Служителят по съответствие не губи при първия въпрос за AI. Той губи при втория: когато се окаже, че отговорът на първия въпрос беше непълен. „Какви AI системи използва вашата организация" може да се отговори със списък от IT портфолиото. Въпросът, който идва след това — „това ли е пълният списък" — е въпросът, на който се проваля повечето досиета по съответствие.
Не: какви AI инструменти е закупила организацията. А: какви AI системи се използват действително, от кого, за какви решения, и въз основа на каква оценка на риска. Това са четири въпроса, не един. Първият е списък за покупки. Останалите три изискват хората да разкажат какво правят, включително какво не са дали за одобрение. Служител по съответствие, който има само списъка за покупки, има фалшиво чувство за покритие — и това е по-рисково от липсата на покритие, защото се докладва като пълно.
Служители, които използват езиков или анализаторски инструмент без да го закупят чрез IT, не оставят следа от това в регистър на активите. Те обаче оставят следа от него в това, което произвеждат: доклади, комуникация с клиенти, съвети. Разликата между това, което е регистрирано, и това, което се използва, обикновено не е умишлено нарушение. Тя е резултат от организация, която намира инструмент по-бързо, отколкото преминава процес на одобрение. Съответствието не може да затвори тази пропаст с по-строга забрана — това само премества употребата извън обсега на видимост. Пропастта се затваря чрез задаване на въпроси, без отговорът да носи санкция. Който се страхува от бележка в досието си, не разказва какво използва; той разказва какво мисли, че искате да чуете.
Мениджърът по риска иска да знае колко голяма е експозицията. Служителят по съответствие иска това, плюс нещо допълнително: мога ли да докажа, че сме следвали процеса, дори ако резултатът впоследствие се окаже спорен. Това е различен вид доказателствена тежест. Не става дума само за класификацията на система, но и за следата: кой е оценил това, в какъв момент, с каква информация, и е било ли повторено това оценяване, когато системата се е променила. AI системите се обновяват без предизвестие; класификация от преди половин година казва малко за днешната система. Съответствието трябва следователно да може да показва не само резултат, но и процес, който продължава да работи.
„Имаме политика за AI" не е отговор на въпроса дали тази политика покрива нещо. Документ за политика, който никога не е бил проверен спрямо това, което действително се използва, е декларация за намерение, не декларация за текущото състояние. Това, от което се нуждае служителят по съответствие, е инвентаризация, която се вписва в съществуващите категории риск — същата класификация, която вече се използва за други оперативни рискове — така че AI да не бъде отделна, екзотична тема встрани от останалата рамка за риск, а част от нея.
Служителят по съответствие рядко разработва това сам. Въпросът кои системи се считат за високорискови и каква доказателствена тежест е свързана с това, засяга това, което един General Counsel трябва да знае за AI риска от гледна точка на отговорност и договорни задължения. Въпросът дали организацията може технически да проследи кои системи работят, е при това, което CIO трябва да знае за AI риска. А въпросът дали тази тема достига до масата на управителния съвет преди да ескалира, се отнася към това, което член на управителен орган трябва да знае за AI риска. Съответствието често е страната, която трябва да събере тези три линии заедно, без сама да е собственик на технологията или договора.
Съдържанието на регулацията — какви точно задължения се прилагат, по категория риск, с какви срокове — се намира на друго място и се променя. Тази страница описва механизма: как знаете какво работи, как го класифицирате, и как доказвате, че процесът е бил следван. Служител по съответствие, който търси актуалния текст на закона, не ще го намери тук.
Колко „сенчест" AI има организация, зависи от сектора, културата и колко строго са били прилагани предишни забрани. По-строга забрана често корелира с повече скрита употреба, не с по-малко. Този модел не е еднакъв навсякъде: в строителството тежестта е върху калкулация и планиране на проекти, докато в инсталационния бранш по-често става дума за диагностика на поддръжка и анализ на повреди. Инвентаризацията трябва следователно да се извършва за всяка организация поотделно; национална средна стойност казва малко за вашата собствена експозиция.
Responsible AI Scan картографира какво действително се използва, класифицира това по роля и ниво на риск, и предоставя набор за управление, който се вписва в съществуващата структура на риска — без да предугажда какво вече е установено на друго място. Тази сканиране е в процес на изграждане. Който има интерес от това, може да се запише за списъка на изчакване; не се предлага нищо, което още не е завършено.
Кой веднъж узнае кои AI системи работят, често се сблъсква със следващия въпрос: какво означава това за персонала и разделението на задачите. Това е различно изчисление от класификацията на риска, и него прави FTE TO AI с работния скенер, който изчислява по задача какъв дял от работата може да бъде поет от AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.