Всяка организация с определен мащаб вече има рискова структура. Рискова комисия, одитен комитет, линия от контролни функции, формат, в който рисковете се записват, обсъждат и приключват. Този процес има ритъм, език и собственици, които знаят какво се очаква от тях.
Ако AI-управлението се постави отделно до него — собствена комисия, собствена линия на докладване, собствен календар — възниква втори процес. А втори процес наред със съществуващ процес не се изпълнява. Не защото хората са неохотни, а защото капацитетът вече е разпределен към процеса, който съществува. Който третира AI-риска като отделна тема, изисква допълнително време, допълнителни срещи и допълнителни доклади наред с всичко, което вече се изпълнява. Това губи всеки път.
Инвентаризацията и класификацията на AI-системите не водят до нова рискова рамка. Те дават входни данни за рамката, която вече съществува. Конкретно това означава:
Наборът от управленски мерки, който произлиза от скана, следователно не е самостоятелен документ. Това е набор, написан така, че да се вписва в това, което вече съществува: рисковата матрица, структурата на докладване, линиите на ескалация. Там, където тези неща все още не работят както трябва, важи същата логика както при AI: става дума за вграждане, не за нова система. Как изглежда това за конкретна част, е описано в как се вгражда AI-политика в съществуващото вземане на решения вместо да стои отделно до него, в как се вгражда списък с решения за надзор в обсъждането, което вече съществува и в как се вграждат пътища за ескалация при AI в съществуващата линия за инциденти.
Отделна AI-рискова рамка звучи внимателно, но създава паралелен кръг. Възникват две истини: рисковото докладване, което ръководителят вече познава, и AI-докладване, което съществува наред с него, със собствени определения за ниво на риск и собствени собственици. В момента, в който тези два кръга не съвпадат — а това се случва рано или късно — не е ясно кой кръг има превес. Това е точно сценарият, в който надзорът съществува на хартия, но на практика никой не е отговорен.
Наборът от управленски мерки, който произлиза от инвентаризацията, е насочен именно към това да се разтвори в съществуващия процес. Не ново табло, не нова среща, не нов формуляр за одобрение — а разширение на формата, който рисковата комисия вече използва, с AI като постоянна част от него. Това е и начинът, по който ръководителят реално има полза от него: не като отделен AI-доклад, който бива прелистван, а като ред в докладването, което вече се чете. Как изглежда това докладване, когато е достатъчно компактно, за да бъде реално прочетено, е описано в структурата на доклад до борда, който се вмества на една страница.
Причината, поради която вграждането в съществуващата структура е и юридически, и организационно по-силният избор, се крие в доказуемостта. Регулаторен орган или одитор, който пита как се управлява AI-риска, предпочита отговора „чрез рисковия процес, който вече провеждаме, с AI като постоянна част от него“ пред „чрез отделен AI-път, който минава наред с редовния процес“. Първият отговор показва организация, която управлява риска цялостно. Вторият показва организация, която третира AI като изключение — с риска, че това изключение, щом вниманието се отклони, бива изоставено.
Същата логика важи и за мониторинга. Отделно AI-табло, което никой не поглежда, не дава нищо. Мониторинг, вграден в общия преглед, който риск-мениджърите и ръководителят вече използват, се вижда, защото вече е на мястото, което се наблюдава. Какво е необходимо за това, е обяснено в как се вгражда мониторингът на AI-системите в общия преглед, който вече се използва и, по-широко, в как на практика се изгражда връзката със съществуващата рискова структура.
Рискова структура, в която AI е вградено, дава отговор на въпроса какво работи и кой носи отговорност за това. Това е различен отговор от въпроса какво AI би могло да поеме в ежедневната работа. На този втори въпрос отговаря работният скан на FTE TO AI, който изчислява за всяка задача каква част от работата подлежи на поемане. Двата отговора вървят заедно: рисковата структура определя при какви условия AI може да се използва, работният скан показва къде тази употреба действително променя работата.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.