené na spolehlivých datech. Jedno dobře spravované výchozí místo nakonec přispěje k širšímu přijetí víc než jakákoli snaha všechno uzamknout.

Modely umělé inteligence pro všeobecné použití mohou být výkonné, často jim však chybí institucionální paměť organizace, její dřívější rozhodnutí a specifický rizikový profil. Jaké informace a infrastruktura musí model umělé inteligence obklopovat, aby se stal skutečně užitečným pro vysoce důležitou práci ve velkých firmách?

Horizontální umělou inteligenci si představuji jako skvělého cizince: někoho, kdo toho přečetl neuvěřitelné množství, píše krásně a dokáže vést rozhovor téměř o čemkoli. Nikdy se ale nesetkal s vaším klientem. Nikdy neseděl u vašich vyjednávání. Neví, jak vaše organizace vyvažuje rizika. Nikdy neviděl rozhovory, které vedly k výjimkám, na nichž se váš tým dohodl před šesti měsíci.

Právě proto je jedním z prvních kroků mnoha právních týmů propojení AI s interními pravidly a postupy. A je třeba zdůraznit, že to má nesmírnou hodnotu. Když modelu AI zpřístupníte preferovaná smluvní ustanovení, záložní varianty, schvalovací limity a pokyny pro vyjednávání, zvýšení efektivity se projeví téměř okamžitě. Problém je v tom, že k nejdůležitějším právním rozhodnutím často dochází ve chvíli, kdy už standardní postup nevyhovuje: strategický zákazník potřebuje výjimku, příležitost k rychlému růstu ospravedlňuje přijetí dalšího rizika nebo vyjednávání dospěje do bodu, kdy obchodní priority převáží nad preferovaným smluvním ustanovením.

Právě tehdy začíná být patrný právní úsudek. Některé z nejcennějších znalostí se skrývají ve výjimkách, nikoli v interních pravidlech a postupech. Proč jsme tomuto zákazníkovi udělali výjimku? Co se stalo, když jsme o této pozici naposledy vyjednávali se stejnou protistranou? Přijala firma toto riziko i jinde? Eskaloval se tento problém už dříve, a pokud ano, k jakému konečnému rozhodnutí se dospělo?

Odpovědi se málokdy nacházejí v jediném dokumentu; jsou rozptýlené ve smlouvách, schváleních, e-mailech, záznamech o právních záležitostech, zápisech z porad a zkušenostech lidí, kteří se tehdy na dané věci podíleli. Dokument pouze zaznamenává výsledek, zatímco organizace uchovává důvody, které k němu vedly, jinde.

Brilantní cizinec se může pravidla naučit překvapivě rychle, ale pochopit, proč se od nich vůbec odchýlilo, je úplně jiná výzva. O tom, co obvykle odlišuje užitečnou AI od AI, která přináší zásadní proměnu, rozhoduje, kolik vlastních zkušeností organizace uchovala, aby se z nich AI mohla učit.

Mnoho firem nashromáždilo nesourodé smluvní systémy, nástroje pro správu právních záležitostí, tabulky, e-mailové archivy a další zdroje podnikových znalostí. Jak důležité je mít jednotný datový základ ještě před nasazením agentů umělé inteligence a co musí organizace udělat, aby její data byla skutečně připravená pro umělou inteligenci?

Právní agenda je dokonalým příkladem toho, proč je to důležité: smlouvy se připomínkují ve Wordu, schválení přicházejí e-mailem, rozhodnutí se přijímají na Slacku a AI se pak přidá nad úložiště dokumentů, místo aby skutečně propojila jednotlivé pracovní činnosti. Nasadit AI na nesourodý systém znamená jen získat rychlejší přístup k chaosu.

Společnosti, které ještě před nástupem AI strávily roky budováním skutečné datové infrastruktury a uspořádáním svých systémů, jsou těmi, kterým už AI přináší výsledky. V tom spočívá podstata celé věci. Agenty nelze škálovat nad nesourodými smluvními systémy, nástroji pro správu právních záležitostí, tabulkami a archivy e-mailů a zároveň očekávat důvěryhodné výsledky. Nejdřív je třeba vybudovat základy: propojené systémy, jasně nastavené řízení přístupu a definovanou toleranci k riziku. Teprve potom lze vůbec začít uvažovat o škálování AI.

Když podniky zvažují, zda vyvíjet vlastní aplikace AI, pořizovat specializované platformy AI, nebo propojit univerzální modely se stávajícími systémy, jak by měli technologičtí lídři přistupovat k rozhodnutí, zda řešení vyvinout, koupit, nebo integrovat?

