Έχετε μια λίστα με εγκεκριμένα εργαλεία AI. Το ερώτημα δεν είναι αν αυτή η λίστα είναι σωστή, αλλά αν σημαίνει ακόμα κάτι. Ένας εργαζόμενος που επιταχύνει μια εργασία με ένα chatbot που δεν βρίσκεται στη λίστα, δεν το αναφέρει ως περιστατικό. Δεν το αναφέρει επειδή δεν μοιάζει με περιστατικό. Η απάντηση που δεν αποδέχεστε είναι λοιπόν «έχουμε μια πολιτική AI και μια εγκεκριμένη λίστα» — γιατί αυτή η πρόταση δεν λέει τίποτα για ό,τι συμβαίνει έξω από αυτή τη λίστα, και αυτό είναι πιθανότατα το μεγαλύτερο μέρος.
Ως CIO, εσείς είστε αυτός που πρέπει να εξηγήσει γιατί ένα περιστατικό AI δεν ήταν γνωστό νωρίτερα, ενώ ο υπόλοιπος οργανισμός θεωρεί δεδομένο ότι η IT έχει την εικόνα. Αυτή η εικόνα υπάρχει για συστήματα που έχουν αγοραστεί. Δεν υπάρχει για την επέκταση που εγκατέστησε μια ομάδα μόνη της, τη δοκιμαστική έκδοση που ενεργοποίησε κάποιος, ή το μοντέλο που ήρθε μέσα από ένα εργαλείο εξυπηρέτησης πελατών. Ο κίνδυνος για εσάς δεν είναι ότι χρησιμοποιείται AI — αυτό συμβαίνει ούτως ή άλλως — αλλά ότι εσείς είστε ο τελευταίος που το μαθαίνει, τη στιγμή που έχει ήδη πάει στραβά.
Ένα σωστό απόθεμα καταγραφής αλλάζει τη θέση σας. Αντί να αντιδράτε σε περιστατικά που δεν είχατε δει να έρχονται, μπορείτε εκ των προτέρων να υποδείξετε πού βρίσκονται οι κίνδυνοι και γιατί. Αυτό είναι επίσης η βάση για να διεξάγετε εντός του οργανισμού τη συζήτηση με τον General Counsel, που βλέπει την ίδια σκιώδη AI από διαφορετική οπτική, και με τον risk manager, που θέλει να την ενσωματώσει στην υπάρχουσα δομή διαχείρισης κινδύνου αντί να δημιουργήσει ξεχωριστή διαδρομή δίπλα της.
Η λίστα IT καταγράφει τι έχει αγοραστεί και εγκριθεί. Η σκιώδης AI δημιουργείται εκεί όπου αυτά τα δύο βήματα παραλείπονται: ένας εργαζόμενος βρίσκει ένα εργαλείο, το χρησιμοποιεί, και δεν αναφέρει τίποτα επειδή δεν φαίνεται να υπάρχει τίποτα να αναφερθεί. Αυτό δεν είναι αμέλεια — είναι το αποτέλεσμα μιας διαδικασίας προμήθειας που δεν έχει σχεδιαστεί για να παρακολουθεί τι παίρνουν οι άνθρωποι μόνοι τους. Όσο μεγαλύτερος είναι ο οργανισμός και όσο περισσότερες ομάδες λειτουργούν αυτόνομα, τόσο μεγαλύτερη μπορεί να είναι η διαφορά μεταξύ της λίστας και της πραγματικότητας. Πόσο μικρή είναι αυτή η διαφορά, εξαρτάται από πόση ελευθερία έχουν οι ομάδες να επιλέγουν εργαλεία μόνες τους και πόσο ορατή είναι ήδη αυτή η συμπεριφορά — δεν υπάρχει αριθμός γι' αυτό, μόνο η κατεύθυνση.
Ο μόνος τρόπος να μάθετε τι όντως λειτουργεί είναι να ρωτήσετε τους ανθρώπους που το χρησιμοποιούν. Αυτό λειτουργεί μόνο αν η απάντηση δεν οδηγεί σε συνέπεια για όποιον την δίνει. Αν ρωτήσετε «χρησιμοποιείς εργαλεία AI που δεν είναι εγκεκριμένα» με τόνο που θυμίζει αξιολόγηση απόδοσης, θα λάβετε την απάντηση που ήδη έδωσε η λίστα IT: όχι. Αν το ρωτήσετε χωρίς συνέπειες, με σκοπό την κατανόηση αντί τη διόρθωση, τότε προκύπτει μια εικόνα που όντως αντιστοιχεί στην πράξη. Αυτή η διάκριση — ερωτήσεις χωρίς συνέπειες έναντι ερωτήσεων με συνέπειες — είναι η διαφορά μεταξύ μιας απογραφής που αξίζει κάτι και μιας άσκησης που δεν λέει τίποτα σε κανέναν.
