AI политика, която се поставя като отделен документ до съществуващата политика, на практика не се чете. Не защото служителите са неохотни, а защото втори процес до вече съществуващ процес почти винаги губи. Който вече има рамка за риск, кодекс за поведение и линия за ескалация, няма да отиде да търси паралелна система за една конкретна технология. AI политиката, която наистина работи, е политиката, която видимо използва същата рамка, която останалата част от организацията вече познава.
Всяка организация с определен размер вече има рамки за риск, покупки, информационна сигурност и поведение. AI политика, която стои отделно от тях, въвежда нов език, нови роли и ново място за търсене. Точно това е причината да бъде отложена настрана след въвеждането си. Служителите следват пътя на най-малкото съпротивление, а този път минава през структурата, която вече познават. Политика, която изисква нов начин на работа наред със стария, рядко печели тази конкуренция.
Решението не е по-добре написан документ. То е документ, който не претендира за ново място, а използва съществуващото. AI риск тогава се третира като риск, със същия собственик, същата линия за ескалация и същата форма на докладване като всеки друг риск. Който иска да обоснове това, ще намери разсъжденията на страницата за съгласуване със съществуващата структура за риск, вместо нова рамка до нея.
AI политика, която работи, не съдържа изброяване на какво е разрешено и какво не за всяка система. Това се променя твърде бързо и остарява в рамките на година. Вместо това тя съдържа няколко постоянни елемента, които не зависят от кой модел или доставчик се използва:
Тези четири елемента заедно не образуват отделна система за AI управление, а специализация на съществуващата система за риск. Това е разликата между политика, която се чете, и политика, която остава в папка.
Вграждането на политика има малка стойност, ако не е известно точно какво трябва да бъде вградено. ИТ списъкът на одобрените системи е недостатъчен за това: той описва какво е закупено, не какво се използва. Сенчестият AI, инструменти, които служителите сами са започнали да използват без официално одобрение, остава извън обхвата, докато рискът от него не е по-малък.
Единственият начин да се получи представа за това е да се попита. И това работи само ако задаването на въпроса не води до наказание. Който при първата инвентаризация веднага свързва санкции с отговора, повече няма да получава отговори. AI политика, която търси вграждане в съществуващата структура, започва следователно с инвентаризация, отделена от оценка, и само след това с класификация по роля и ниво на риск.
Управителният съвет няма интерес от дебел документ с политика, а от компактен преглед на къде се намират рисковете и какво се прави по тях. Този преглед трябва да има същата форма като другите доклади за риск, които съветът вече получава, така че да не се чете като отделен AI доклад, а като част от обичайната картина на риска. Как изглежда този доклад е описано на страницата за доклад до управителния съвет от една страница, който се съгласува със съществуващите доклади за риск. За тези, които искат първо да знаят какво трябва да знае член на управителния съвет за AI риска в общ смисъл, преди политиката да бъде приета, има страница за какво трябва да знае член на управителния съвет за AI риска, преди да бъде приета политика.
Политика, която се съгласува със съществуващата структура, отговаря на въпроса кой решава за какво и как се следи рискът. Тя не отговаря на въпроса каква част от действителната работа може да бъде поета от AI и каква част не. Този въпрос стои на ниво задача, и точно за това е работният скенер на FTE TO AI: той изчислява за всяка задача каква част от работата може да бъде поета, така че политиката и практиката да се основават на една и съща картина на организацията.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.