Vedení dostává periodické reporty: finanční, provozní, o rizicích, které už mají místo v existující struktuře. Report o AI, který stojí osamoceně vedle nich, s vlastním rytmem a vlastním formátem, se v praxi přeskočí. Ne proto, že by téma bylo nedůležité, ale protože druhý proces vedle existujícího procesu vyžaduje samostatné úsilí, které soutěží se vším, co už je na programu jednání. Co se skutečně čte, je to, co zapadá do existující reportovací linky: stejný rytmus, stejná délka, stejné místo v jednání.
Report o AI pro board nepotřebuje úplný technický přehled. Vedení potřebuje odpověď na omezený počet otázek: jaké AI aplikace existují, do jaké rizikové kategorie spadají, co se od minulého reportu změnilo a zda došlo k eskalacím. Právě tento poslední bod je ten, kde většina reportů zůstává prázdná — nikoli proto, že by se nic nedělo, ale protože neexistuje cesta, kterou by signál dosáhl vedení. Bez fungujících eskalačních cest, které fungují je report jen momentkou bez historie: ukazuje, co je nyní, ne co se cestou pokazilo nebo téměř pokazilo.
Report se opírá o to, co už je zaznamenáno. Seznam rozhodnutí dohledu s tím, kdo co schválil, je zdrojem, ze kterého se stránka sestavuje shrnutím, ne samostatným dokumentem, který existuje vedle něj. Co je na stránce, je zhuštění rozhodnutí, která už byla učiněna; nejde o nové posouzení, které by vedení musela sama vytvořit na základě surových dat.
Organizace už mají strukturu řízení rizik: auditní výbor, výbor pro rizika, pevné místo na programu jednání vedení pro provozní rizika. Report o AI, který zavádí vlastní výbor, vlastní kalendář nebo vlastní šablonu, vyžaduje od každého, kdo se toho už účastní, aby dělal něco navíc k tomu, co už dělá. Tato extra práce se odkládá, jakmile se program jednání zaplní, a program jednání se zaplní vždy. Výsledkem je, že report po několika opakováních odpadne, ne protože by někdo rozhodl, že AI riziko není důležité, ale protože nikdo nerozhodl, že je důležitější než to, co už bylo na stole.
Řešení nespočívá ve větším důrazu na téma, ale v menším tření při jeho zařazení. Stránka, která vychází ve stejném čtvrtletním rytmu jako ostatní reporty o rizicích, používá stejné rozvržení a je na stejném místě v balíčku, se čte, protože její čtení nevyžaduje samostatný úkon. Co nefunguje, je samostatný cyklus AI governance, který běží oddělen od existujícího cyklu — ten se ignoruje, jakmile nastane první nabitý měsíc.
Jednostránkový report může být stručný jen tehdy, pokud je podkladová struktura úplná. Předpokládá přehled rolí a odpovědností podobný tomu z co by měl statutární orgán vědět o AI riziku, aby stránka nemusela každý report znovu vysvětlovat, kdo je za co odpovědný. Předpokládá inventář, který neobsahuje jen to, co schválilo IT, ale i to, co jednotlivá oddělení začala používat samostatně, aniž by to nahlásila — stínovou AI, která se stane viditelnou až tehdy, když lidé mohou bez následků sdělit, co skutečně používají. Report, který zobrazuje jen schválený seznam, reportuje fikci.
Stránka také předpokládá, že se mezi jednotlivými reporty něco děje: monitoring, který přináší výsledky místo logu, který nikdo nekonzultuje. Bez této mezilehlé vrstvy je čtvrtletní stránka při každém vydání překvapením, místo shrnutí něčeho, co bylo sledováno po celé čtvrtletí. A předpokládá, že podkladová politika není dokumentace pro formu, ale politika AI, která se čte lidmi, kteří systémy denně používají — protože report o dodržování politiky, kterou nikdo nezná, reportuje především o sobě samém.
Stránka pro vedení je zhuštěním; podklad je o vrstvu hlouběji, u toho, kdo systémy skutečně znal. Co k tomu přispívá CIO, je popsáno na stránce co by měl CIO vědět o AI riziku, a tyto dvě vrstvy — přehled na úrovni vedení a provozní znalost — se musí propojit, než čtvrthodinové čtení stránky skutečně něco vypoví o tom, co se v organizaci děje.
Tato struktura se budu postupně, nenabízí se jako hotový produkt. Kdo chce scan, který tento inventář, klasifikaci a reportovací strukturu poskytuje, se zapisuje na čekací listinu; je ve výstavbě a neprodává se jako hotový nástroj dříve, než tomu skutečně tak je.
Jakmile je jasné, jaká AI běží a do jaké rizikové kategorie spadá, následuje jiná otázka, která se netýká rizika, ale uspořádání samotné práce: jaká část úkolů, které se nyní provádějí, je vhodná k převzetí AI. Je to samostatný výpočet, postavený ne na riziku, ale na úkolech. Pracovní scan FTE TO AI vypočítá pro každý úkol, jaká část práce je vhodná k převzetí, jako další krok, jakmile je jasné, co v organizaci z AI už existuje.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.