Rozhodnutí, zda řešení vyvinout, nebo koupit, zní jako technologická otázka. Podle mých zkušeností jde ve skutečnosti o otázku vyspělosti právních operací. Jde o to, nakolik právní tým vnímá sám sebe jako samostatnou funkci s vlastními pracovními postupy, daty a provozním modelem. Když tým dosáhne potřebné úrovně vyspělosti, správná strategie využití AI v právní oblasti obvykle vyplyne sama.

Pokud jde o vlastní vývoj: pro několik málo týmů, které mají prostředky na to, aby fungovaly jako softwarová společnost, to může dávat smysl. Modely se vyvíjejí, infrastruktura se mění a práce nikdy doopravdy nekončí. Pro většinu týmů není výzvou řešení jednou vytvořit, ale udržovat ho napořád.

Pokud jde o nákup: většina týmů zvolí tuto cestu, ale nákup nepředstavuje jedinou možnost. Ve skutečnosti se pod něj řadí nejméně tři různé věci. Univerzální AI, například ChatGPT, Copilot a Claude, je výkonná, sama o sobě však nerozumí struktuře právních záležitostí, příjmu požadavků ani schvalovacím postupům. AI propojená s jediným specializovaným řešením, například prostřednictvím MCP, představuje významný krok vpřed, její pohled se však stále omezuje na obsah daného systému.

Větší příležitost představuje AI, která rozumí tomu, jak jsou právní činnosti v rámci celé funkce propojené, nejen tomu, co se děje v jednotlivých nástrojích. Když jsou příjem požadavků, právní záležitosti, smlouvy, výdaje a znalosti soustředěny na jednom místě, může AI uvažovat v širších souvislostech, místo aby viděla jen jejich jediný výsek.

Ve společnosti LawVu jste zastávali funkce CTO i COO, a nesli jste tak odpovědnost za technologie, provoz, bezpečnost i realizaci produktové strategie. Jak tato kombinace ovlivnila váš přístup k hledání rovnováhy mezi rychlým rozvojem AI na jedné straně a bezpečností, dodržováním předpisů, spolehlivostí a podnikovými riziky na straně druhé?

Do společnosti LawVu jsem nastoupil v roce 2015 jako CTO a v roce 2020 jsem převzal funkci COO, takže se již více než deset let věnuji technologiím i provozu.

Tato kombinace mění způsob, jak přemýšlíte o inovacích v oblasti AI ve vztahu k zabezpečení a dodržování předpisů, protože je nevnímáte jako oddělená témata. Když interně odpovídám za správu, řízení rizik a dodržování předpisů a zároveň budujeme platformu, která zákazníkům pomáhá řídit tytéž oblasti, nemohu inovace a zabezpečení považovat za postupné kroky, kdy jeden následuje po druhém. Probíhají současně, nebo vůbec. Každý zákazník, kterého jsme měli od samého začátku, prošel úplným bezpečnostním posouzením a pokaždé, když do svého ekosystému přidáte nový nástroj, rozšiřujete tím okruh rizik spojených s těmito daty. Platí to pro nás interně stejně jako pro naše zákazníky, takže když něco budujete a zároveň nesete odpovědnost za to, jak se to spravuje, musíte mít na zřeteli obojí současně.

Jak podle vás agentní AI v budoucnu změní roli právních týmů ve firmách? Budou právní oddělení využívat AI především ke zvýšení produktivity, nebo by se časem mohla stát dozorci nad převážně autonomními pracovními postupy napříč celou firmou?

Generativní AI posunula debatu od postupného zvyšování efektivity k zásadnímu přehodnocení toho, jak se právní práce vykonává a jak má vypadat provozní model ve světě, který rychle směřuje k agentním schopnostem. Agentní AI nevnímám jako přechodný humbuk, ale jako vrstvu realizace, která může právním týmům pomoci přejít od řízení práce k jejímu aktivnímu vykonávání, budou-li k dispozici odpovídající kontroly a ochranná opatření.

V organizacích právě dochází k posunu v tom, kudy se do nich vstupuje: zaměstnanci z jiných oddělení stále častěji začínají pracovat s nástroji, jako jsou Microsoft Copilot nebo Claude, a otázkou je, jak právní oddělení zajistí, aby tyto interakce byly propojené se správnými systémy, správnými daty a správnými pracovními postupy.

Nevnímám to tedy jako volbu mezi nástrojem ke zvýšení produktivity a dohledem, ale jako postupný vývoj. Právní oddělení nejprve využívají AI k rychlejšímu plnění jednotlivých úkolů, ale s tím, jak agentní schopnosti dozrávají, se nabízí skutečná příležitost převzít odpovědnost za samotnou vrstvu realizace a aktivně vykonávat práci prostřednictvím řízených systémů, místo aby jen rychleji vytvářela první návrhy.

Děkuji za skvělý rozhovor. Čtenáři, kteří chtějí prozkoumat propojené právní operace a řízené pracovní postupy využívající AI, by měli navštívit LawVu.