Въпросът дали едно AI приложение се счита за високорисково звучи като техническа квалификация. На практика това е класификация, която зависи от няколко конкретни фактора, и тази класификация впоследствие определя колко надзор, документация и доказуемост се очакват от вас. Актуалните законови определения и прагове не се намират на тази страница; тях ще намерите другаде. Тук обясняваме от какво зависи класификацията и какво се променя във вашата организация, когато тя се промени.
Няма една характеристика, която прави приложението високорисково. Това е комбинация от фактори, които заедно образуват картината: областта, в която приложението се използва, степента, в която едно решение пряко засяга дадено лице, и въпросът дали има човек, който действително може да оцени препоръката или резултата на AI и при необходимост да го коригира, преди да има ефект. Приложение, което само обобщава текст, обикновено попада по-различно в тази класификация от приложение, което участва във вземането на решение относно отделно лице. Също и контекстът, в който се използва приложението, има значение: една и съща основна технология може да се счита за нискорискова в една област и за високорискова в друга, в зависимост от това какво се прави с резултата.
Това е една от причините, поради които списъкът с одобрен софтуер не е достатъчен. Класификацията не зависи от етикета на пакета, а от начина, по който той действително се използва, и от мястото му в процеса на вземане на решения.
Ако едно приложение бъде оценено като по-високо рисково, се променя нещо в очакванията към организацията: повече документация за начина на работа и тестване на приложението, по-ясен механизъм за надзор върху резултатите, и начин да се докаже впоследствие кой на какво е обърнал внимание. Това не е еднократно действие, а продължаващо задължение: документацията и надзора трябва да остават актуални, докато приложението е в употреба.
Класификацията също не е статична. Приложение, което днес се счита за с ограничен риск, може утре да се използва по различен начин — в друга област, с по-голямо въздействие върху отделни лица, или с по-малко човешка намеса от преди. Който определи класификацията еднократно и след това не я преразгледа, поема риска, че класификацията вече не отговаря на действителната употреба. Това важи също за приложения, които се адаптират след закупуването им; какво точно се променя, когато сами коригирате модел, зависи от естеството на тази промяна, както е описано на страницата за промени в модел.
Класификацията на приложение е смислена само ако се прилага спрямо това, което действително се използва. Голяма част от употребата в организацията протича извън официалния инвентар: екипи, които използват езиков модел за чернова на имейл, анализатор, който използва външен модел за първа версия на доклад, отдел, който е закупил инструмент без да го съобщи. Тази употреба не се появява от нежелание. Тя се появява, защото официалният път е по-бавен от нуждата, или защото никой не е знаел, че трябва да се следва определен път.
Последицата е, че ИТ-списъкът рядко дава пълна картина. Който иска да знае какво реално е необходимо за класификация на риска, трябва сам да направи преглед на употребата — а това изисква да се задават въпроси на хората, които извършват работата, без да следва разчет за това. Който вече при първия разговор усеща, че искрен отговор ще има последствия, не отговаря искрено. Това прави инвентаризацията безполезна, преди да е завършена.
Не всяко приложение на AI попада в обхвата, в който класификацията на риска е релевантна. Някои приложения по своята същност или цел остават извън обхвата на регулацията, и е разумно тази разлика да се направи рано, преди да се отдели време за класификация, която не е необходима; кои приложения се отнасят до това, е описано на страницата за приложения, които остават извън обхвата на задълженията. Също и ролята, която играе вашата организация — като доставчик на система или като потребител на нея — влияе върху това какви задължения са свързани с класификацията на риска, и тази роля не винаги е предварително ясна; какво е определящо за това, ще намерите на страницата за разликата между доставчик и потребител. Тази роля може впрочем да се промени веднага щом адаптирате система или я предлагате под свое име, нещо, което е разяснено допълнително на страницата за обстоятелствата, при които вашата роля се променя.
Класификацията по ниво на риск почти винаги повдига последващия въпрос какво от това е неотложно и какво може да се планира. Тази разлика не е еднаква за всяка организация и зависи от това кои приложения вече са в производство и кои все още се разработват. Общ преглед на това, което обикновено изисква внимание първо и какво може да следва по-късно, се намира на страницата за какво трябва да се случи сега и какво можете да планирате.
Щом веднъж стане ясно кои приложения във вашата организация се считат за високорискови, естествено следва друг въпрос: колко от основната работа действително се извършва от AI и колко от хора, които проверяват или допълват резултата. Този въпрос остава извън обхвата на този скенер, но получава отговор чрез работния скенер на FTE TO AI, който за всяка задача изчислява каква част от работата разумно може да бъде поета от AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.