Μια λίστα αποφάσεων εποπτείας δεν είναι ένα νέο έντυπο ούτε μια νέα συνάντηση. Είναι ένα σταθερό σημείο όπου καταγράφεται ποια εφαρμογή AI έχει αξιολογηθεί, από ποιον, με βάση ποια εκτίμηση κινδύνου, και με ποια απόφαση. Εγκρίθηκε, απορρίφθηκε, με προϋποθέσεις, ή επιτράπηκε προσωρινά εν αναμονή περαιτέρω διερεύνησης. Χωρίς αυτή τη λίστα, μια απόφαση υπάρχει μόνο στη μνήμη όσων ήταν παρόντες, και εξαφανίζεται μόλις κάποιος αλλάξει θέση ή η συζήτηση δεν έχει καταγραφεί σε πρακτικά.
Η λίστα περιλαμβάνει, ανά εφαρμογή, μια σύντομη περιγραφή της εργασίας, την κατηγοριοποίηση κατά ρόλο και επίπεδο κινδύνου, το όνομα του υπεύθυνου της διαδικασίας, την ημερομηνία αξιολόγησης, την ληφθείσα απόφαση και τον λόγο της. Καμία τεχνική προδιαγραφή, καμία τεκμηρίωση προμηθευτή: αυτό ανήκει στον φάκελο της ίδιας της εφαρμογής, όχι στη λίστα αποφάσεων. Η λίστα είναι μια επισκόπηση ένα επίπεδο πιο πάνω — ποιος αποφάσισε τι, και πότε επιβεβαιώθηκε τελευταία φορά αυτή η απόφαση. Μια εφαρμογή που εγκρίθηκε πριν από ένα χρόνο για μια εργασία περιορισμένου κινδύνου, μπορεί εν τω μεταξύ να χρησιμοποιείται για κάτι άλλο. Χωρίς περιοδική επανεπιβεβαίωση, μια παλιά απόφαση συνεχίζει να ισχύει για μια κατάσταση που δεν υπάρχει πλέον.
Ο λόγος που τα ξεχωριστά μητρώα AI παραμένουν συχνά άδεια δεν είναι η απροθυμία, αλλά η σειρά προτεραιότητας. Κάθε οργανισμός έχει ήδη ένα σημείο όπου συζητούνται και καταγράφονται οι κίνδυνοι: μια επιτροπή κινδύνου, μια επιτροπή ελέγχου, μια συνάντηση διοίκησης με ένα σταθερό θέμα ημερήσιας διάταξης για τον λειτουργικό κίνδυνο. Όποιος δημιουργεί επιπλέον ένα ξεχωριστό αρχείο καταγραφής AI, ζητά από τους ανθρώπους να τηρούν μια δεύτερη διαχείριση για κάτι που ουσιαστικά ανήκει στην πρώτη. Αυτή η δεύτερη διαδικασία χάνει, διαρθρωτικά, από την καθημερινή πίεση. Η λίστα αποφάσεων εποπτείας λειτουργεί μόνο αν είναι ενσωματωμένη σε ό,τι ήδη υπάρχει — ως σταθερό μέρος μιας υπάρχουσας συνάντησης, με σταθερή θέση στην ημερήσια διάταξη, αντί ως νέα υποχρέωση δίπλα σε αυτήν.
Αυτό σημαίνει επίσης ότι η λίστα χρησιμοποιεί την ίδια κλίμακα και γλώσσα με το υπόλοιπο της δομής διαχείρισης κινδύνου. Μια εφαρμογή με υψηλό επίπεδο κινδύνου λαμβάνει το ίδιο είδος προσοχής με κάθε άλλο φάκελο υψηλού επιπέδου κινδύνου: σταθερή συχνότητα αναφοράς, σταθερός υπεύθυνος, σταθερή γραμμή κλιμάκωσης. Πώς φαίνεται αυτή η σύνδεση στην πράξη εξαρτάται από την υπάρχουσα διακυβέρνηση του οργανισμού και περιγράφεται στη σελίδα για την ευθυγράμμιση με την υπάρχουσα δομή κινδύνου.
