رهبران IT و امنیت با ریسک‌های مربوط به یکپارچه‌سازی‌های غیرمجاز (Unauthorized Integrations)، ابزارهای دارای پیکربندی نادرست (Misconfigured Tools) و انطباق تامین‌کنندگان (Vendor Compliance) آشنا هستند. اما اکنون، هوش مصنوعی مشکلی مجزا و سخت‌تر برای شناسایی ایجاد کرده است. در تمامی بخش‌های سازمان، کارکنان از ابزارهای AI برای تولید کدهای سطح تولید (Production-grade code)، ایجاد جریان‌های کاری خودکار (Automated Workflows) و استقرار ایجنت‌ها (Agents) برای پشتیبانی از فرآیندهای تجاری استفاده می‌کنند.
این آزمایش‌ها و پیاده‌سازی‌ها بدون دید کافی نسبت به دستاوردهای سایر بخش‌ها و بدون درک ریسک‌های ساختاری که در نتیجه آن انباشته می‌شوند، در حال رخ دادن است. مدل‌های حاکمیتی (Governance Models) که سازمان‌های بزرگ حتی تا شش ماه پیش به آن‌ها تکیه می‌کردند، برای این شرایط یا آنچه در آینده پیشرو است، طراحی نشده‌اند. تمرکز ما بیش از حد بر این بوده است که کدام ریسک‌های AI را مدیریت کنیم، اما هرگز به بازنگری در این مورد که چه مدل عملیاتی باید زیربنای این حاکمیت باشد، نپرداختیم.
چگونه ریسک‌های نامرئی انباشته می‌شوند؟
در سازمان‌های بزرگ، یک گلوگاه عملیاتی پیش‌بینی‌پذیر رخ می‌دهد: یک تیم به پشتیبانی AI نیاز دارد، اما کانال‌های رسمی کند، دارای صف انتظار طولانی یا مبهم هستند. در نتیجه، تیم به صورت مستقل ابزاری را می‌سازد. این غریزه برای پیشبرد کار درست است، اما ساختار آن اشتباه است. هزینه‌های این ناکارآمدی می‌تواند به سرعت افزایش یابد:
- تلاش‌ها در بخش‌های مختلف بدون دید کلی تکرار می‌شوند.
- ابزارهای سیلو شده (Siloed Tooling) بدون استانداردهای مشترک ایجاد شده و شیوه‌های امنیتی و مدیریت داده‌ها از هم فاصله می‌گیرند.
- نیروی انسانی از مسئولیت‌های اصلی خود دور می‌شود تا ابزارهای AI را نگهداری کند که احتمالاً سه تیم دیگر نیز به طور مستقل ساخته‌اند.
در این میان، واحد حاکمیت تنها مشغول بررسی صف‌های قابل مشاهده است: یکپارچه‌سازی‌هایی که از مراحل تایید عبور کرده‌اند یا تامین‌کنندگانی که در درخواست‌های خرید ظاهر شده‌اند. ابزاری با پیکربندی غلط که از بررسی‌ها عبور کرده باشد، یک ریسک مدیریت‌شده است؛ اما یک جریان کاری در بخش مالی که توسط کارکنان در تعطیلات آخر هفته و بدون هیچ نظارتی ساخته شده، همچنان یک ریسک نامرئی است.
ساخت مدل عملیاتی برای مقیاس‌پذیری حاکمیت AI
آزمایش کردن برای یافتن موارد کاربرد ارزشمند AI ضروری است، بنابراین سرکوب این روند از طریق کنترل‌های سخت‌گیرانه، رویکردی اشتباه است. کنترل‌های شدید اغلب باعث می‌شود این فعالیت‌ها به فضای زیرزمینی (Shadow AI) منتقل شوند. برای مقیاس‌بندی موثر حاکمیت، سه راهکار پیشنهاد می‌شود:
۱. ایجاد یک تیم مرکزی متمرکز بر سیاست‌ها و استانداردها
یک تیم مرکزی AI به عنوان رابط واحد برای پشتیبانی از ریسک‌های شناسایی شده توسط بخش‌های امنیتی، حقوقی و انطباق تعیین شود. این تیم نرده‌های حفاظتی فنی (Technical Guardrails) را تعیین می‌کند، انتخاب تامین‌کنندگان را بر عهده دارد و الگوهای قابل استفاده مجددی ایجاد می‌کند که هر بخشی از سازمان بتواند از آن‌ها بهره ببرد.
۲. گنجاندن مالکان تحول AI در هر بخش
این افراد که به صورت روزمره در یک بخش فعالیت می‌کنند اما به تیم حاکمیت مرکزی گزارش می‌دهند، به اندازه کافی با بافتار (Context) کاری آشنا هستند تا کنترل‌ها را به طور سازگار اعمال کنند. آن‌ها به عنوان نقطه ورود واحد برای درخواست‌های AI در بخش خود عمل می‌کنند تا از ساخت ابزارها در انزوا جلوگیری شود.
۳. اندازه‌گیری حاکمیت بر اساس ارزش افزوده
سیگنال خوب برای موفقیت حاکمیت، میزان استفاده مجدد از موارد کاربرد تایید شده است؛ مثلاً الگویی که برای بخش مالی ساخته شده و اکنون توسط بخش عملیات به کار گرفته می‌شود. کاهش حجم درخواست‌های IT به همراه افزایش استفاده مشهود و متمرکز از AI، نشان‌دهنده بلوغ آزمایش‌ها و حفظ شفافیت است.
سازمان‌هایی که به حاکمیت AI به عنوان یک عملکرد «دروازه‌بانی» (Gatekeeping) نگاه می‌کنند، هدف اصلی را گم کرده‌اند. بزرگترین ریسک‌ها در کارهایی نهفته است که هرگز وارد صف بررسی نمی‌شوند و تنها راه مدیریت آن‌ها، حضور در محل وقوع این فعالیت‌ها، پیش از تبدیل شدن آن‌ها به بدهی‌های فنی (Technical Debt) پیچیده است.
