Μια λίστα αποφάσεων εποπτείας καταγράφει ποιος έλαβε ποια απόφαση σχετικά με ποιο σύστημα AI, με βάση ποιες πληροφορίες, και με ποια επιφύλαξη. Αυτό ακούγεται απλό. Στην πράξη η πρώτη εκδοχή αποτυγχάνει συχνά επειδή παρουσιάζεται ως νέα διαδικασία δίπλα στις υπάρχουσες συσκέψεις. Μια δεύτερη διαδικασία δίπλα στην υπάρχουσα αγνοείται, όχι επειδή οι άνθρωποι είναι απρόθυμοι, αλλά επειδή κανείς δεν κρατά χρόνο για κάτι που δεν συνδέεται με μια ημερήσια διάταξη που είναι ήδη γεμάτη.
Η λίστα δεν είναι ημερολόγιο δραστηριοτήτων ούτε μητρώο κινδύνων. Περιέχει αποφάσεις: στιγμές κατά τις οποίες κάποιος με αρμοδιότητα εγκρίνει, απέρριψε, αναβάλλε ή επέτρεψε να προχωρήσει κάτι υπό όρους. Κάθε γραμμή πρέπει να περιλαμβάνει τουλάχιστον τέσσερα στοιχεία: το σύστημα ή την εφαρμογή για την οποία γίνεται η απόφαση, το όνομα και τον ρόλο του υπεύθυνου λήψης απόφασης, την ημερομηνία, και την αιτιολόγηση ή την επιφύλαξη. Χωρίς αιτιολόγηση, μια λίστα αποφάσεων είναι απλώς λίστα παρουσιών. Με αιτιολόγηση, γίνεται απόδειξη ότι έγινε σκέψη, όχι μόνο ότι μπήκε ένα τικ.
Η λίστα πρέπει επίσης να προβλέπει χώρο για αναθεώρηση. Μια απόφαση που λήφθηκε πριν από έξι μήνες με βάση τις τότε διαθέσιμες πληροφορίες μπορεί να έχει ξεπεραστεί. Μια καλή λίστα αποφάσεων δείχνει πότε μια απόφαση επιβεβαιώθηκε εκ νέου ή ανακλήθηκε, όχι μόνο πότε λήφθηκε αρχικά.
Τα διοικητικά συμβούλια και οι διευθύνσεις έχουν ήδη έναν ρυθμό: τριμηνιαίες συσκέψεις, επιτροπές κινδύνου, επιτροπές ελέγχου. Όποιος στήνει μια νέα δομή εποπτείας που δεν συνδέεται με αυτόν τον ρυθμό, ζητά από τους ανθρώπους να βρουν επιπλέον χρόνο για κάτι που δεν έχει σαφή θέση. Αυτό σπάνια γίνεται διαρθρωτικά. Τις πρώτες φορές μπορεί να πετύχει, με προσπάθεια. Στη συνέχεια εξαφανίζεται από την ημερήσια διάταξη μόλις εμφανιστεί κάτι πιο επείγον, και πάντα εμφανίζεται κάτι πιο επείγον.
Η λύση δεν είναι να χτιστεί μια νέα διαδικασία, αλλά η λίστα αποφάσεων να συνδεθεί με ό,τι ήδη συμβαίνει. Αν υπάρχει ήδη μια επιτροπή κινδύνου που συνέρχεται κάθε τρίμηνο, η λίστα αποφάσεων AI πρέπει να αποτελεί σταθερό μέρος αυτής της ημερήσιας διάταξης, όχι ξεχωριστή συνάντηση. Αν υπάρχει ήδη διαδρομή ελέγχου για οικονομικές αποφάσεις, η λογική αυτής της διαδρομής — ποιος υπογράφει, ποιος ελέγχει, πού αποθηκεύεται — πρέπει να επαναχρησιμοποιείται για τις αποφάσεις AI. Αυτός είναι και ο λόγος που η σύνδεση με την υπάρχουσα δομή διαχείρισης κινδύνου αποτελεί ξεχωριστό θέμα: μια λίστα αποφάσεων που δεν συνδέεται με τον τρόπο που συζητιέται ήδη ο κίνδυνος αλλού, παραμένει ένα απομονωμένο έγγραφο που κανείς δεν συμβουλεύεται.