Μια λίστα εργαλείων που χρησιμοποιούνται είναι σημείο εκκίνησης, όχι τελικό σημείο. Δεν φέρει κάθε εφαρμογή AI τον ίδιο κίνδυνο. Ένα εργαλείο που ξαναγράφει κείμενο για εσωτερική χρήση είναι διαφορετικό από ένα εργαλείο που συμμετέχει στην απόφαση αποδοχής πελάτη ή αξιολόγησης προσωπικού. Η κατηγοριοποίηση κατά ρόλο — τι κάνει το σύστημα — και κατά επίπεδο κινδύνου — ποιος είναι ο αντίκτυπος αν κάτι πάει στραβά — είναι απαραίτητη για να ξέρετε πού να στρέψετε την προσοχή σας. Χωρίς κατηγοριοποίηση, κάθε εφαρμογή AI φαίνεται ίδια σε μια αναφορά, και αυτή είναι ακριβώς η εικόνα που δεν βοηθά ένα διοικητικό συμβούλιο να πάρει θέση.
Ως CIO, πιθανότατα έχετε ήδη ένα πλαίσιο διαχείρισης κινδύνου για συστήματα IT, ασφάλεια πληροφοριών και προμηθευτές. Η διακυβέρνηση AI λειτουργεί καλύτερα όταν συνδέεται με αυτή τη δομή παρά όταν γίνεται ένα ξεχωριστό πλαίσιο δίπλα της. Αυτό είναι ακριβώς το πρόβλημα που αντιμετωπίζουν και ο compliance officer και ο υπεύθυνος προγράμματος AI: υπερβολικά πολλές ξεχωριστές πρωτοβουλίες AI που δεν επικοινωνούν μεταξύ τους, ενώ το διοικητικό συμβούλιο περιμένει ακριβώς μία συνεκτική απάντηση στο ερώτημα τι συμβαίνει και τι γίνεται γι' αυτό.
Τι σημαίνει σκιώδης AI διαφέρει ανά κλάδο. Στον κατασκευαστικό κλάδο λειτουργεί διαφορετικά από τον κλάδο εγκαταστάσεων, και αξίζει να δείτε πώς διαμορφώνεται η διακυβέρνηση AI στον κατασκευαστικό κλάδο ή πώς φαίνεται αυτό στον κλάδο εγκαταστάσεων πριν υποθέσετε ότι μία προσέγγιση ταιριάζει παντού.
Η Responsible AI Scan που παράγει αυτό αποτέλεσμα — απογραφή, κατηγοριοποίηση, ένα σύνολο διακυβέρνησης που συνδέεται με την υπάρχουσα δομή σας — βρίσκεται σε ανάπτυξη. Όποιος θέλει να ξεκινήσει τώρα, μπορεί να εγγραφεί στη λίστα αναμονής· δεν υπάρχει ακόμα ένα έτοιμο προϊόν να προσφέρουμε, και προτιμούμε να το γράψουμε με ειλικρίνεια παρά να υποσχεθούμε κάτι που δεν υπάρχει ακόμα.
Μόλις γνωρίζετε ποια AI χρησιμοποιείται και με ποιο κίνδυνο, ακολουθεί φυσικά το επόμενο ερώτημα: ποιο μέρος της εργασίας θα μπορούσε το ίδιο να αποτελέσει εργασία για AI, και ποιο μέρος όχι. Αυτό είναι διαφορετικό ερώτημα από τη διαχείριση κινδύνου — έχει να κάνει με τη δυναμικότητα, όχι με την έκθεση σε κίνδυνο — και η werkscan του FTE TO AI το υπολογίζει ανά εργασία, ώστε να ξέρετε όχι μόνο τι λειτουργεί ήδη, αλλά και πού η AI θα μπορούσε να αναλάβει η ίδια την εργασία.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.