Skjult AI: Det reguleringsgapet organisasjonene ikke kan ignorere

På dette punktet i AI-reisen anerkjenner næringslivsledere bredt viktigheten av AI-styring. Imidlertid holder utviklingen av politikker og retningslinjer ikke samme fart som hvordan ansatte adopterer og integrerer AI i daglig arbeid.

Organisasjoner som venter på at styringsrammeverk skal føles “komplette” før de aktiverer AI, må konfrontere en hard realitet: I fravær av klare regler om hvordan, hva og hvor AI kan brukes, vil ansatte definere disse grensene selv. Og disse beslutningene kan komme i direkte konflikt med organisatoriske standarder, risikotoleranse eller regulatoriske forpliktelser.

Dette reguleringsgapet har ført til at skjult AI har blitt det standard operasjonsmodellen innen mange organisasjoner.

Et utbredt og voksende problem

Skjult AI er ikke begrenset til enkeltbidragsytere som eksperimenterer på randen. Det strekker seg over hele organisasjonen, inkludert ledelse. Ettersom AI blir mer integrert i daglige arbeidsflyter, går også senior beslutningstakere utenom formelle godkjenningsprosesser for å nyte godt av AI. I virkeligheten har en ny studie funnet at 68% av sikkerhetsledere, inkludert CISOer, innrømmer å ha inkorporert noen grad av uautorisert AI i arbeidsflyter.

Samtidig rapporterer 79% av IT-ledere at deres organisasjoner allerede har opplevd negative resultater fra å dele bedriftsdata med AI-verktøy. Og analytikere forutser at dette problemet vil intensiveres. Gartner estimerer at over 40% av organisasjonene vil oppleve sikkerhets- eller retningslinje-hendelser på grunn av bruk av uautoriserte AI-verktøy før 2030.

Det utvidede risikoområdet

Skjult AI presenterer en rekke risikoer, inkludert:

• Tap av datakontroll og potensiell datalekkasje
• Utvidede sikkerhetssårbarheter og angrepsflate
• Rettslig og regulatorisk eksponering
• Mangel på oversikt over hvordan AI brukes
• Tap av immaterielle rettigheter
• Ødeleggelse av omdømme
• Uekte eller forvrengte utdata

En betydelig driver for disse risikoene er en grunnleggende misforståelse av hvordan AI-systemer behandler data.

Mange ansatte antar at bruk av “gratis” verktøy, spesielt de som ikke krever innloggingsinformasjon, tilbyr anonymitet eller beskyttelse. I virkeligheten er disse verktøyene ofte avhengige av brukerinput for å trene og forbedre modellene, og i noen tilfeller, deler de data med tredjeparter. Denne dataen kan inkludere svært følsom informasjon som personlig identifiserbar informasjon (PII), medisinsk eller juridisk data, finansielle opplysninger, immaterielle rettigheter og andre konfidensielle forretningsopplysninger.

Enda mer bekymringsverdig, endrer bevissthet ikke alltid atferd. Forskning viser at 38% av ansatte med vilje deler følsom informasjon med AI-verktøy uten organisatorisk godkjenning.

Hvorfor skjult AI består

For å effektivt håndtere skjult AI, må organisasjonene først forstå dens årsak.

I de fleste tilfeller handler ansatte ikke med ond intensjon. De reagerer rasjonelt på sin omgivelse. De er under press for å gå raskere, gjøre mer med mindre og levere bedre resultater. AI muliggjør alt dette.

Skjult AI oppstår når organisatoriske systemer ikke holder tritt med disse forventningene. Vanlige drivere inkluderer:

• Streng forbud mot AI-verktøy på arbeidsplassen
• Godkjente verktøy som er mindre kapable eller mindre brukervennlige
• Press for å møte aggressive frister
• Langsomme eller komplekse innkjøpsprosesser
• Uklare, inkonsistente eller ikke-eksisterende retningslinjer
• Begrenset opplæring eller veiledning
• Overmot til å stole på egen dømmekraft eller undervurdering av risiko

I kjernen er skjult AI et valg. Når de opplevde produktivitetsgevinstene overstiger de opplevde risikoene, vil ansatte alltid velge hastighet og effisiens.

Styr AI uten å kvæle innovasjon

Ansattene bruker allerede AI. Å ignorere denne fakta eller utsette handling kun utvider gapet mellom politikk og praksis.

Organisasjoner bør endre sin tilnærming fra kontroll til muliggjøring.

Dette starter med å etablere klare, praktiske og transparente retningslinjer, selv om de ikke er fullt ut mature. Tidlige retningslinjer gir retning, reduserer usikkerhet og skaper en felles forståelse av akseptabelt bruk.

Men politikk alene er ikke nok. Organisasjoner trenger også oversikt. Dette krever å bygge tillitsbaserte mekanismer som tillater ansatte å trygt avsløre hvilke verktøy de bruker og hvorfor. Tilnærminger som “skjult AI-amnesti”-perioder eller anonym rapportering kan gi kritiske innsikter uten å straffeforholde seg til atferd med en gang.

Samtidig må organisasjonene opprettholde ansvar. I tilfeller hvor dataeksponering er betydelig eller forsømmelig, kan konsekvenser fortsatt være nødvendige. Målet er ikke å eliminere risiko fullstendig, men å håndtere den intelligent.

Fra skjult til strategi

Skjult AI er et signal om at innovasjon går raskere enn organisatoriske strukturer designet for å inneholde den.

Organisasjoner kan ikke vente. Å etablere styring nå, selv om den er ufullstendig, er kritisk for å redusere risiko og gjenopprette oversikt. Men styring alene er ikke nok. Klare retningslinjer må kombineres med muliggjøring, opplæring og tilgjengelige alternativer som muliggjør at ansatte kan bruke AI trygt og effektivt.

Målet er ikke å begrense AI-adopteringsgrad, men å forme den. Når organisasjonene finner denne balansen, skifter skjult AI fra en skjult risiko til en styrt, strategisk evne. Og på den måten kan de lukke gapet mellom hvordan AI brukes og hvordan det bør brukes før dette gapet utvikler seg til et brudd.