Användningen av AI inom företagen har ökat kraftigt – och it-cheferna arbetar långt in på natten för att hantera riskerna och styrningsfrågorna kring AI-användningen.
Det är visserligen positivt att AI-styrningen får allt större uppmärksamhet i företagens AI-strategier, vilket innebär en övergång från en ”allt är tillåtet”-strategi till riskmedvetna handlingsplaner inriktade på värdeskapande. Men det betyder också ett merarbete för de ansvariga – i takt med att utmaningarna med agentbaserad AI snabbt ökar.
Inte bara ägnar fyra av fem högt uppsatta beslutsfattare inom företagen, däribland cio:er, ciso:er och cdo:er, en större del av sin arbetsdag åt att hantera AI-risker, utan deras arbetstid har i genomsnitt ökat med 26 procent på grund av detta, enligt en ny undersökning som publicerats av One Trust, leverantör av en plattform för AI-styrning.
Jämför detta med de senaste resultaten från Boston Consulting Group, som fann att 42 procent av de anställda i frontlinjen som regelbundet använder AI sparar nästan en hel arbetsdag varje vecka, varav majoriteten inte får någon vägledning om vad de ska göra med den sparade tiden, och man får en bild av en organisation präglad av frenetisk aktivitet, tvivelaktig inriktning och mycket högavlönad tid som läggs på sanering och tillsyn.
En stor del av den extra tid som ledare lägger på att hantera AI-risker beror på en ökad medvetenhet om AI-risker och styrning, säger it-chefer och branschobservatörer, men prioritering och andra faktorer spelar också en betydande roll.
Till exempel uppger en tredjedel av de som svarade på One Trusts undersökning att de har sett medarbetare använda icke-godkänd AI eftersom godkända verktyg eller processer inte var tillgängliga tillräckligt snabbt. 86 procent har rapporterat AI-relaterade incidenter, och över en fjärdedel har upplevt två eller fler incidenter där AI-system vidtagit icke-godkända åtgärder.
Men enligt Blake Brannon, innovationschef på One Trust, är en stor del av förklaringen att AI-användningen ökar explosionsartat.
– Det handlar om den enorma volymen med införandet av AI i organisationerna, säger han.
– Oavsett vilken AI de använde i början av året är den nu förmodligen mer än dubbelt så omfattande som den de planerar att använda inom företaget, och det är en faktor som förstärker effekten.
Styrning av icke-godkänd användning
En viktig faktor är att allt fler icke-it-anställda får tillstånd att använda AI för att bygga sina egna appar, säger Brannon. Denna utveckling mot medborgarutveckling skapar ett större behov av styrning.
– Vi ser en exponentiell tillväxt, inte nödvändigtvis när det gäller olika AI-leverantörer eller verktyg – även om det också växer – utan i form av en explosion av medborgarutvecklare och den nya kreativitet som har frigjorts, säger han.
AI skapar nya utmaningar för it-chefer i samma takt som de hinner förstå dem, säger han, och tekniken komplicerar riskhanteringen på grund av den hastighet med vilken den kan fatta beslut och skapa problem.
– Säkerhet, regelefterlevnad och riskhantering har historiskt sett bara behövt styra människor. Människor var deterministiska och rörde sig i mänsklig hastighet.
Viren Meghani, teknisk arkitekt på Tata Consultancy Services, ser också att it-chefer lägger mer tid på AI-styrning och riskhantering än för ett år sedan, men tror att det till stor del har att göra med skugg-AI.
– Intressant nog beror denna ökning inte på övervakningen av de godkända verktygen. I stället handlar det helt och hållet om att spåra de icke godkända, säger han.
Meghani tror att medarbetarnas brådskande behov av AI-lösningar är en nyckelfaktor.
– Folk väntar inte; de hittar ett verktyg som fungerar för dem. Då måste styrningen skynda sig att införa kontroller kring något som aldrig utvärderats ordentligt.
Att lägga mer tid på styrning innebär inte heller att it-cheferna gör det på rätt sätt, tillägger han.
– Tid som läggs på att reagera på incidenter är inte detsamma som tid som läggs på att bygga upp effektiva kontroller. Om man är upptagen med att utreda vad ett icke-godkänt verktyg har gjort, så styr man inte egentligen; man släcker bara bränder.
De organisationer som tar AI-styrning på allvar investerar tid i arkitekturen innan implementeringen, med hjälp av metoder som datahärkomst, modellversionering, eskaleringsvägar och revisionsspår, förklarar Meghani.
– Den typen av arbete hamnar kanske inte på förstasidorna, men det är det som verkligen bidrar till att minska antalet incidenter.
Medvetenhet är inte detsamma som beredskap
Conal Gallagher, cio och ciso hos mjukvaruleverantören Flexera, anser också att att ta styrning på allvar inte innebär att organisationer har uppnått AI-beredskap.
– Riskytan för AI har expanderat så snabbt att den tid som avsätts för att hantera den risken fortsätter att öka. För bara ett år sedan låg mycket av fokuset på att göra det möjligt för medarbetare att experimentera med AI, men nu ser vi fall där autonoma agenter skapar andra agenter och identifierar sårbarheter med otrolig hastighet.
Styrningen försöker ständigt hinna ikapp de förändringar som sker inom AI, tillägger Gallagher.
– Vårt it-teams strategi är att noga överväga vilka funktioner vi ger medarbetarna tillgång till och att bromsa införandet när vi inte förstår risken tillräckligt väl. Vi tillämpar också etablerade säkerhetsprinciper för att säkerställa att agenterna inte har större tillgång till funktioner än vad de faktiskt behöver. Tekniken må vara ny, men några av de viktigaste kontrollerna är fortfarande välbekanta.
Anant Adya, leveranschef för USA på Infosys, säger att han lägger mer tid på att hantera AI-risker nu än för ett år sedan – en naturlig förändring, tillägger han, med tanke på företagets övergång från experimentering till införande i företagsskala.
– Även om det kräver extra uppmärksamhet, håller det på att integreras i vår verksamhetsmodell snarare än att det bara innebär fler arbetstimmar, säger han.
Denna satsning på att operationalisera styrning och kontroll är avgörande när tekniken integreras i kärnverksamhetens arbetsflöden, säger Adya, särskilt eftersom agentbaserad AI – nästa steg – bara kommer att öka brådskan ytterligare.
– När dessa system får större autonomi kan de få tillgång till känsliga data, interagera med andra system och vidta åtgärder på organisationens vägnar. Företagen behöver starka identitetskontroller, kontinuerlig övervakning och lämplig mänsklig tillsyn.
Kampen för god styrning är fortfarande ett problem för många organisationer, men cio:er som står inför ett överbelastningsproblem och försöker hinna ikapp med AI-styrningen rekommenderas att få grepp om att genomdriva det som är viktigt innan autonoma arbetsflöden förvärrar utmaningen.