Kennisbank

Monitoring, který se skutečně používá

Problém není v tom, že monitoring chybí

Většina organizací už má něco, co se nazývá monitoring. Dashboard, formát reportování, periodické jednání, na kterém se probírají rizika. Problém není v tom, že by to chybělo. Problém je, že AI monitoring se přidává jako samostatná součást, s vlastním rytmem, vlastním vlastníkem a vlastní šablonou. Kdo už má tři procesy pro sledování rizik, nebude svědomitě vyplňovat čtvrtý. Stane se z něj povinnost, která se jednou za čtvrtletí odbyde, nebo se neplní vůbec.

To je důvod, proč monitoring používání AI tak často nic nepřinese. Ne proto, že by otázky byly špatné, ale proto, že samotný proces zůstává cizím tělesem uvnitř organizace, která už má procesy pro riziko, compliance a interní kontrolu.

Co má patřit do skutečného monitoringu

Monitoring, který něco přináší, nezačíná formátem, ale otázkou: co se mění a kdo si toho všimne první? U systémů AI to znamená tři vrstvy.

První vrstvou je používání: používá se systém stále tak, jak bylo zamýšleno, nebo se jeho použití posunulo bez toho, že by to kdokoli nahlásil? Nástroj, který začal jako kontrola textu a nyní se používá k formulování koncepčních rozhodnutí, představuje jiné riziko, než jaké bylo stanoveno na začátku.

Druhou vrstvou je původ: je systém stále stejný jako v době, kdy byl klasifikován? Podkladové modely se nahrazují, dodavatelé mění podmínky, samostatný nástroj se integruje do většího platformu. Každá změna může zneplatnit tehdejší odhad rizika, aniž by to kdokoli znovu posoudil.

Třetí vrstvou je signál: existují stížnosti, chybová hlášení nebo odchylky, které ukazují, že něco nefunguje tak, jak se předpokládalo? Toto je vrstva, která chybí nejčastěji, protože nikomu nezáleží na hlášení problému u systému, který úředně neexistuje.

Proč je druhý proces ignorován

Organizace, která už má cyklus rizik pro provozní rizika, finanční rizika nebo ochranu údajů, nezačne nový cyklus pro AI. To není neochota; je to otázka kapacity. Kdo se o to pokusí, uvidí, že se stane jedna ze dvou věcí. Buď nový monitoring zůstane prázdný, protože nikdo nenajde čas na to, aby naplňoval systém, po kterém se nikdo nepoptává. Nebo nový monitoring převezmou stejní lidé, kteří už vedou stávající cyklus, a rozdíl mezi nimi tak sám zmizí.

Otázka tedy není, zda má vzniknout samostatný proces monitoringu AI. Otázka je, jak se signály o AI dostanou do stávajícího cyklu, aby se probíraly na stejné schůzce, se stejným vlastníkem a ve stejném rytmu jako ostatní rizika. Jak přesně to má být uspořádáno, závisí na tom, jak už nyní funguje tento stávající cyklus: některé organizace mají čtvrtletní reportování auditní komisi, jiné měsíční jednání o rizicích na úrovni vedení, další nepřetržitý log, který se aktualizuje po každém incidentu. Více o tom, jak zakotvíte monitoring, který něco přinese, do toho, co už funguje, místo abyste ho k tomu jen přidávali naleznete na samostatné stránce, protože tento mechanismus se v každé organizaci nastavuje jinak.

Dokument, který je připraven, když se na něj někdo zeptá

Co do toho zapadá univerzálně, je pevná forma, ve které se zaznamenává stav systémů AI: co běží, v jaké roli, s jakou úrovní rizika, a kdy to bylo naposledy potvrzeno. Ne jako samostatný dokument o AI, ale jako příloha nebo pevná součást reportování, které už existuje. To může navazovat na jednostránkové reportování pro představenstvo, které shrnuje rizika, aniž by je zamlžovalo, aby se monitoring nestal samostatným proudem informací, ale řádkem v tabulce, kterou už člen vedení čte.

Tato forma funguje pouze tehdy, pokud samotná podkladová klasifikace zůstává aktuální, a tato klasifikace musí zase navazovat na strukturu rizik, která už existuje. Bez tohoto propojení zůstává monitoring druhým jazykem vedle prvního, a tento druhý jazyk se zapomene, jakmile vzroste tlak. Jak toto propojení vypadá, závisí na tom, jak se struktura rizik a klasifikace AI potkávají v tom, co organizace už používá, a nelze to popsat obecnými termíny bez znalosti stávající struktury.

Co monitoring odhalí, přesahuje rámec dokumentu

Monitoring, který dobře funguje, signalizuje nejen riziko, ale i posun: systémy, které se používají jinak, než bylo zamýšleno, nebo úkoly, které byly tiše převzaty bez toho, aby to kdokoli zaznamenal. Tytéž signály jsou také informací o tom, čemu lidé skutečně věnují čas a kde AI fakticky už přebírá práci, aniž by to bylo kdekoli zapsáno. Kdo chce tuto otázku zpřesnit více, než dovoluje klasifikace rizik, může se ve scanu pracovní zátěže FTE TO AI podívat, jaká část práce po jednotlivých úkolech přichází v úvahu pro AI, bez ohledu na to, zda k tomu už dochází nebo se o tom ještě musí rozhodnout. Tento scan neuvažuje v riziku, ale v úkolech a hodinách, a tím navazuje na to, co monitoring signalizuje, aniž by to vysvětloval.