Μια λίστα αποφάσεων είναι άχρηστη χωρίς μια διαδρομή για το τι συμβαίνει όταν κάποιος διαφωνεί, ή όταν μια εφαρμογή αλλάζει χωρίς να το αναφέρει κανείς. Αυτή η διαδρομή δεν ανήκει στην ίδια τη λίστα, αλλά πρέπει να συνδέεται μαζί της: ποιος μπορεί να αμφισβητήσει μια απόρριψη, ποιος πρέπει να παρατείνει μια προσωρινή έγκριση, και σε ποιον καταλήγει μια υπόθεση όταν ο υπεύθυνος της διαδικασίας και η λειτουργία κινδύνου διαφωνούν. Πώς λειτουργούν αυτές οι γραμμές χωρίς κάθε ερώτημα να καταλήγει στην κορυφή του οργανισμού, περιγράφεται στη σελίδα διαδρομές κλιμάκωσης που λειτουργούν.
Η λίστα αποφάσεων είναι η μνήμη· το διοικητικό συμβούλιο χρειάζεται επιπλέον μια σύνοψη που δεν χρειάζεται να συντάσσεται εκ νέου κάθε τρίμηνο από ξεχωριστά πρακτικά. Τι πρέπει να περιλαμβάνει αυτή η σύνοψη — και τι όχι, επειδή βρίσκεται ήδη στη λίστα αποφάσεων — περιγράφεται στη σελίδα για μια αναφορά διοικητικού συμβουλίου μιας σελίδας. Χωρίς αυτό το βήμα, η λίστα αποφάσεων παραμένει ένα έγγραφο που διαβάζουν μόνο οι υπεύθυνοι της διαδικασίας, ενώ το διοικητικό συμβούλιο παραμένει νομικά υπεύθυνο για ό,τι αποφασίζεται.
Η καταγραφή μιας απόφασης δεν είναι το ίδιο με το να γνωρίζει κανείς αν η απόφαση τηρείται. Μια εφαρμογή που έχει απορριφθεί μπορεί να συνεχίσει να χρησιμοποιείται αν κανείς δεν ελέγχει αν η απόρριψη εφαρμόστηκε. Αυτός είναι ο λόγος που μια λίστα αποφάσεων χωρίς συνέχεια αποδίδει λίγα: τεκμηριώνει προθέσεις, όχι συμπεριφορά. Τι απαιτείται για να δει κανείς αν μια απόφαση διατηρείται, και ποια σήματα σχετίζονται με αυτό, περιγράφεται στη σελίδα για την παρακολούθηση που αποδίδει κάτι.
Μια λίστα αποφάσεων μπορεί να περιέχει μόνο ό,τι έχει δηλωθεί. Όποιος εξαρτάται από αναφορές μέσω του τμήματος πληροφορικής, βλέπει ένα μικρό κλάσμα από ό,τι πραγματικά χρησιμοποιείται: το μεγαλύτερο μέρος της χρήσης AI σε έναν οργανισμό προκύπτει εκτός επίσημων διαδικασιών προμήθειας, σε ομάδες που δοκιμάζουν ένα εργαλείο επειδή λειτουργεί. Το αν αυτές οι εφαρμογές θα καταλήξουν ποτέ στη λίστα αποφάσεων εξαρτάται από το αν οι εργαζόμενοι τολμούν να πουν τι χρησιμοποιούν — και αυτό συμβαίνει μόνο αν οι σχετικές ερωτήσεις δεν μοιάζουν με προθάλαμο για κύρωση.
Το πρώτο ερώτημα που βοηθά σε αυτή την περίπτωση δεν είναι «ποιο AI έχει εγκριθεί» αλλά «ποιο μέρος αυτής της εργασίας γίνεται ήδη, ή θα μπορούσε να γίνεται, από AI». Αυτή είναι μια διαφορετική αφετηρία από μια λίστα αποφάσεων, και ένα πιο ολοκληρωμένο σημείο εκκίνησης: η σάρωση εργασίας (werkscan) της FTE TO AI υπολογίζει ανά εργασία ποιο μέρος της εργασίας μπορεί να αναλάβει το AI, θέτοντας έτσι μια βάση που δεν εξαρτάται από ό,τι έχει τυχαία δηλωθεί. Από αυτό το αποτέλεσμα γίνεται ορατό ποιες εφαρμογές λειτουργούν ήδη στην πραγματικότητα προτού η λίστα αποφάσεων το μάθει ποτέ.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.