Ένας General Counsel δεν κρίνεται από το τι πάει στραβά με την AI. Κρίνεται τη στιγμή που αποδεικνύεται ότι ο οργανισμός δεν μπορούσε να αποδείξει ότι το γνώριζε, ή χειρότερα, ότι θα μπορούσε να το γνωρίζει και δεν έκανε τίποτα. Αυτή είναι η διαφορά μεταξύ ενός συμβάντος και μιας παράλειψης. Το πρώτο συμβαίνει σε έναν οργανισμό. Το δεύτερο του καταλογίζεται.
Το νομικό ερώτημα — τι επιτρέπεται, τι είναι υποχρεωτικό, ποια προθεσμία ισχύει — είναι σημαντικό, αλλά έρχεται μετά από ένα άλλο ερώτημα. Αυτό το ερώτημα είναι: τι χρησιμοποιούμε στην πραγματικότητα. Όχι τι έχει αγοραστεί, όχι τι βρίσκεται στη λίστα προμηθευτών του IT, αλλά τι αφήνουν οι άνθρωποι στην πράξη να συναποφασίζει, να συγγράφει ή να συναξιολογεί. Χωρίς απάντηση σε αυτό το ερώτημα, κάθε νομική συμβουλή είναι μια συμβουλή για μια κατάσταση που δεν γνωρίζετε.
Αυτό κάνει τη θέση του General Counsel δύσκολη. Καλείστε να αξιολογήσετε κινδύνους με βάση μια απογραφή που συνήθως δεν υπάρχει, ή που αποτελείται από ό,τι έχει εγκριθεί — που εξ ορισμού δεν είναι αυτό που κάποιος άρχισε να χρησιμοποιεί χωρίς άδεια.
«Δεν χρειαζόμαστε πολιτική AI, γιατί δεν έχουμε AI» δεν είναι μια απάντηση που στέκει. Είναι μια υπόθεση, και οι υποθέσεις είναι ακριβώς αυτό που δεν δέχεται εκ των υστέρων μια εποπτική αρχή, ένας δικαστής ή ένας δημοσιογράφος. Ούτε δέχεστε μια λίστα εγκεκριμένων εργαλείων ως πλήρη εικόνα: αυτή η λίστα λέει κάτι για το τι έχει αγοραστεί, τίποτα για το τι χρησιμοποιείται.
Αυτό που χρειάζεστε είναι μια διάκριση μεταξύ ειδών χρήσης. Ένα γλωσσικό μοντέλο που συνοψίζει εσωτερικές σημειώσεις φέρει διαφορετικό κίνδυνο από ένα σύστημα που συμμετέχει στη λήψη μιας απόφασης προσλήψεων ή μιας αξιολόγησης πιστοληπτικής ικανότητας. Χωρίς ταξινόμηση κατά ρόλο και επίπεδο κινδύνου, κάθε συζήτηση για τον κίνδυνο AI είναι μια συζήτηση σε γενικές γραμμές, και οι γενικές συζητήσεις δεν οδηγούν σε υπερασπίσιμες θέσεις.
Η σκιώδης AI — η χρήση που προκύπτει έξω από κάθε έγκριση — δεν είναι κάτι που εντοπίζει ένα τμήμα IT με μια σάρωση δικτύου. Οι άνθρωποι χρησιμοποιούν AI στο δικό τους φορητό υπολογιστή, στο πρόγραμμα περιήγησής τους, με τον δικό τους λογαριασμό. Αυτή η χρήση αφήνει ελάχιστα ίχνη σε ένα σύστημα που δεν την αναζητά.
Αυτό που λειτουργεί είναι το να ρωτάτε. Αλλά μόνο αν η απάντηση δεν έχει συνέπειες για όποιον την δίνει. Κάποιος που χρησιμοποιεί AI για να προετοιμάσει ένα προσχέδιο σύμβασης, ή για να συνοψίσει μια ανάλυση κινδύνου, δεν το αναφέρει αν η αναφορά μπορεί να οδηγήσει σε επίπληξη. Η απογραφή που χρειάζεστε προκύπτει μόνο αν το να ρωτάτε δεν ισοδυναμεί με το να τιμωρείτε.
Αυτή είναι μια λεπτή ισορροπία για μια νομική λειτουργία. Είστε συνηθισμένοι να αξιολογείτε τον κίνδυνο με βάση το τι μπορεί να πάει στραβά. Εδώ πρέπει πρώτα να διασφαλίσετε ότι οι άνθρωποι τολμούν να πουν τι κάνουν ήδη, πριν μπορέσετε να αξιολογήσετε αν αυτό αποτελεί κίνδυνο.
