Näin rakennat tekoälykulttuuria menettämättä tietojasi

Toimintojen johtajana, joka rakensi Muse Groupin tekoälyn hallintamallin – hyväksyttävän käytön periaatteet, riskienhallinnan suojatoimet ja kypsyyden seurannan – kerron tässä, mistä suosittelen aloittamaan sen perusteella, mitä olemme tehneet Muse Groupissa.

Deloitten tuoreimman Gen Z and Millennial Survey -kyselyn mukaan 74 prosenttia sekä millenniaaleista että Z-sukupolven edustajista kertoo käyttävänsä tekoälyä jossain muodossa päivittäisessä työssään. Monet heistä kokevat sopeutuvansa uusiin työkaluihin organisaatioitaan nopeammin – ja laativat samalla omat sääntönsä tekoälyn käytölle.

Ennen kuin laadit yrityksellesi tekoälyn hallintamallin tai alat ottaa tekoälyä osaksi ihmisten todellisia työtapoja, sinun on tiedettävä, mitä oikeastaan yrität välttää.

Tappava kolmiyhteys

Tekoälytyökalut ovat hyödyllisiä, koska ne tuottavat sujuvaa tekstiä nopeasti ja itsevarmasti. Nämä samat kolme ominaisuutta tekevät niistä riskialttiita. Sujuva ja vakuuttavalta kuulostava vastaus ei ole sama asia kuin täsmällinen tai eettinen vastaus. Todellinen riski syntyy, kun työntekijät käyttävät henkilökohtaisia tilejään, jakavat arkaluonteisia tietoja tai luottavat vastaukseen tarkistamatta sitä.

Tekoälychatbotin ja tekoälyagentin välillä on myös merkittävä ero. Pahimmillaan chatbot antaa väärän vastauksen. Agentti voi toimia vastauksen perusteella – toteuttaa suunnitelman, muokata tiedostoja tai lähettää viestin ilman ihmisen osallistumista. Tutkija ja Djangon toinen luoja Simon Willison, joka on kirjoittanut paljon tekoälyagenttien tietoturvasta, nimesi tämän suurimman riskin version ”tappavaksi kolmiyhteydeksi”: se toteutuu, kun yhdellä agentilla on samanaikaisesti

• pääsy yrityksen tai asiakkaiden yksityisiin tietoihin,
• pääsy epäluotettavaan sisältöön avoimessa verkossa tai kolmansilta osapuolilta (mikä avaa oven kehoteinjektiolle eli sisällön sekaan piilotetuille haitallisille ohjeille) sekä
• kyky toimia ulkoisesti esimerkiksi lähettämällä viestejä, siirtämällä tietoja tai muuttamalla tiedostoja.

Kun kaikki kolme yhdistyvät, agenttia voidaan manipuloida vuotamaan tietoja tai tekemään vahingollisia toimia. Joskus kukaan ei huomaa tapahtunutta ennen kuin vasta paljon myöhemmin.

Kokemukseni mukaan yleisin ongelma ei ole pahantahtoisuus vaan huolettomuus. Ihmiset luottavat sujuvaan tekstiin tarkistamatta sitä tai eivät ymmärrä, ettei henkilökohtainen tekoälytili ole sama asia kuin yrityksen hyväksymä työkalu. Siksi väitän myös, että tekoälystrategian puuttuminen voi olla yhtä vahingollista kuin huono strategia. Kaiken alla olevan yksinkertainen tavoite on varmistaa, etteivät nämä kolme ehtoa koskaan toteudu samassa yhteydessä.

Ehdottomat periaatteet

Laadi periaatteet yhdessä lakiosaston ja tietosuojavastaavan kanssa heti alusta alkaen – ja oleta, että ihmiset ovat jo sinua edellä.

Useimmat työntekijäsi käyttävät jo tekoälyä, oletpa huomannut sen tai et. Jos yritykselläsi ei ole käytäntöä, et luultavasti enää päätä rakennatko sellaista, vaan olet jo myöhässä. Ainoa todellinen valinta on, kuinka nopeasti kurot umpeen tämän eron.

