Kinél kérdés még az, hogy elérhető e a technológia a kis- és középvállalatok számára az AI?
A valódi, sokkal kényelmetlenebb kérdés az, hogy milyen szervezeti állapotba érkezik meg ez az AI képesség. A Microsoft 365 Copilot Business körüli diskurzus főleg attól érdekes, hogy nem egy újabb alkalmazás, amit telepítünk a gépekre, hanem egy olyan AI réteg, amely a meglévő jogosultságokra, adatokra és döntési mintákra épül rá. A mesterséges intelligencia nem rendet tesz egy szervezetben. Ez tévhit. Viszont láthatóvá teszi a rendezetlenséget. Vezetőként ha csak egy új IT-funkcióként tekintünk rá, akkor nem látjuk a lényeget. Valójában az AI azonnali képet fog adni arról, mennyire kontrollált a működés, az adatkezelés és a felelősségvállalás. Tehát nem az jut elsőre a vezető eszébe, hogy milyen szuper, hanem az, hogy minek vette.
Ebben a kontextusban kap teljesen új értelmet a szabályozás is. (akár pl. NIS2 és a DORA) Ezek a szabályozások nem technológiai megfelelést vagy újabb adminisztrációs terhet jelentenek. Fogadjuk el, hogy szükségünk volna sorvezetőre. Pont a szabályok követelik meg azt, hogy a digitális működés kockázata végre vezetői szinten legyen érthető.
Amikor egy mesterséges intelligenciával támogatott környezetben a döntés-előkészítés, az adatfelhasználás és az üzleti logika összefonódik, megszűnik az a kényelmes határ, ahol a felelősséget át lehetett tolni az informatikai osztályra. Amikor nincs világosan kimondva, hogy milyen folyamatokban használható az AI, vagy, hogy hol kötelező az emberi kontroll, és ki viseli ennek a következményeit, akkor a pl. a Copilot nem hatékonyságot, hanem auditálhatatlan működést és láthatatlan kockázatot hoz létre, ami már nem technológiai, hanem irányítási hiányosság.
Ugyanez a szemléletváltás szükséges a mentés és visszaállítás kérdésében is, amit sok szervezet még mindig technikai alapfeladatként kezel. Egy AI-val átszőtt működésben azonban már nem pusztán fájlokról és adatbázisokról beszélünk, hanem döntési kontextusokról, automatikusan generált tartalmakról és üzleti logikák lenyomatairól. A valódi kérdés tehát nem az, hogy van-e biztonsági mentésünk, hanem az, hogy képesek vagyunk-e visszatérni egy olyan állapotba, amely üzletileg és vezetőileg is értelmezhető.
A NIS2 és DORA szellemiségében ez az üzletmenet-folytonosság alapja, nem pedig egy IT-mellékfeladat.
A helyzet a pl. a Copilot Studio és az egyedi AI-ügynökök megjelenésével válik igazán élessé. Ezek az ügynökök nem hoznak döntést, de előkészítenek, priorizálnak és szűrnek, amivel vezetői szempontból azonnal kockázati tényezővé válnak. Gondoljuk végig, hogy egy szerződéses folyamat, amit még soha nem láttam, hogy hagyták volna automatizáltan végigfutni, mert valaki mindig megakasztotta, most akkor valóban rádobunk egy ellenőrizetlen=ellenőrizhetetlen(?) AI-agent opciót?
Amikor egy ügynök rossz irányba terel egy folyamatot, arra nem lehet azt a választ adni, hogy a rendszer hibázott, mert a felelősség nem delegálható az algoritmusnak. Minél több döntés-előkészítést engedünk át a mesterséges intelligenciának, annál tudatosabban kell kijelölni a vezetői felelősség határait. Ebben a keretrendszerben az adatvesztés-megelőzés (DLP) nem egy biztonsági extra, hanem a működés alapfeltétele. Nem technikai beállításokról van szó, hanem kőkemény üzleti döntésekről. Milyen adatokhoz férhet hozzá egy ügynök, milyen rendszerek között mozoghat, és hol hagyhatja el a szervezetet az információ.
