Case Study: When Usage Outruns Control — Closing the Governance Gap Without Braking
A financial-services team had AI in half its client deliverables and controls on paper only. Ninety days later, usage was higher — and every material workflow was covered.
The most dangerous readiness profile we see is not low adoption. It is high adoption over low control1 — real client work flowing through AI faster than anyone is watching it.1This case is a composite drawn from several Fellow engagements, anonymised and simplified. The numbers are representative of what we measure in this pattern, not one client's audited results.
The situation
A financial-services organisation of roughly 800 people came to us after an internal audit question nobody could answer: which client deliverables involve AI, and under what safeguards? The honest answer was a shrug. Analysts were drafting reports, summarising filings, and answering client queries with AI daily. There was a policy document. Almost nobody had read it, and nothing verified the output before it shipped.
A readiness snapshot made the shape visible: Applied use scored high while Judgment & risk scored near the bottom◦. Leadership's instinct was to restrict access until governance caught up.By the numbers71% vs 21%Applied use versus Judgment & risk — the signature gap of the usage-outruns-controls pattern
Why restriction was the wrong move
Restriction does not reduce usage; it relocates it. The workflows delivering real value would not have stopped — they would have moved to personal accounts, out of sight, with the same data and none of the oversight. The exposure would have grown while the dashboard said it had shrunk◦.DefinitionShadow migration The predictable move of useful-but-banned workflows into personal tools, where the same risk continues invisibly
The operating principle we set instead: make the safe path the fast path. Governance had to arrive as an upgrade, not a punishment.
What we did, in order
- Inventoried real usage first. Two weeks of structured conversations — not a survey — mapping which deliverables already touched AI, through which tools, carrying what data, owned by whom.
- Wrote the one-page data rule. One page, plain language, three categories: never leaves approved tools, fine with care, fine freely. Taught in thirty minutes with examples from the team's own deliverables, not hypotheticals.
- Built verification into the two riskiest workflows. A named reviewer and a short checklist at the point where output met the client — inside the workflow, not in a separate compliance step.
- Upgraded the approved tooling until it beat the workarounds. The enterprise deployment got the same models and fewer logins than the personal accounts people had been quietly using. Compliance stopped costing speed.
What changed in ninety days
Usage went up, not down — and moved into approved tools where it could be seen. Verification coverage on material workflows went from zero to complete◦. The audit question that started the engagement became answerable in one meeting. And the one-page rule proved the point about brevity: at the follow-up assessment, most respondents could quote it from memory — which was never true of its forty-page predecessor.By the numbers0 → 100%material client workflows with a named verification step, within one quarter
The room where the rule was taught mattered as much as the rule◦.Figure
Guidance that is taught, with the team's own examples, is guidance that survives contact with deadlines
What to steal
- This week: write the one-page data rule and read it aloud to one team. If it takes more than five minutes to explain, cut it again.
- This month: inventory AI in your real deliverables — tools, accounts, data, owners. Conversations beat forms.
- This month: add a named verification step to the two workflows where a wrong output costs the most.
- This quarter: make the approved path faster than the workaround, then re-measure. If usage did not move into the light, the approved path is still losing.
