Seznam oversight rozhodnutí zaznamenává, kdo přijal jaké rozhodnutí o jakém AI systému, na základě jakých informací a s jakou výhradou. To zní jednoduše. V praxi první verze často selže, protože je postavena jako nový proces vedle stávajících porad. Druhý proces vedle stávajícího je ignorován, ne proto, že by lidé byli neochotní, ale protože si nikdo nevyhradí čas na něco, co nezapadá do agendy, která je už plná.
Seznam není deníkem aktivit ani registrem rizik. Obsahuje rozhodnutí: okamžiky, kdy někdo s pravomocí něco schválil, zamítl, odložil nebo umožnil pokračovat za určitých podmínek. Na řádek patří minimálně čtyři prvky: systém nebo aplikace, o kterou rozhodnutí jde, jméno a role osoby, která rozhodla, datum a odůvodnění nebo výhrada. Bez odůvodnění je seznam rozhodnutí prezenční listinou. S odůvodněním se stává důkazem, že proběhlo přemýšlení, nikoli jen odškrtávání.
Seznam má také poskytovat prostor pro revizi. Rozhodnutí přijaté před půl rokem na základě tehdy dostupných informací může být zastaralé. Dobrý seznam rozhodnutí ukazuje, kdy bylo rozhodnutí znovu potvrzeno nebo zrušeno, nejen kdy bylo původně přijato.
Představenstva a vedení mají už svůj rytmus: čtvrtletní schůze, rizikové výbory, auditní komise. Kdo zavede novou strukturu oversight, která stojí mimo tento rytmus, žádá lidi, aby si našli extra čas na něco, co nemá jasné místo. To se zřídka děje soustavně. Prvních pár případů se to možná s úsilím podaří. Poté to zmizí z agendy, jakmile se objeví něco naléhavějšího, a něco naléhavějšího se objeví vždy.
Řešením není budovat nový proces, ale napojit seznam rozhodnutí na to, co už probíhá. Pokud už existuje rizikový výbor, který se schází každé čtvrtletí, má být seznam rozhodnutí o AI pevnou součástí této agendy, ne samostatným zasedáním. Pokud už existuje auditní stopa pro finanční rozhodnutí, má se logika této stopy — kdo podepisuje, kdo kontroluje, kde se ukládá — znovu použít pro rozhodnutí o AI. To je také důvod, proč je napojení na stávající rizikovou strukturu samostatným tématem: seznam rozhodnutí, který se nenapojí na to, jak se o riziku už jinde diskutuje, zůstává izolovaným dokumentem, který nikdo nekonzultuje.
Seznam rozhodnutí nefunguje sám o sobě. Napájí reportování, které vedení potřebuje k tomu, aby mohlo prohlásit, že má přehled o riziku AI, a předpokládá, že existuje cesta pro situaci, kdy se ukáže, že rozhodnutí již není udržitelné. Bez reportingu pro vedení na jednu stránku, který seznam rozhodnutí shrnuje, informace zmizí v archivu, který nikdo nelistuje. Bez funkčních eskalačních cest zůstane zastaralé rozhodnutí prostě v platnosti, protože nikdo neví, komu ho má předložit.
Tyto tři věci spolu souvisejí: seznam rozhodnutí zaznamenává, co bylo rozhodnuto, reportování to zviditelňuje na úrovni, kde to má váhu, a eskalace zajišťuje, že rozhodnutí lze znovu otevřít, pokud se situace změní. Vybudujete-li jedno bez druhých dvou, vznikne zdání přehledu, které při první zkoušce — incidentu, dotazu dozorového orgánu, novináře — neodpovídá tomu, co se skutečně děje.
Seznam rozhodnutí je jen tak dobrý jako informace, které do něj vstupují. Pokud nikdo neví, jaké AI systémy se skutečně používají — včetně toho, co bylo pořízeno nebo zavedeno mimo IT oddělení — pak seznam zaznamenává jen rozhodnutí o viditelných, formálně schválených aplikacích. Zbytek zůstává nerozhodnutý, ne proto, že by rozhodnutí nebylo potřeba, ale protože nikdo nevěděl, že existuje něco, o čem se má rozhodovat. Proto inventarizace vždy předchází seznamu rozhodnutí, nikoli naopak. Co by o tom měl vědět člen vedení, je popsáno v co by měl vědět člen vedení o riziku AI; co by měl v této inventarizaci rozpoznat CIO, je popsáno v co by měl vědět CIO o riziku AI.
Co je jisté: seznam rozhodnutí bez napojení na stávající poradu se neudržuje a seznam rozhodnutí bez úplného obrazu toho, co je v provozu, zaznamenává jen část skutečnosti. Co závisí na organizaci: která porada je vhodným ukotvením, jak často se tato porada schází a kdo má pravomoc přijmout rozhodnutí, které se do seznamu zapíše. To se liší podle sektoru, struktury vedení a rizikové kultury, a proto neexistuje jedna pevná šablona, která by fungovala všude bez úprav.
Responsible AI Scan se připravuje. Kdo v tuto chvíli potřebuje seznam rozhodnutí napojený na stávající strukturu, se může přihlásit na čekací listinu; ještě se nenabízí nic, co ještě neexistuje.
Seznam rozhodnutí říká, kdo rozhodl, ne kolik práce systém skutečně převezme nebo by mohl převzít. Pro tuto otázku — jaká část úkolu se dá přenést na AI a jaká ne — je potřeba jiný pohled, než jaký nabízí governance samotná. Pracovní scan FTE TO AI vypočítá pro každý úkol, jakou část práce lze převzít, jako doplnění přehledu, který nabízí seznam rozhodnutí a příslušná struktura oversight.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.