Kennisbank

Monitoring, který funguje, je monitoring, který navazuje na to, co už existuje

Velká část monitoringu využívání AI vzniká jako samostatná iniciativa: nový formulář, nová schůzka, nový dashboard. V okamžiku spuštění vypadá kompletně. O rok později je rozředěný. Ne proto, že by obsah byl špatný, ale proto, že stál vedle stávající struktury, místo aby byl její součástí.

Otázka tedy není jen to, co se má monitorovat, ale kde tento monitoring přistane. Proces, který si nikdo nemusí pamatovat, protože je už součástí rutiny, která tak jako tak běží, přežije. Proces, který vyžaduje další krok od lidí, kteří už mají plné ruce práce, se po čase přestane provádět. To není neochota. Je to předvídatelný důsledek toho, jak organizace zacházejí s časem a pozorností.

Proč druhý proces neobstojí

Každá organizace už má svůj rytmus: čtvrtletní reporty, rizikové výbory, cykly auditů, týmové schůzky. Pokud monitoring využívání AI zavádí nový rytmus, konkuruje všemu, co už existuje — a většinou prohrává. Neexistuje pro něj bod na agendě, žádný vlastník, který by ho považoval za klíčovou součást své funkce, žádný okamžik, kdy by se o něm samo od sebe mluvilo.

Pokud se však monitoring stane otázkou, která se už pokládá — ve stávajícím rizikovém výboru, v stávající vnitřní kontrole, v stávající reportovací linii vůči vedení — pak si nikdo nemusí pamatovat nic nového. Otázka „jaké nasazení AI přibylo nebo se změnilo“ se pak stane stejně samozřejmou jako „přibyli noví dodavatelé“ nebo „došlo k nějakým incidentům“. Jak přesně toto navázání konkrétně vypadá, závisí na tom, jak je u vás už uspořádáno navázání na stávající rizikovou strukturu — tato struktura je výchozím bodem, ne něčím navíc.

Co by dokument měl obsahovat

Funkční dokument pro monitoring je natolik krátký, aby se opakovaně používal, a natolik konkrétní, aby bylo možné nahlásit, když se něco změní. Obsahuje přinejmenším:

• Aktuální seznam nasazení AI, včetně toho, co bylo nahlášeno přes IT a co se používá mimo tento rámec. Tato druhá kategorie bývá často největší a mizí z každého dokumentu, který se spoléhá jen na formální schvalování.
• Klasifikaci rizika u každého nasazení, aby si každá změna nevyžadovala stejnou míru pozornosti. Generátor textu pro interní poznámky vyžaduje něco jiného než model, který se podílí na rozhodování o přijetí klienta.
• Vlastníka u každého nasazení — jméno, ne oddělení. Bez vlastníka žádná změna nikde nevzejde na povrch.
• Pevný interval, ve kterém se seznam revidovaný, navázaný na moment, který už existuje — ne na nový moment, který se musí plánovat zvlášť.
• Místo, kde se odchylky stávají viditelnými, aby si nového využití nebo změněného nasazení nikdo nevšiml až o měsíce později.

Hodnota dokumentu nespočívá v úplnosti prvního dne. Ta je málokdy dosažitelná a ani není nutná. Hodnota spočívá v tom, že se dokument udržuje aktuální, a že toto udržování nevyžaduje samostatné úsilí nad rámec toho, co se už děje.

Proč postih zastaví tok informací

Monitoring závisí na tom, co jsou lidé ochotni nahlásit. Jakmile se nahlášení rovná riziku, že se za něco bude platit, informace přestanou proudit. Ten, kdo dokončí úkol pomocí nástroje AI rychleji, než se čekalo, to nenahlásí, pokud důsledkem je odebrání rozpočtu nebo nepříjemný rozhovor. Seznam pak zůstává formálně úplný, ale obsahově prázdný — přesně ten problém, který udržuje stínové AI při životě.

Důsledkem je, že monitoring funguje jen tehdy, pokud jsou otázky pokládány bez postihu. Ne proto, že by využívání mělo zůstat bez důsledků, ale proto, že první krok — zjistit, co se děje — vyžaduje jiný postoj než druhý krok — posoudit, zda je to vhodné. Kdo tyto dva kroky spojí do jednoho, nedostane upřímnou odpověď na žádný z nich.

Toto rozlišení je i tam, kde se governance a odpovědnost setkávají. Viditelnost pro vedení nemusí znamenat, že se na stůl dostane každé jednotlivé nasazení; jde o úroveň reportování, která umožňuje posouzení, aniž by se zabředlo do detailů, jak je popsáno u reportu pro vedení, který se vejde na jednu stránku. To, co je pod touto úrovní — zaznamenávání rozhodnutí o konkrétních nasazeních — patří spíše do seznamu rozhodnutí v rámci dohledu než do dokumentu, který jde nahoru.

Zda se samotný dokument politiky vůbec čte, je podobná otázka: text, který nikdo nekonzultuje, poskytuje stejně málo opory jako proces monitoringu, který nikdo nevyplňuje. Viz k tomu politika AI, která se čte. A pro toho, kdo si přeje vědět, jaká část této odpovědnosti patří na úroveň vedení a jaká na úroveň IT governance, existuje rozlišení mezi co by měl vedoucí pracovník vědět o riziku AI a co by měl CIO vědět o riziku AI — obě otázky vyžadují jinou úroveň detailu v rámci stejného procesu monitoringu.

Od vědění, co běží, k vědění, co to přináší

Struktura monitoringu, která navazuje na to, co už existuje, v určitém okamžiku poskytne spolehlivý přehled o tom, jaká nasazení AI se používají a k čemu. Tato inventarizace je jiná otázka než to, kolik z podkladové práce skutečně vykonává AI a s jakým dopadem. Kdo si to chce dát spočítat za jednotlivé úkoly — jaká část funkce nebo procesu se dá převést na AI, na základě úkolů tak, jak se v současnosti provádějí — najde to ve pracovním skenu FTE TO AI.