Ota lakiosasto ja tietosuojavastaava mukaan heti alusta alkaen – älä vasta lopuksi hyväksymisleiman antajiksi. Jokainen pyyntö uuden, hyväksymättömän työkalun käyttöönotosta pitää ohjata heidän arvioitavakseen ennen kuin kukaan alkaa käyttää sitä, ei vasta jälkikäteen. Älä kuitenkaan tyydy käytännön kirjoittamiseen: anna tietosuojavastaavallesi, lakitiimillesi tai tekoälyn käyttöönottoa johtavalle henkilölle konkreettinen alusta, jolla hän voi selittää, miksi nämä säännöt ovat olemassa. Käytäntö, jonka perusteluja kukaan ei ymmärrä, jää huomaamatta noudattamatta. Käytäntöä, jonka ihmiset ymmärtävät, myös todella noudatetaan.

Laadimme myös käytännöllisen tarkistuslistan, jonka avulla ihmiset voivat arvioida uuden työkalun itse – esimerkiksi tarkistaa, onko sen tarjoaja tunnettu, onko työkalulla asianmukainen tietosuojakäytäntö ja vaikuttaako se luotettavalta – ilman, että kokeilun aloittamista varten tarvitsee odottaa virallista hyväksyntää. Tarkoituksena oli varmistaa, ettei hallintamalli hidasta käyttöönottoa. Yksi sääntö ei kuitenkaan jousta tarkistuslistasta huolimatta: yrityksen tai asiakkaiden arkaluonteisia tietoja saa syöttää työkaluun vasta, kun se on todella hyväksytty.

Jos yrityksesi osissa käytettiin jo tekoälyä ennen kuin mitään käytäntöä oli olemassa – ja niin lähes varmasti tapahtui – älä teeskentele, ettei niin käynyt. Laadi nimenomaan varjokäytön arviointia varten prosessi: tuo käyttö päivänvaloon, arvioi sitä samoilla perusteilla kuin kaikkea muutakin ja joko hyväksy se, tee siihen muutoksia tai lopeta se.

Käytännössä on määriteltävä selkeästi, mitä tekoälyn kanssa saa jakaa ja mitä ei: mitä voi jakaa vapaasti, mihin tarvitaan ensin tiiminvetäjän hyväksyntä ja mikä on ehdottomasti kiellettyä riippumatta siitä, miten kätevää jakaminen olisi. Rajauksen on oltava niin täsmällinen, että jokainen pystyy arvioimaan omaa tilannettaan sen perusteella – pelkkä epämääräinen kehotus käyttää harkintaa ei riitä.

Jos jokin kysymys ei sovi selkeästi tähän rajaukseen, tiedossa pitää olla tietty henkilö, jolta voi kysyä neuvoa. Meillä tällaisia henkilöitä ovat tietosuojavastaava ja hallintamallin rakentaneet toimintojen johtajat: oikeat ihmiset, eivät yleinen sähköpostiosoite.

Pidä yllä ajantasaista ja tarkistettua luetteloa hyväksytyistä työkaluista.

Tarjoa tiimeille toimintamalli, jonka avulla ne voivat valita omat työkalunsa ja hakea niille hyväksynnän – älä anna ylhäältä päin määrättyä kiinteää luetteloa. Toimintamallissa tulee kertoa, mitä yritys jo tarjoaa ja mitä se suosittelee, miten uutta työkalua voi pyytää ja miten ehdokastyökalun vaatimustenmukaisuus tarkistetaan. Operatiivinen johto ja lakiosasto arvioivat työkalun sopivuutta yrityksen käytäntöihin ja sopimusehtoja. IT tarkistaa, mitä ”tietoturvallisuus” teknisesti tarkoittaa: tukea kertakirjautumiselle, tietojen sijaintia, integraatioriskejä sekä sitä, mitä tapahtuu, jos palveluntarjoaja ostetaan tai lopettaa toimintansa. Arvioinnilla pitää olla myös todellista painoarvoa: mitä palveluntarjoaja tekee tiedoillasi, kouluttaako se mallejaan niillä, ketkä ovat sen alikäsittelijöitä ja voiko tietosi poistaa, jos lopetat palvelun käytön.