Μια λίστα αποφάσεων δεν λειτουργεί από μόνη της. Τροφοδοτεί την αναφορά που χρειάζεται ένα διοικητικό συμβούλιο για να μπορεί να πει ότι υπάρχει εποπτεία του κινδύνου AI, και προϋποθέτει ότι υπάρχει διαδρομή για την περίπτωση που μια απόφαση αποδειχθεί μη βιώσιμη. Χωρίς μια αναφορά προς το διοικητικό συμβούλιο μιας σελίδας που συνοψίζει τη λίστα αποφάσεων, η πληροφορία εξαφανίζεται σε ένα αρχείο που κανείς δεν ξεφυλλίζει. Χωρίς διαδρομές κλιμάκωσης που λειτουργούν, μια απόφαση που έχει ξεπεραστεί απλά παραμένει, επειδή κανείς δεν ξέρει σε ποιον πρέπει να την αναφέρει.
Τα τρία συνδέονται μεταξύ τους: η λίστα αποφάσεων καταγράφει τι αποφασίστηκε, η αναφορά το κάνει ορατό στο επίπεδο όπου έχει βάρος, και η κλιμάκωση εξασφαλίζει ότι μια απόφαση μπορεί να ανοίξει εκ νέου αν η κατάσταση αλλάξει. Αν χτίσετε ένα από αυτά χωρίς τα άλλα δύο, δημιουργείται μια εντύπωση εποπτείας που, στην πρώτη δοκιμασία — ένα περιστατικό, ένα ερώτημα από μια εποπτική αρχή, έναν δημοσιογράφο — αποδεικνύεται ότι δεν καλύπτει αυτό που πραγματικά συμβαίνει.
Μια λίστα αποφάσεων είναι τόσο καλή όσο οι πληροφορίες που περιέχει. Αν κανείς δεν γνωρίζει ποια συστήματα AI χρησιμοποιούνται πραγματικά — συμπεριλαμβανομένου όσων αποκτήθηκαν ή στήθηκαν εκτός IT — τότε η λίστα καταγράφει μόνο αποφάσεις για τις ορατές, επίσημα εγκεκριμένες εφαρμογές. Το υπόλοιπο παραμένει χωρίς απόφαση, όχι επειδή δεν χρειαζόταν απόφαση, αλλά επειδή κανείς δεν γνώριζε ότι υπήρχε κάτι για το οποίο έπρεπε να αποφασιστεί. Γι' αυτό μια απογραφή προηγείται πάντα μιας λίστας αποφάσεων, όχι το αντίστροφο. Τι πρέπει να γνωρίζει ένα μέλος διοικητικού συμβουλίου σχετικά με αυτό, περιγράφεται στο τι πρέπει να γνωρίζει ένα μέλος διοικητικού συμβουλίου για τον κίνδυνο AI; τι πρέπει να αναγνωρίζει ένας CIO σε αυτή την απογραφή, περιγράφεται στο τι πρέπει να γνωρίζει ένας CIO για τον κίνδυνο AI.
Τι είναι σταθερό: μια λίστα αποφάσεων που δεν συνδέεται με μια υπάρχουσα σύσκεψη δεν διατηρείται, και μια λίστα αποφάσεων χωρίς πλήρη εικόνα των εν λειτουργία συστημάτων καταγράφει μόνο μέρος της πραγματικότητας. Τι εξαρτάται από τον οργανισμό: ποια σύσκεψη είναι το κατάλληλο σημείο αγκύρωσης, πόσο συχνά συνέρχεται αυτή η σύσκεψη, και ποιος έχει την αρμοδιότητα να λάβει μια απόφαση που καταλήγει στη λίστα. Αυτό διαφέρει ανά τομέα, ανά δομή διοίκησης και ανά κουλτούρα κινδύνου, και γι' αυτό δεν υπάρχει σταθερό πρότυπο που να λειτουργεί παντού χωρίς προσαρμογή.
Το Responsible AI Scan βρίσκεται υπό κατασκευή. Όποιος έχει αυτή τη στιγμή ανάγκη από μια λίστα αποφάσεων που συνδέεται με την υπάρχουσα δομή, μπορεί να εγγραφεί στη λίστα αναμονής· δεν προσφέρεται ακόμη κάτι που δεν υπάρχει ήδη.
Μια λίστα αποφάσεων δείχνει ποιος αποφάσισε, όχι πόσο έργο αναλαμβάνει πραγματικά ή θα μπορούσε να αναλάβει ένα σύστημα. Για αυτό το ερώτημα — ποιο μέρος μιας εργασίας μπορεί να μεταφερθεί στην AI, και ποιο όχι — απαιτείται μια διαφορετική οπτική από αυτή που προσφέρει μόνο η διακυβέρνηση. Η werkscan της FTE TO AI υπολογίζει ανά εργασία ποιο μέρος της δουλειάς μπορεί να αναληφθεί, ως συμπλήρωμα της εικόνας που προσφέρουν μια λίστα αποφάσεων και η αντίστοιχη δομή εποπτείας.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.