Вие управлявате регистър на риска, изграден около рискове, които могат да бъдат идентифицирани, претеглени и разпределени. Операционен риск, кредитен риск, риск за съответствие: всеки има собственик, мярка за контрол, линия за докладване. AI-риска не се вписва автоматично в този модел, защото първият проблем не е претеглянето. Първият проблем е, че не знаете какво претегляте. Екип, който използва езиков модел за писане на чернови на съвети, отдел, който е сключил външен AI-абонамент извън ИТ-отдела за доставки, макрос в таблица, който вече се е превърнал в модел за прогнозиране: това не са гранични случаи, това е мястото, където се крие риска, и той не е записан никъде.
Вашият въпрос не е „рисков ли е AI“. Вашият въпрос е: какво работи, кой носи отговорност за него и на базата на каква информация мога да отговарям за това пред борда и надзорния орган. Отговорът, който не приемате, е успокоението без обосновка. „Няма нищо особено“ не е отговор на рисков въпрос, това е липса на отговор. Риск мениджър, който предава това на борда, предава, че не е проверено, а не че няма нищо.
Вторият отговор, който не приемате, е списъкът от ИТ-системното управление като пълна картина. Този списък показва какво е поискано и одобрено. AI-употребата в голяма степен възниква именно извън тази заявка, защото отделен абонамент, разширение на браузъра или вградена функция в съществуващ софтуер не се разпознава като „нова система“. Който иска да познава риска, трябва следователно да се обръща не само към системния пейзаж, но и към хората, които вършат работата, а това изисква друг подход от ИТ одит.
Като риск мениджър познавате модела на непълно докладване при всяка рискова тема, при която служителят има какво да загуби, ако отговори честно. AI-употребата е ярък пример за това: ако докладването на използван инструмент води до отнемане на достъпа, никой вече не го докладва. Инвентаризацията, която дава резултат, е инвентаризацията, която задава въпроси без да свързва последствия с отговора. Това е друго умение от онова, което обикновено изисква управлението на риска, и затова инвентаризацията на скрит AI не се структурира като контрол, а като проучване.
Веднъж щом употребата е установена, следващата стъпка не е оценка на доставчика или модела. Тя е оценка на ролята, която системата играе в даден процес. AI-приложение, което преформулира текст, носи различен риск от приложение, което участва в решение относно клиент, служител или инвестиция. Същата технология, приложена в различна роля, попада в различен рисков клас. Точно това разграничение е нужно на регистъра на риска, за да може AI-риска да бъде поставен наред с рисковете, които вече са в него, без да се създава отделна, изолирана AI-глава, която никой не отваря.
Риск мениджърът няма интерес от нова рамка редом до съществуващата. Интересът е в набор от управленски практики, който се съгласува със структурата на риска, която вече е налице: същата логика на собственост, същите пътища за ескалация, същия цикъл на докладване към борда. AI-риск, който се третира като отделна тема, изчезва между редовните доклади. AI-риск, който е вграден в съществуващата таксономия на риска, остава видим на мястото, където борда вече гледа.
В някакъв момент ще бъдете попитани какво знаете за AI-употребата в организацията – от надзорен орган, одитор или самия борд. Отговорът, който издържа, не е „всичко е картографирано“, защото за динамичен модел на употреба това рядко може да бъде доказано. Отговорът, който издържа, е доказуем процес: как е направена инвентаризацията, каква класификация е приложена, какви управленски договорености следват от нея и с каква честота се повтаря това. Това е друг критерий от пълнотата, и е критерият, по който управлението на риска вече обикновено се оценява.
Този въпрос не се поставя идентично за всяка роля в организацията. Какво е необходимо на служителя по съответствие от тази инвентаризация, можете да прочетете в какво трябва да знае служителят по съответствие за AI-риска, въпросът за управлението от страна на онзи, който води програмата, е описан в какво трябва да знае AI-програмният лидер за AI-риска, а как тази тема се отразява на нивото на самия борд е описано в какво трябва да знае член на борда за AI-риска. За управление на риска в специфични сектори, със собствени вериги и форми на надзор, картината е допълнително прецизирана в как изглежда AI-управлението в строителството и в как изглежда AI-управлението в инсталационния бранш.
Текстът на действащите правила, с техните точни определения и срокове, не е на тази страница и се поддържа актуален на друго място. Описаният тук е механизмът: как да преминете от неизвестен модел на употреба към класифициращ се, докладваем риск.
Инвентаризацията на AI-риска неизбежно разкрива и нещо друго: коя част от работата вече фактически се извършва от AI, и коя част би могла. Това е различен въпрос от управлението на риска, но той споделя източника. Работният скенер на FTE TO AI изчислява за всяка задача коя част от работата може да бъде поета от AI, и по този начин се свързва точно с инвентаризацията, от която управлението на риска вече има нужда.
Responsible AI Scan в момента се разработва. Който иска да го използва веднага след като стане достъпен, може да се запише в списъка на чакащите.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.