Muse Groupissa käytämme tähän tarkoitukseen kevyttä kokeiluprosessia: tiimi voi testata työkalua, jota ei vielä ole hyväksyttyjen työkalujen luettelossa, ja prosessiin sisältyy nopea vaatimustenmukaisuustarkistus. Näin uteliaisuus ei automaattisesti merkitse riskiä.

Käytännöistä käytäntöön

Käytä roolipohjaisia käyttöoikeuksia.

Kaikki eivät tarvitse samanlaista pääsyä tekoälytyökaluihin – tämä on kolmen tekijän kokonaisuuden yksityisiin tietoihin pääsyä koskeva osa, joka vaikuttaa suoraan käyttöoikeuksien määrittelyyn. Asiakastietoja tai taloustietoja käsittelevä tiimi tarvitsee tiukemman hyväksyntämenettelyn kuin tiimi, joka käyttää tekoälyä sisäisten tekstien luonnosteluun. Määrittele selkeästi, mitkä käyttötapaukset edellyttävät hyväksyntää ja mitkä ovat oletusarvoisesti sallittuja. Epäselvyys saa ihmiset turvautumaan henkilökohtaisiin tileihin.

Yleisistä perusteista käytännön sovelluksiin

Yleisellä koulutuksella on paikkansa: se antaa kaikille samat perustiedot siitä, mihin tekoäly pystyy ja mihin ei, sekä vastuullisen käytön perussäännöt. Kun ihmiset siirtyvät tästä eteenpäin ja alkavat kokeilla tekoälyä itsenäisesti, kysymykset muuttuvat kuitenkin nopeasti yksityiskohtaisiksi: taloushallinnon työntekijä haluaa tietää, miten tekoälyä voi hyödyntää taloustyössä, ja asiakastuen työntekijä kaipaa asiakastukeen liittyvää esimerkkiä abstraktin esimerkin sijaan.

Siksi suosimme käytännön esittelyjä diojen sijaan. Koko yrityksen yhteisissä tapaamisissa tiimit näyttävät konkreettisia esimerkkejä siitä, miten ne hyödyntävät tekoälyä työnsä nopeuttamiseen tai tulosten parantamiseen. Kyse ei ole hypoteettisesta esimerkistä, vaan jostakin, jonka kollega on oikeasti rakentanut edellisellä viikolla. Tällaiset esittelyt edistävät käyttöönottoa enemmän kuin mikään käytäntöasiakirja, sillä ne näyttävät ihmisille täsmälleen, mitä heidän omassa työssään voi tehdä – ja esimerkkinä on joku, joka tekee samaa työtä kuin he.

Olemme myös oppineet, ettei riitä, että puhumme tekoälyn voimasta, vaan meidän on käsiteltävä sitä, mikä ihmisiä oikeasti huolestuttaa. Olemme koonneet dokumentaatiota yleisistä hallusinointimalleista ja tunnetuista vinoumista. Lisäksi olemme perustaneet yrityksen laajuisen tekoälyosaajien verkoston, joka toimii epävirallisena asiantuntijaryhmänä. Tällä hetkellä se tarkoittaa lähinnä Slack-kanavaa, jossa voi esittää kysymyksiä ja saada niihin asiantuntevan vastauksen, mutta haluaisimme kehittää toimintaa ajan mittaan niin, että ihmiset voisivat saada henkilökohtaista tukea kahdenkeskisissä tapaamisissa.

Pidä keskustelu aidosti avoimena

Yrityksen koosta ja painopisteistä riippuen tarvitset yhden tai muutaman henkilön, joiden vastuulla tekoälykulttuuri selkeästi on. Osa heidän työtään on varmistaa, että tekoäly pysyy keskustelussa mukana eikä ole aihe, josta ihmiset kuulevat vain käytäntöasiakirjan kautta.

