Každá organizace s určitou velikostí už má rizikovou strukturu. Rizikový výbor, auditní funkci, linii reportování ke správní radě, formát, ve kterém se rizika zařazují do kategorií a sledují. Kdo k tomu postaví nový proces vedle, specificky pro AI, s vlastním výborem, vlastním kalendářem a vlastním jazykem, dostane během roku proces, který už nikdo nevyplňuje. Ne proto, že by AI nebyla považována za důležitou, ale proto, že druhá struktura soupeří s první o čas, pozornost a mandát. Stávající struktura vyhrává téměř vždy, protože je zakotvená v hodnoceních, cyklech funkčního hodnocení a agendách správní rady. Nová struktura stojí mimo.
Otázka tedy není, jak vybudovat strukturu pro governance AI. Otázka je, jak AI získá místo ve struktuře, která už existuje.
Většina rizikových struktur má už několik pevných součástí: inventuru rizik, která se periodicky aktualizuje, klasifikaci podle závažnosti a pravděpodobnosti, vlastníka pro každé riziko, escalační linii na vyšší úroveň, pokud je překročena hranice, a reportování správní radě v pevných termínech. To je struktura, do které musí AI zapadnout, ne vedle ní.
Toto znamená, že aplikace AI by nemělo být v samostatném registru AI, ale jako položka rizika ve stávajícím registru, se stejnými poli jako každé jiné riziko: vlastník, závažnost, pravděpodobnost, mitigace, datum stavu. Klasifikace podle úrovně rizika, která patří k inventuře používání AI, musí navazovat na stupnici, která už se používá pro operační riziko, nikoli na novou stupnici vymyšlenou jen pro AI. Kdo si přečte co by měl cio vědět o riziku AI, vidí, že přesně toto napojení je místo, kde to často nefunguje: technicky správné rizikové skóre AI, které nikdo nemůže porovnat se zbytkem rizikového registru.
Dvě věci ztěžují zabudování. První je jazyk. Risk manažeři pracují s pojmy jako dopad, pravděpodobnost a mitigační opatření. Dodavatelé AI a technické týmy pracují s verzemi modelů, tréninkovými daty a metrikami výkonu. Sadu governance napsanou pouze v technickém jazyce rizikový výbor nepřečte. Sadu governance napsanou pouze v jazyce rizik technický vlastník nevyplní. Sada musí být čitelná v obou směrech: technicky natolik přesná, aby sedla, a natolik srozumitelná pro řízení, aby se prosadila. Tento princip se vrací u ai politiky, kterou lidé skutečně čtou: dokument, který navazuje na to, jak lidé už čtou a rozhodují, místo aby vyžadoval nový způsob čtení.
Druhá věc je tempo. Rizikový výbor se schází v pevném cyklu, často čtvrtletně nebo měsíčně. Používání AI se mění rychleji: tým začne tento týden s novým nástrojem, aniž by tomu předcházela schůzka. Sada governance proto nesmí být závislá na cyklu schůzek, aby fungovala. Musí existovat lehčí mechanismus, který zachytí odchylky mezi pevnými termíny a který se formálně potvrdí až na dalším cyklu. Jak tento mechanismus funguje v praxi, je popsáno u escalačních cest, které fungují: trasa, která je dostatečně krátká, aby se použila předtím, než se sejde další čtvrtletní výbor.
Sada governance, která navazuje na stávající rizikovou strukturu, obsahuje v hlavních rysech: inventurní položku pro každou aplikaci AI s vlastníkem a rizikovou třídou, propojení se stávající escalační cestou, aby odchylka nezmizela v samostatném kanálu, a pevné místo v periodickém reportování správní radě. Ne jako samostatnou kapitolu o AI, ale jako řádek v tabulce, kterou správní rada už zná. Jak může toto reportování vypadat bez zavedení nového formátu, je popsáno u jak dostanete reportování pro správní radu na jednu stránku zabudované do toho, co už koluje.
Obsah samotných pravidel, co přesně spadá pod jakou úroveň rizika a jaké k tomu patří termíny, je zaznamenán jinde a mění se; tato stránka se týká mechanismu, který dává tomuto obsahu místo ve stávající struktuře, nikoli textu těchto pravidel.
Zabudování se podaří jen tehdy, pokud inventura nejprve sedí. A ta sedí jen tehdy, pokud si lidé troufnou říct, co používají. Kdo při vyplňování rizikové položky cítí, že upřímná odpověď povede k záznamu v hodnocení, nevyplní ji upřímně. Sada governance proto musí od první verze jasně dát najevo, že cílem je přehled, nikoli sankce. Bez tohoto závazku zůstane část používání skryta a napojení na rizikovou strukturu je postaveno na neúplném seznamu. Co by o tom měl vědět člen vedení, než začne první inventarizace, je popsáno u co by měl vědět člen vedení o riziku AI.
Toto zabudování se týká rizika, vlastnictví a reportování: zajišťuje, že to, co AI dělá, je viditelné a zvládnutelné uvnitř struktury, která už existuje. Jiná otázka, která na to logicky navazuje, jakmile je přehled hotový, je, co může AI v rámci té práce skutečně převzít. Pracovní scan od FTE TO AI vypočítá pro každý úkol, jakou část práce lze převést na AI, jako další krok poté, co je strana governance v pořádku.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.