Като ръководител вие лично не проверявате какъв AI-модел произвежда какъв резултат. Вие си задавате друг въпрос: ако това се обърка, мога ли да покажа, че сме го знаели, че сме го проучили и че сме направили нещо. Този въпрос е управленски, не технически. И отговорът, който не приемате, е списък на одобрени приложения от ИТ. Не защото този списък е неточен, а защото е непълен. Той описва какво е поискано, не какво реално се използва.
Рискът за ръководителя не е, че служител използва езиков AI за да напише концепция. Рискът е, че не можете да кажете нищо по този въпрос в момента, когато има значение: при инцидент, въпрос от надзорен орган, въпрос за отговорност. Тогава доказуемостта е единственото, което има значение. Не дали сте могли да го знаете тогава, а дали можете да покажете, че е имало структура, за да го знаете. Ръководител, който казва „нямахме поглед върху това“, е в различна позиция от ръководител, който казва „това попадаше в категория, която съзнателно третирахме по този начин“. Разликата между тези две изречения е това, което тази проверка дава.
Целта не е да се забрани или забави всяко използване на AI. По-голямата част от онова, което служителите сами са започнали да използват, е функционално и дава резултат. Печалбата за ръководителя не е в спирането на това, а във възможността да се направи разграничение: това е с нисък риск и може да продължи, това касае лични данни или вземане на решения относно хора и трябва да се третира по друг начин, това е неясно и трябва да се проучи. Без това разграничение третирате всичко еднакво — а това обикновено е твърде строго за по-голямата част и твърде снизходително за изключението, което наистина има значение.
Сянката на AI не се появява от нежелание. Тя се появява, защото служител е имал проблем и е намерил инструмент, който го решава, без да е имало процес на заявка, който да е по-бърз от самия инструмент. Тези инструменти не се появяват в списък за покупки. Те се появяват само когато някой попита за тях — и само ако питането не води веднага до санкция. Организация, която иска да види сянковия AI, трябва първо да направи ясно, че съобщаването не носи риск. Това е управленски избор, не технически.
Responsible AI Scan започва с инвентаризация на онова, което действително се използва, независимо от онова, което някога е било одобрено. След това всяко използване се класифицира по роля — кой го използва, за какво — и по ниво на риск. Тази класификация води до набор от управленски мерки: начин на работа с всяка категория, който се съгласува със структурата на риска, която организацията ви вече има, вместо да се създава нова рамка отделно. Съдържанието на самите правила — какви точно задължения важат, в какви срокове — е описано на друго място; това не е фокусът на тази проверка. Тази проверка се фокусира върху механизма: да знаете какво се случва, да можете да го класифицирате и да можете да покажете, че сте направили това.
С класификация по роля и ниво на риск можете да покажете структура, а не обещание, на надзорен орган, одитор или надзорен съвет. Можете да посочите кои категории се нуждаят от внимание и кои не. Можете да отчитате за това без всеки път да трябва да обяснявате отново защо не сте знаели нещо. Това е различна позиция от реактивното обяснение защо инструмент е навлязъл незабелязано.
Въпросът за риска от AI изглежда различно според функцията. Какво трябва да знае CIO за риска от AI касае системи и инфраструктура; какво трябва да знае General Counsel за риска от AI касае отговорност и доказателства; какво трябва да знае риск-мениджърът за риска от AI касае как рискът от AI се вписва в съществуващата таксономия на риска. Като ръководител вие имате допир до всичките три, но не вие извършвате класификацията — вие сте онзи, който трябва да може да види, че е направена.
Responsible AI Scan е в процес на разработка. В момента няма инструмент, който можете да стартирате и от който веднага да излезе доклад. Кой има интерес към това, може да се запише в списъка на чакащите; не се предлага нищо, което още не съществува, и не се обещава нищо за кога или с какъв резултат.
Преди да можете да установите дали използването на AI е рисково, често е по-полезно да знаете какво означава AI за самата работа: коя част от задачата може да бъде поета и коя не. Този въпрос е близък до въпроса за риска, но не е идентичен с него — задача, която в голяма степен може да бъде поета от AI, не е автоматично рискова, а задача, за която това не е така, не е автоматично безопасна. Работната проверка на FTE TO AI изчислява за всяка задача коя част от работата може да бъде поета от AI, и по този начин дава основа, върху която въпросът за риска може да се постави по-точно, отколкото само въз основа на списък с одобрени приложения.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.