If your own readiness report flagged this pattern, the gap is already compounding — the sequence above is the repair. We are happy to help you run it◦.RelatedMeasure before you fix: running a first assessment
โปรไฟล์ความพร้อมที่อันตรายที่สุดที่เราพบ ไม่ใช่การใช้งานน้อย แต่คือการใช้งานสูงบนการควบคุมที่ต่ำ1 — งานลูกค้าจริงไหลผ่าน AI เร็วกว่าที่ใครจะตามดูทัน1กรณีศึกษานี้เป็นการประกอบขึ้นจากหลายงานที่ Fellow ได้ทำจริง โดยปรับข้อมูลให้ไม่ระบุตัวตนและย่อให้เข้าใจง่าย ตัวเลขสะท้อนรูปแบบที่เราวัดพบจริง ไม่ใช่ผลตรวจสอบของลูกค้ารายเดียว
สถานการณ์
องค์กรบริการทางการเงินขนาดราว 800 คนมาหาเราหลังจากคำถามจากการตรวจสอบภายในที่ไม่มีใครตอบได้: งานส่งมอบให้ลูกค้าชิ้นไหนบ้างที่ใช้ AI และอยู่ภายใต้มาตรการป้องกันอะไร คำตอบที่ตรงไปตรงมาคือการยักไหล่ นักวิเคราะห์ใช้ AI ร่างรายงาน สรุปเอกสาร และตอบคำถามลูกค้าอยู่ทุกวัน มีเอกสารนโยบายอยู่จริง แต่แทบไม่มีใครเคยอ่าน และไม่มีอะไรตรวจทานผลลัพธ์ก่อนส่งงาน
ภาพรวมความพร้อมทำให้เห็นรูปร่างของปัญหา: การนำไปใช้ (Applied use) ได้คะแนนสูง ขณะที่วิจารณญาณและความเสี่ยง (Judgment & risk) อยู่เกือบท้ายตาราง◦ สัญชาตญาณแรกของผู้บริหารคือจำกัดการเข้าถึงจนกว่าการกำกับดูแลจะตามทันตัวเลข71% กับ 21%Applied use เทียบกับ Judgment & risk — ช่องว่างอันเป็นลายเซ็นของรูปแบบ "การใช้งานล้ำหน้าการควบคุม"
ทำไมการจำกัดจึงเป็นทางเลือกที่ผิด
การจำกัดไม่ได้ลดการใช้งาน แต่ย้ายที่ของมัน เวิร์กโฟลว์ที่สร้างคุณค่าจริงจะไม่หยุด — มันจะย้ายไปอยู่ในบัญชีส่วนตัว พ้นสายตา พร้อมข้อมูลชุดเดิมแต่ไร้การกำกับดูแล ความเสี่ยงจะโตขึ้นในขณะที่แดชบอร์ดบอกว่ามันลดลง◦นิยามShadow migration การย้ายถิ่นที่คาดเดาได้ของเวิร์กโฟลว์ที่มีประโยชน์แต่ถูกแบน ไปสู่เครื่องมือส่วนตัว ซึ่งความเสี่ยงเดิมดำเนินต่ออย่างมองไม่เห็น
หลักการที่เราวางแทนคือ: ทำให้เส้นทางที่ปลอดภัยเป็นเส้นทางที่เร็ว การกำกับดูแลต้องมาถึงในฐานะการอัปเกรด ไม่ใช่การลงโทษ
สิ่งที่เราทำ ตามลำดับ
- สำรวจการใช้งานจริงก่อน ใช้เวลาสองสัปดาห์พูดคุยแบบมีโครงสร้าง — ไม่ใช่แบบสอบถาม — เพื่อระบุว่างานส่งมอบชิ้นใดใช้ AI แล้ว ผ่านเครื่องมือใด พาข้อมูลอะไรไปด้วย และใครเป็นเจ้าของ
- เขียนกฎข้อมูลหนึ่งหน้า หนึ่งหน้า ภาษาตรงไปตรงมา สามหมวด: ห้ามออกจากเครื่องมือที่อนุมัติเด็ดขาด ใช้ได้อย่างระมัดระวัง และใช้ได้อย่างอิสระ สอนในสามสิบนาทีด้วยตัวอย่างจากงานจริงของทีม ไม่ใช่สถานการณ์สมมติ
- ฝังการตรวจทานเข้าไปในสองเวิร์กโฟลว์ที่เสี่ยงที่สุด มีผู้ตรวจที่ระบุชื่อและเช็กลิสต์สั้น ๆ ณ จุดที่ผลงานถึงมือลูกค้า — อยู่ในเวิร์กโฟลว์ ไม่ใช่ขั้นตอน compliance แยกต่างหาก
- อัปเกรดเครื่องมือที่อนุมัติจนชนะทางลัด ระบบองค์กรได้โมเดลเดียวกันและล็อกอินน้อยกว่าบัญชีส่วนตัวที่คนแอบใช้ ความปลอดภัยจึงเลิกมีราคาเป็นความเร็ว
สิ่งที่เปลี่ยนไปในเก้าสิบวัน
การใช้งานเพิ่มขึ้น ไม่ใช่ลดลง — และย้ายเข้ามาอยู่ในเครื่องมือที่อนุมัติซึ่งมองเห็นได้ ความครอบคลุมของการตรวจทานในเวิร์กโฟลว์สำคัญไปจากศูนย์สู่ครบถ้วน◦ คำถามจากการตรวจสอบที่เป็นจุดเริ่มต้นของงานนี้ กลายเป็นคำถามที่ตอบได้ในการประชุมเดียว และกฎหนึ่งหน้าก็พิสูจน์ประเด็นเรื่องความกระชับ: ในการประเมินติดตามผล ผู้ตอบส่วนใหญ่ท่องกฎได้จากความจำ — สิ่งที่ไม่เคยเกิดกับนโยบายสี่สิบหน้าฉบับก่อนตัวเลข0 → 100%เวิร์กโฟลว์งานลูกค้าสำคัญที่มีขั้นตอนตรวจทานพร้อมผู้รับผิดชอบ ภายในหนึ่งไตรมาส
ห้องที่ใช้สอนกฎสำคัญไม่แพ้ตัวกฎ◦ภาพประกอบแนวปฏิบัติที่ถูกสอนด้วยตัวอย่างจริงของทีม คือแนวปฏิบัติที่อยู่รอดเมื่อเจอเดดไลน์
สิ่งที่นำไปใช้ได้เลย
- สัปดาห์นี้: เขียนกฎข้อมูลหนึ่งหน้าแล้วอ่านให้ทีมหนึ่งทีมฟัง ถ้าอธิบายเกินห้านาที ให้ตัดอีก
- เดือนนี้: สำรวจ AI ในงานส่งมอบจริงของคุณ — เครื่องมือ บัญชี ข้อมูล เจ้าของ การพูดคุยได้ผลกว่าแบบฟอร์ม
- เดือนนี้: เพิ่มขั้นตอนตรวจทานพร้อมผู้รับผิดชอบในสองเวิร์กโฟลว์ที่ผลลัพธ์ผิดพลาดแล้วเจ็บที่สุด
- ไตรมาสนี้: ทำให้เส้นทางที่อนุมัติเร็วกว่าทางลัด แล้ววัดซ้ำ ถ้าการใช้งานยังไม่ย้ายเข้ามาในที่แจ้ง แปลว่าเส้นทางที่อนุมัติยังแพ้อยู่
ถ้ารายงานความพร้อมของคุณติดธงรูปแบบนี้ ช่องว่างกำลังทบต้นอยู่แล้ว — ลำดับขั้นข้างบนคือวิธีซ่อม และเรายินดีช่วยคุณลงมือ◦บทความที่เกี่ยวข้องวัดก่อนซ่อม: การทำแบบประเมินครั้งแรก
Keep reading
Case Study: Turning Individual AI Wins Into Shared Capability
A capable, well-trained team where nothing compounded: every AI win stayed private. Five harvested workflows and one co-built assistant later, the median user caught up with the best.
Case Study: Putting a Defensible Number on AI Adoption
An AI programme everyone liked nearly lost its budget because nobody could prove it worked. Two baselined workflows later, it survived the cut — and earned an expansion.