Ο πυρήνας της θέσης σας δεν είναι η αποτροπή κάθε κινδύνου — αυτό δεν είναι ρεαλιστικό ούτε αναμένεται από εσάς. Ο πυρήνας είναι η αποδεικνυσιμότητα: μπορείτε να δείξετε ότι ο οργανισμός γνώριζε τι χρησιμοποιούσε, είχε αξιολογήσει ποιος κίνδυνος συνδέεται με αυτό, και είχε δομή για να κάνει κάτι σχετικά με αυτό. Αυτό είναι διαφορετικό έργο από τον έλεγχο αποτελεσμάτων. Είναι ο έλεγχος της διαδικασίας με την οποία παρακολουθούνται τα αποτελέσματα.
Αυτή η αποδεικνυσιμότητα δεν χρειάζεται να βασίζεται σε ένα νέο πλαίσιο. Οι περισσότεροι οργανισμοί έχουν ήδη μια δομή διαχείρισης κινδύνου — για χρηματοοικονομικό κίνδυνο, λειτουργικό κίνδυνο, κανονιστική συμμόρφωση. Ο κίνδυνος AI πρέπει να ενταχθεί εκεί, όχι να στέκεται δίπλα ως ξεχωριστή διαδικασία που κανείς δεν γνωρίζει και κανείς δεν συντηρεί. Ένα σύνολο διακυβέρνησης που εναρμονίζεται με το ήδη υπάρχον χρησιμοποιείται. Μια ξεχωριστή δομή ξεχνιέται μετά το πρώτο τρίμηνο.
Αυτή η θέση περιγράφει τον μηχανισμό: απογραφή, ταξινόμηση, ένταξη στην υπάρχουσα δομή, δημιουργία αποδεικνυσιμότητας. Δεν περιγράφει ποια νομοθεσία ή κανονιστικό πλαίσιο ισχύει για τον οργανισμό σας, ποιες προθεσμίες ισχύουν, ή ποια υποχρέωση ενεργοποιείται σε ποια στιγμή. Αυτό το περιεχόμενο αλλάζει, συμπληρώνεται, εξηγείται από όποιον έχει εξειδίκευση σε αυτό. Αυτό που μετράει εδώ είναι η δομή μέσα στην οποία μπορεί να ενταχθεί αυτό το περιεχόμενο τη στιγμή που τη χρειαστείτε.
Τα ερωτήματα που θέτετε επικαλύπτονται με όσα πρέπει να γνωρίζει ένας risk manager για τον κίνδυνο AI και με τη θέση ενός compliance officer που πρέπει να μπορεί να αποδείξει τη χρήση AI. Επίσης, ο διευθυντής που φέρει την ευθύνη λογοδοσίας απέναντι στο εποπτικό συμβούλιο επωφελείται από την ίδια απογραφή στην οποία βασίζετε τη δική σας αξιολόγηση — είναι η ίδια βάση δεδομένων, θεωρούμενη από διαφορετική οπτική ευθύνης.
Το Responsible AI Scan που εκτελεί αυτόν τον μηχανισμό — απογραφή, ταξινόμηση, ένταξη στην υπάρχουσα δομή διαχείρισης κινδύνου — βρίσκεται υπό ανάπτυξη. Όποιος το χρειάζεται τώρα, μπορεί να εγγραφεί στη λίστα αναμονής. Δεν υπάρχει ακόμη υπηρεσία προς παράδοση· υπάρχει μια κατεύθυνση προς την οποία αυτό κατασκευάζεται, και αυτή είναι η κατεύθυνση.
Μόλις γίνει σαφές ποια AI λειτουργεί και ποιος κίνδυνος συνδέεται με αυτήν, προκύπτει ένα άλλο ερώτημα, που βρίσκεται εκτός της δικής σας ευθύνης αλλά συνδέεται με αυτήν: ποιο μέρος της υποκείμενης εργασίας αναλαμβάνει στην πραγματικότητα αυτή η AI. Αυτό είναι ένα ερώτημα που δεν αφορά τον κίνδυνο, αλλά την οργάνωση της εργασίας, και απαντάται από τη werkscan του FTE TO AI, που υπολογίζει ανά καθήκον ποιο μέρος είναι κατάλληλο για ανάληψη.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.