Seznam rozhodnutí o dohledu není nový formulář ani nová schůzka. Je to pevné místo, kde se zaznamenává, která AI-aplikace byla posouzena, kým, na základě jakého posouzení rizika a s jakým rozhodnutím. Schváleno, zamítnuto, s podmínkami, nebo dočasně povoleno v očekávání dalšího šetření. Bez tohoto seznamu existuje rozhodnutí pouze v paměti těch, kdo u něj byli, a zmizí, jakmile někdo změní funkci nebo rozhovor nebyl zapsán do zápisu.
Seznam obsahuje pro každou aplikaci stručný popis úkolu, klasifikaci podle role a úrovně rizika, jméno vlastníka procesu, datum posouzení, přijaté rozhodnutí a důvod pro něj. Žádná technická specifikace, žádná dokumentace dodavatele: to patří do dokumentace samotné aplikace, ne do seznamu rozhodnutí. Seznam je přehled o jednu úroveň výše — kdo rozhodl co, a kdy bylo toto rozhodnutí naposledy potvrzeno. Aplikace, která byla před rokem schválena pro úkol s omezeným rizikem, může být nyní používána pro něco jiného. Bez periodického potvrzování zůstává staré rozhodnutí platné pro situaci, která již neexistuje.
Důvod, proč samostatné registry AI často zůstávají prázdné, není neochota, ale pořadí. Každá organizace už má místo, kde se rizika projednávají a zaznamenávají: výbor pro rizika, auditní komisi, schůzku vedení s pevným bodem programu o operačním riziku. Kdo k tomu navíc zřídí samostatný AI-deník, žádá lidi, aby vedli druhou administrativu pro něco, co obsahově patří k první. Tento druhý proces strukturálně prohrává v každodenním shonu. Seznam rozhodnutí o dohledu funguje jen tehdy, když je zabudovaný do toho, co už existuje — jako pevná součást stávajícího zasedání, s pevným místem na programu, a ne jako nová povinnost navíc.
To také znamená, že seznam používá stejnou stupnici a jazyk jako zbytek struktury řízení rizik. Aplikace s vysokou úrovní rizika získává stejný typ pozornosti jako jiná dokumentace s vysokou úrovní rizika: pevnou frekvenci vykazování, pevného vlastníka, pevnou linii eskalace. Jak toto propojení v praxi vypadá, závisí na stávajícím řízení organizace a je popsáno na stránce o napojení na stávající strukturu řízení rizik.
Seznam rozhodnutí je bez užitku bez postupu pro to, co se stane, když s ním někdo nesouhlasí, nebo když se aplikace změní bez toho, aby to kdo nahlásil. Tento postup nepatří do samotného seznamu, ale musí na něj navazovat: kdo chce zamítnutí napadnout, kdo musí prodloužit dočasné povolení, a u koho případ skončí, pokud se vlastník procesu a rizikový útvar neshodnou. Jak tyto linie fungují, aniž by každý dotaz skončil na nejvyšší úrovni organizace, je popsáno u eskalačních cest, které fungují.
Seznam rozhodnutí je paměť; vedení navíc potřebuje shrnutí, které se nemusí každé čtvrtletí znovu sestavovat z jednotlivých zápisů. Co by na tomto shrnutí mělo být — a co naopak ne, protože už je to v seznamu rozhodnutí — je popsáno na stránce o reportu pro vedení na jednu stránku. Bez tohoto kroku zůstává seznam rozhodnutí dokumentem, který čtou jen vlastníci procesů, zatímco vedení zůstává právně odpovědné za to, co se rozhoduje.
Zaznamenat rozhodnutí není totéž jako vědět, zda se rozhodnutí dodržuje. Aplikace, která byla zamítnuta, může přesto zůstat v používání, pokud nikdo nekontroluje, zda bylo zamítnutí provedeno. To je důvod, proč seznam rozhodnutí bez navazujícího kroku přináší málo: dokumentuje záměry, ne chování. Co je potřeba k tomu, aby bylo vidět, zda rozhodnutí i nadále platí, a jaké signály k tomu patří, je popsáno na stránce o monitoringu, který něco přináší.
Seznam rozhodnutí může obsahovat jen to, co bylo nahlášeno. Kdo je závislý na hlášeních přes IT oddělení, vidí jen zlomek toho, co se skutečně používá: největší část používání AI v organizaci vzniká mimo formální nákupní procesy, v týmech, které zkoušejí nástroj, protože funguje. Zda se tyto aplikace vůbec dostanou na seznam rozhodnutí, závisí na tom, zda se zaměstnanci odváží řekt, co používají — a to se stane jen tehdy, pokud se dotazy na to nebudou jevit jako předsíň k sankci.
První otázka, která při tom pomáhá, není 'jaká AI je schválena', ale 'jaká část této práce už vlastně, nebo by mohla, být dělána AI'. To je jiný vstupní bod než seznam rozhodnutí, a úplnější výchozí bod: pracovní skenování od FTE TO AI vypočítá pro každý úkol, jaká část práce může být převzata AI, a tím vytváří základ, který nezávisí na tom, co bylo náhodou nahlášeno. Z tohoto výsledku se stává viditelné, které aplikace už vlastně běží, dříve než o nich seznam rozhodnutí vůbec ví.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.