Muse Groupissa keskustelua käydään kolmessa kanavassa.

• Yrityksellä on kaikille avoin Slack-kanava, jossa kuka tahansa voi kysyä tekoälystä ja saada vastauksen.
• Koko yrityksen yhteisissä tapaamisissa tiimit esittelevät konkreettisia esimerkkejä siitä, mitä ne rakentavat tai automatisoivat tekoälyn avulla.
• Lisäksi julkaisemme joka kuukausi sisäisen AI Pulse -koosteen, joka käsittelee tekoälyuutisia laajasti: mitä alalla tapahtuu, mikä muuttuu ihmisten käyttämissä työkaluissa ja mitä Muse Groupissa itsessään tapahtuu. Huolehdimme siitä, että kooste pysyy puolueettomana: siinä käsitellään tekoälyn huolenaiheita ja epäonnistumisia yhtä lailla kuin läpimurtoja.

Tee tekoälykulttuuri näkyväksi

Tekoälykulttuurille ei pidä laatia vain käytäntöasiakirjaa ja perustaa Slack-kanavaa, vaan se ansaitsee oman suunnitelmansa, todellisen budjetin ja nimetyt vastuuhenkilöt – aivan kuten mikä tahansa muu sisäinen hanke, jonka halutaan onnistuvan. Uutiskirjeet, työpajat ja kysymys- ja vastaustilaisuudet ulkopuolisten asiantuntijoiden kanssa tarjoavat tilaisuuden näyttää, miltä tekoälyn vastuullinen käyttö oikeasti näyttää, sen sijaan että vain kuvailisimme sitä. Olemme järjestäneet tilaisuuksia esimerkiksi Corey Brownin, Kehotteen asiantuntija -kirjan kirjoittajan, sekä Oleg Smirnovin, säveltäjän ja Berklee College of Musicin apulaisosastonjohtajan, kanssa. Niissä on keskusteltu nimenomaan tekoälyn merkityksestä musiikin tulevaisuudelle eikä tekoälystä yleisellä tasolla.

Kyse ei kuitenkaan ole tekoälyn hehkuttamisesta. Ihmisiä on koulutettava, ja läpimurroista on puhuttava rinnakkain käytännön asioiden kanssa: miten tekoälyä käytetään vastuullisesti, mitä tietoja ei saa syöttää sille ja milloin päätöksen on jäätävä kokonaan ihmiselle. Tekoäly voi nopeuttaa työtä. Työntekijät ovat silti vastuussa tuotosten tarkistamisesta, arkaluonteisten tietojen suojaamisesta ja sen tunnistamisesta, milloin jotakin ei pidä automatisoida lainkaan.

Mikään tästä ei toimi, ellei tappavan kolmiyhteyden kaikkia kolmea ehtoa oteta huomioon. Muse Groupissa rakentamassamme viitekehyksessä kutakin ehtoa hallitaan omalla keinollaan. Roolipohjainen pääsynhallinta rajoittaa pääsyä yksityisiin tietoihin: se määrittää, kuka voi ylipäätään tuoda arkaluonteisia tietoja agentin ulottuville. Käytännöt ja toimittajien arviointi rajoittavat toimintamahdollisuuksia: ne asettavat rajat sille, kuinka paljon agentti voi tehdä ilman valvontaa sen jälkeen, kun se on jo käsittelemässä arkaluonteista tietoa. Vaikeinta on hallita altistumista itse epäluotettavalle sisällölle – esimerkiksi tekoälyn hallusinoimalle vastaukselle, manipuloidulle asiakirjalle tai verkkosivulle, jolla on piilotettuja ohjeita. Siksi koulutamme työntekijöitä tunnistamaan hallusinointi- ja vinoumamalleja ja korostamme, että ihmisen on pysyttävä mukana kaikessa – ei vain satunnaisena tarkistajana, vaan osana normaalia toimintatapaa. Kun nämä kolme asiaa hoidetaan oikein, tiimit voivat käyttää tekoälyä luottavaisemmin antamatta sille liikaa itsenäistä päätösvaltaa.