AI politika, která je položena jako samostatný dokument vedle stávajících pravidel, se v praxi nečte. Ne proto, že by zaměstnanci byli neochotní, ale protože druhý proces vedle již existujícího procesu téměř vždy prohrává. Kdo už má rámec pro řízení rizik, kodex chování a eskalační linku, nepůjde konzultovat paralelní systém pro jednu konkrétní technologii. AI politika, která skutečně funguje, je politika, která viditelně používá stejný rámec, jaký zbytek organizace už zná.
Každá organizace určité velikosti už má rámce pro rizika, nákup, bezpečnost informací a chování. AI politika, která stojí vedle nich osamoceně, zavádí nový jazyk, nové role a nové místo, kam se dívat. To je přesně důvod, proč se po zveřejnění odloží. Zaměstnanci se řídí cestou nejmenšího odporu, a ta cesta vede přes strukturu, kterou už znají. Politika, která žádá nový způsob práce vedle starého, tuto soutěž málokdy vyhrává.
Řešením není lépe napsaný dokument. Je to dokument, který si nenárokuje nové místo, ale využívá místo stávající. AI riziko se pak řeší jako riziko, se stejným vlastníkem, stejnou eskalační linkou a stejnou formou reportingu jako každé jiné riziko. Kdo si to chce podložit argumenty, najde odůvodnění na stránce o zakotvení do stávající struktury řízení rizik místo nového rámce vedle ní.
AI politika, která funguje, neobsahuje výčet toho, co je a co není povoleno u jednotlivých systémů. To se příliš rychle mění a zastará během roku. Obsahuje naopak několik pevných prvků, které nezávisí na tom, jaký model nebo jaký dodavatel se používá:
Tyto čtyři části netvoří společně samostatný systém řízení AI, ale specifikaci systému řízení rizik, který už existuje. To je rozdíl mezi politikou, kterou si přečtou, a politikou, která zůstane založená ve složce.
Zakotvení politiky nemá velký smysl, pokud není známo, co přesně má být zakotveno. IT seznam schválených systémů je pro to nedostatečný: popisuje, co bylo nakoupeno, nikoli co se skutečně používá. Stínové AI, nástroje, které si zaměstnanci sami začali používat bez formálního schválení, do toho nespadají, přestože riziko tím není o nic menší.
Jediný způsob, jak si to zmapovat, je zeptat se. A to funguje jen tehdy, pokud dotazování nevede k postihu. Kdo hned při první inventarizaci spojí odpověď se sankcemi, žádnou odpověď už nedostane. AI politika, která hledá zakotvení do stávající struktury, tedy začíná inventarizací oddělenou od hodnocení, a teprve poté klasifikací podle role a úrovně rizika.
Představenstvo nemá zájem na obsáhlém dokumentu politiky, ale na stručném přehledu, kde jsou rizika a co se s nimi dělá. Tento přehled by měl mít stejnou formu jako ostatní reporty o rizicích, které představenstvo už dostává, aby se nečetl jako samostatný AI report, ale jako součást obvyklého obrazu rizik. Jak takový report vypadá, je popsáno na stránce o reportu pro představenstvo na jedné stránce, který navazuje na stávající reporty o rizicích. Pro toho, kdo chce nejprve vědět, co by měl člen představenstva obecně vědět o AI riziku předtím, než je politika schválena, je zde stránka o tom, co by měl člen představenstva vědět o AI riziku před schválením politiky.
Politika, která navazuje na stávající strukturu, odpovídá na otázku, kdo o čem rozhoduje a jak se dohlíží na rizika. Neodpovídá na otázku, jakou část skutečné práce může AI převzít a jakou ne. Tato otázka se řeší na úrovni úkolů, a o tom je pracovní scan od FTE TO AI: ten pro každý úkol vypočítá, jakou část práce lze převzít, aby politika a praxe vycházely ze stejného obrazu organizace.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.