Kennisbank

Мониторинг, който действително се използва

Проблемът не е липсата на мониторинг

Повечето организации вече имат нещо, което се нарича мониторинг. Табло, формат за отчитане, периодично съвещание, на което се обсъждат рисковете. Проблемът не е, че това липсва. Проблемът е, че AI-мониторингът се поставя отделно, с собствен ритъм, собствен собственик и собствен шаблон. Който вече има три процеса за следене на риска, няма да попълва добросъвестно четвърти процес. Той се превръща в задължение, което се прибързано изпълнява веднъж на тримесечие, или изобщо не се изпълнява.

Това е причината, поради която мониторингът на използването на AI толкова често не носи никакъв резултат. Не защото въпросите са грешни, а защото самият процес остава чуждо тяло в организация, която вече има процеси за риск, съответствие и вътрешен контрол.

Какво трябва да съдържа истинският мониторинг

Мониторингът, който носи резултат, не започва с формат, а с въпрос: какво се променя и кой забелязва това пръв? За AI-системите това означава три пласта.

Първият пласт е употребата: дали системата все още се използва по предназначение, или приложението й се е изместило без някой да го е докладвал? Инструмент, който е започнал като проверка на текст, а сега се използва за формулиране на проектни решения, представлява различен риск от този, установен при старта.

Вторият пласт е произходът: дали системата е все още същата, каквато е била при класификацията? Основните модели се заменят, доставчиците променят условията си, отделен инструмент се интегрира в по-голяма платформа. Всяка промяна може да направи оценката на риска от онова време невалидна, без някой да я преразгледа.

Третият пласт е сигналът: има ли оплаквания, съобщения за грешки или отклонения, които показват, че нещо не работи, както е предполагано? Това е пластът, който най-често липсва, защото никой няма интерес да докладва проблем със система, която официално не съществува.

Защо втори процес се пренебрегва

Организация, която вече има цикъл за управление на операционни рискове, финансови рискове или защита на данни, не ще стартира нов цикъл за AI. Това не е нежелание; въпрос е на капацитет. Който се опита, вижда две неща да се случват. Или новият мониторинг остава празен, защото никой не намира време да захранва система, която никой не иска. Или новият мониторинг се поема от същите хора, които вече ръководят съществуващия цикъл, и тогава разграничението изчезва от само себе си.

Въпросът следователно не е дали трябва да се създаде отделен процес за AI-мониторинг. Въпросът е как AI-сигналите попадат в съществуващия цикъл, така че да се обсъждат на същото заседание, от същия собственик и по същия ритъм като другите рискове. Как точно се урежда това, зависи от начина, по който вече функционира съществуващият цикъл: някои организации имат тримесечен отчет към одитния комитет, други - месечно съвещание за риска на директорско ниво, а трети - непрекъснат журнал, актуализиран при всеки инцидент. Повече за как да вградите мониторинг, който носи резултат, в онова, което вече работи, вместо да го поставяте отделно е представено на отделна страница, защото този механизъм се урежда различно за всяка организация.

Документът, който е готов, когато някой го поиска

Което наистина е универсално приложимо, е фиксирана форма, в която се фиксира статусът на AI-системите: какво работи, в каква роля, с какво ниво на риск и кога е потвърдено за последно. Не като отделен AI-документ, а като приложение или неразделна част от отчетността, която вече съществува. Това може да се свърже с бордов отчет от една страница, който обобщава рисковете без да ги прикрива, така че мониторингът да не се превърне в отделен поток от информация, а в ред от таблица, която ръководителят вече чете.

Тази форма работи само ако основната класификация остане актуална, а тази класификация трябва отново да се свързва с рисковата структура, която вече съществува. Без тази връзка мониторингът остава втори език до първия, и този втори език се забравя веднага след увеличаване на натиска. Как изглежда тази връзка, зависи от как рисковата структура и AI-класификацията се съединяват в онова, което организацията вече използва, и не може да се описва в общи термини без познаване на съществуващата структура.

Какво открива мониторингът, надхвърля документ

Мониторинг, който работи добре, сигнализира не само риск, но и изместване: системи, които се използват различно от предвиденото, или задачи, които мълчаливо са били поети без някой да го е записал. Същите тези сигнали са също информация за това къде хората всъщност прекарват времето си и къде AI вече на практика поема работа, без това да е записано някъде. Който иска да направи този въпрос по-конкретен, отколкото позволява рисковата класификация, може да разгледа сканирането на работата на FTE TO AI, за да види коя част от работата по задача е подходяща за AI, независимо от въпроса дали това вече се случва или още трябва да се реши. Това сканиране не измерва риск, а задачи и часове, и по този начин се свързва с онова, което мониторингът сигнализира, без да го обяснява.