General Counsel не се държи отговорен за това какво се обърква с AI. Той се държи отговорен в момента, в който се окаже, че организацията не е могла да докаже, че е знаела, или по-лошо, че е могла да знае и не е направила нищо. Това е разликата между инцидент и пропуск. Първото сполита организацията. Второто ѝ се вменява.
Юридическият въпрос — какво е разрешено, какво е задължително, какъв срок важи — е важен, но идва след друг въпрос. Този въпрос е: какво всъщност използваме. Не какво е закупено, не какво стои в списъка с доставчици на ИТ, а какво хората на практика оставят да участва в решения, в писане или в оценка. Без отговор на този въпрос всеки юридически съвет е съвет за ситуация, която не познавате.
Това прави позицията на General Counsel неудобна. Очаква се да оценявате рискове въз основа на инвентаризация, която обикновено не съществува, или която се състои от това, което е одобрено — което по дефиниция не е това, което някой е започнал да използва без разрешение.
"Нямаме нужда от политика за AI, защото нямаме AI" не е отговор, който издържа. Това е допускане, а допусканията са точно това, което надзорен орган, съд или журналист не приемат впоследствие. Също така не приемате списък с одобрени инструменти като пълна картина: този списък казва нещо за това какво е закупено, нищо за това какво се използва.
От какво наистина имате нужда е разграничение между видове употреба. Езиков модел, който обобщава вътрешни бележки, носи различен риск от система, която участва в решение за назначаване или в кредитна оценка. Без класификация по роля и ниво на риск всяка дискусия за AI риск е дискусия по принцип, а общите дискусии не водят до защитими позиции.
Сенчестият AI — употребата, която възниква извън всяко одобрение — не е нещо, което ИТ отдел открива със сканиране на мрежата. Хората използват AI на собствения си лаптоп, в браузъра си, със собствения си акаунт. Тази употреба оставя малко следи в система, която не търси там.
Това, което работи, е задаването на въпроси. Но само ако отговорът няма последствия за този, който го дава. Някой, който използва AI, за да подготви чернова на договор, или за да обобщи анализ на риск, не съобщава за това, ако съобщението може да доведе до порицание. Инвентаризацията, от която имате нужда, се получава само ако задаването на въпроси не се приравнява на наказание.
Това е крехък баланс за юридическа функция. Свикнали сте да оценявате риск въз основа на това какво може да се обърка. Тук първо трябва да се погрижите хората да смеят да разкажат какво вече правят, преди да можете да оцените дали това е риск.
Същността на вашата позиция не е предотвратяването на всеки риск — това не е реалистично и не се очаква от вас. Същността е доказуемостта: можете ли да покажете, че организацията е знаела какво използва, е оценила какъв риск е свързан с това, и е имала структура, за да предприеме нещо по въпроса. Това е различна задача от контролирането на резултатите. Това е контролиране на процеса, чрез който резултатите се наблюдават.
Тази доказуемост не трябва да се опира на нова рамка. Повечето организации вече имат структура за риск — за финансов риск, оперативен риск, съответствие. AI рискът трябва да се вмести в нея, а не да стои отделно като отделен процес, който никой не познава и никой не поддържа. Набор от управленски мерки, който се вписва в съществуващото, се използва. Отделна структура се забравя след първото тримесечие.
Тази позиция описва механизма: инвентаризация, класификация, вписване в съществуваща структура, доказуемост. Тя не описва кое законодателство или регулация се прилага за вашата организация, какви срокове важат, или кое задължение влиза в сила кога. Това съдържание се променя, допълва се, обяснява се от специалисти в тази област. Това, което се брои тук, е структурата, в която това съдържание може да се вмести, когато ви потрябва.
Въпросите, които задавате, се припокриват с това, което риск мениджър трябва да знае за AI риска и с позицията на длъжностно лице по съответствие, което трябва да може да докаже употребата на AI. Също и ръководителят, който носи отговорност пред надзорния съвет се възползва от същата инвентаризация, на която базирате собствената си оценка — това е една и съща фактическа основа, разглеждана от друга отговорност.
Responsible AI Scan, който изпълнява този механизъм — инвентаризация, класификация, вписване в съществуващата рискова структура — е в разработка. Който има нужда от това сега, може да се запише в списъка на чакащите. Все още няма услуга за предоставяне; има посока, в която това се изгражда, и тази посока е тази.
Веднага щом стане ясно какъв AI работи и какъв риск е свързан с него, следва друг въпрос, който е извън вашата собствена отговорност, но се вписва в нея: каква част от основната работа всъщност поема този AI. Това е въпрос, който не се отнася до риска, а до организацията на работата, и на него отговаря работният скан на FTE TO AI, който изчислява за всяка задача каква част подлежи на поемане.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.