Igal organisatsioonil, kellel on mõningane suurus, on juba olemas riskistruktuur. Riskikomitee, auditikomitee, kontrollifunktsioonide liin, formaat, milles riskid kirjendatakse, arutatakse ja suletakse. Sellel protsessil on rütm, keel ja omanikud, kes teavad, mida oodata.
Kui AI-juhtimine tekib selle kõrvale — eraldi komitee, eraldi raporteerimisliin, eraldi kalender — tekib teine protsess. Ja teist protsessi olemasoleva protsessi kõrval ei viida läbi. Ei sellepärast, et inimesed on tõrksad, vaid sellepärast, et võimekus on juba jaotatud protsessile, mis on olemas. Kes käsitleb AI-riski eraldi teemana, nõuab lisaaega, lisakoosolekuid ja lisaraporteid kõige muu kõrval, mis juba käib. See jääb alati alla.
AI-süsteemide inventuur ja klassifikatsioon ei loo uut riskiraamistikku. Need annavad sisendi raamistikule, mis juba on olemas. Konkreetselt tähendab see järgmist:
Skaneeringust tulenev juhtimiskomplekt ei ole seetõttu iseseisev dokument. See on komplekt, mis on kirjutatud sobituma sellega, mis juba on olemas: riskimaatriks, raporteerimisstruktuur, eskaleerimisliinid. Kui need asjad veel ei toimi nii, kuidas peaksid, kehtib sama loogika, mis AI puhul: küsimus on integreerimises, mitte uues süsteemis. Kuidas see näeb välja ühe konkreetse osa puhul, on kirjeldatud kuidas AI-poliitika integreeritakse olemasolevasse otsustusprotsessi selle kõrval eraldi seismise asemel, kuidas ülevaatuse otsuste nimekiri integreeritakse juba olemasolevasse koosolekusse ja kuidas AI eskaleerimisteed integreeritakse olemasolevasse intsidendiliini.
Eraldi AI-riskiraamistik kõlab hoolikalt, kuid loob paralleelse ringi. Tekib kaks tõde: riskiraport, mida juht juba tunneb, ja AI-raport, mis elab selle kõrval, oma riskitaseme definitsioonide ja omanikega. Hetkel, kui need kaks ringi ei ühti — ja see juhtub varem või hiljem — ei ole selge, millel ringil on autoriteet. See on täpselt see olukord, kus järelevalve eksisteerib paberil, kuid praktikas ei ole kellelegi midagi küsida.
Inventuurist tulenev juhtimiskomplekt on seetõttu suunatud kadumisele olemasolevas protsessis. Mitte uus armatuurlaud, mitte uus koosolek, mitte uus heakskiitmisvorm — vaid laiendus formaadile, mida riskikomitee juba kasutab, kus AI on kindel osa. See on ka viis, kuidas juht sellest kasu saab: mitte eraldi AI-raportina, mida sirvitakse, vaid reana raportis, mida juba loetakse. Kuidas see raport näeb välja, kui see on piisavalt kompaktne, et seda tegelikult loetaks, on kirjeldatud lehel ühele leheküljele mahtuva juhatuse raporti ülesehitus.
Põhjus, miks sobitumine olemasoleva struktuuriga on ka juriidiliselt ja organisatsiooniliselt tugevam valik, seisneb tõendatavuses. Järelevalveasutus või audiitor, kes küsib, kuidas AI-riski hallatakse, saab meelsamini vastuse "riskiprotsessi kaudu, mida me juba läbi viime, kus AI on kindel osa" kui "eraldi AI-protsessi kaudu, mis toimib tavapärase protsessi kõrval". Esimene vastus näitab organisatsiooni, kes haldab riski integreeritult. Teine näitab organisatsiooni, kes käsitleb AI-d erandjuhtumina — riskiga, et see erand jäetakse maha, kui tähelepanu nihkub.
Sama loogika kehtib jälgimise puhul. Eraldiseisev AI-armatuurlaud, mida keegi ei vaata, ei annab midagi. Jälgimine, mis on integreeritud ülevaatesse, mida riskijuhid ja juht juba kasutavad, saab tähelepanu, kuna see on juba kohas, kuhu vaadatakse. Mida selleks on vaja, on selgitatud lehel kuidas AI-süsteemide jälgimine integreeritakse juba kasutatavasse ülevaatesse ja laiemalt lehel kuidas sobitumine olemasoleva riskistruktuuriga praktikas ehitatakse üles.
Riskistruktuur, kuhu AI on integreeritud, annab vastuse küsimusele, mis töötab ja kes selle eest vastutab. See on teine vastus kui küsimus, mida AI võiks igapäevatöös üle võtta. Sellele teisele küsimusele vastab FTE TO AI töö-skaneering, mis arvutab iga ülesande kohta, kui suur osa tööst tuleb kõne alla ülevõtmiseks. Mõlemad vastused kuuluvad kokku: riskistruktuur määrab, millistel tingimustel tohib AI-d kasutada, töö-skaneering näitab, kus see kasutus tegelikult tööd muudab.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.