Iga suurema organisatsiooni juures on juba olemas riskistruktuur. Riskikomitee, siseauditi funktsioon, aruandlusliin juhatusele, formaat, milles riske hinnatakse ja jälgitakse. Kes seab sellele kõrvale uue protsessi, spetsiaalselt AI jaoks, koos oma komitee, oma kalendri ja oma keelega, saab aasta jooksul protsessi, mida keegi enam ei täida. Ei sellepärast, et AI-d ei peetaks tähtsaks, vaid sellepärast, et teine struktuur konkureerib esimesega aja, tähelepanu ja mandaadi pärast. Olemasolev struktuur võidab peaaegu alati, sest see on juba põimitud hindamistesse, arenguvestlustesse ja juhatuse päevakordadesse. Uus struktuur seisab sellest väljas.
Küsimus ei ole seega, kuidas ehitada AI-juhtimisstruktuuri. Küsimus on, kuidas AI leiab oma koha struktuuris, mis juba on olemas.
Enamikus riskistruktuurides on juba mõned kindlad osad: riski-inventuur, mida perioodiliselt uuendatakse, klassifikatsioon raskuse ja tõenäosuse järgi, iga riski omanik, eskaleerimisliin kõrgemale tasandile, kui piir ületatakse, ning aruandlus juhatusele kindlatel hetkedel. See on struktuur, kuhu AI peab sobituma, mitte kõrvale sellest.
See tähendab, et AI-rakendus ei peaks olema eraldi AI-registris, vaid riskielemendina olemasolevas registris, samade väljadega kui igal muul riskil: omanik, raskus, tõenäosus, leevendus, seisunditaru. Riskitaseme klassifikatsioon, mis kaasneb AI-kasutuse inventuuriga, peab ühtima skaalaga, mida juba kasutatakse operatsiooniriski jaoks, mitte uue skaalaga, mis on välja mõeldud ainult AI jaoks. Kes loeb mida CIO peab teadma AI-riskist, näeb, et see ühendumine on täpselt see, kus asjad tihti valesti läheb: tehniliselt korrektne AI-riskiskoor, mida keegi ei saa võrrelda ülejäänud riskiregistriga.
Kaks asja teevad sissepõimimise raskeks. Esimene on keel. Riskijuhid töötavad mõistetega, nagu mõju, tõenäosus ja leevendav meede. AI-tarnijad ja tehnilised meeskonnad töötavad mudeliversioonide, treeningandmete ja tulemuslikkuse mõõdikutega. Juhtimispaketti, mis on kirjutatud vaid tehnilises keeles, riskikomitee ei loe. Juhtimispaketti, mis on kirjutatud vaid riskikeeles, tehniline omanik ei täida. Pakett peab olema loetav mõlemas suunas: piisavalt tehniline, et olla korrektne, ja piisavalt juhtimisele suunatud, et jõuda kohale. See põhimõte kordub juures AI-poliitika, mida loetakse: dokument, mis ühtib sellega, kuidas inimesed juba loevad ja otsustavad, mitte nõuab uut lugemisviisi.
Teine on tempo. Riskikomitee koguneb kindla tsükli alusel, tihti kvartaalselt või kuus. AI-kasutus muutub kiiremini: meeskond alustab sel nädalal uue tööriistaga, ilma et sellele eelneks koosolek. Juhtimispakett ei tohi seetõttu sõltuda koosolekutsüklist, et toimida. Peab olema kergem mehhanism, mis püüab kinni erisused kindlate hetkede vahel, ja mida kinnitatakse ametlikult ainult järgmisel tsüklil. Kuidas see mehhanism praktikas töötab, on kirjeldatud juures eskaleerimisteed, mis töötavad: tee, mis on piisavalt lühike, et olla kasutatav enne, kui järgmine kvartalikomitee koguneb.
Juhtimispakett, mis ühtib olemasoleva riskistruktuuriga, sisaldab suures joones: inventuurielementi iga AI-rakenduse jaoks koos omaniku ja riskiklassiga, ühendust olemasoleva eskaleerimisteega, nii et erisus ei kaoks eraldi kanalisse, ning kindlat kohta perioodilises aruandluses juhatusele. Ei eraldi peatükina AI kohta, vaid rea kaupa tabelis, mida juhatus juba tunneb. Kuidas selline aruandlus võib välja näha, ilma et tekiks uus formaat, on kirjeldatud juures kuidas saada ühele lehele mahtuv juhatuse aruandlus sisse põimitud sellesse, mis juba käibel on.
Reeglite sisu iseenesest, mis täpselt kuulub millise riskitaseme alla ja millised tähtajad sellega kaasnevad, on fikseeritud mujal ja muutub; see lehekülg käsitleb mehhanismi, mis annab sellele sisule koha olemasolevas struktuuris, mitte reeglite teksti ennast.
Sissepõimimine õnnestub ainult siis, kui inventuur on kõigepealt korrektne. Ja see on korrektne ainult siis, kui inimesed julgevad öelda, mida nad kasutavad. Kes riskielemendi täitmisel tunneb, et ausa vastuse tulemuseks on märkus hindamises, ei täida seda ausalt. Juhtimispakett peab seetõttu juba esimesest versioonist selgeks tegema, et eesmärk on ülevaade, mitte sanktsioon. Ilma sellise kinnituseta jääb osa kasutusest väljaspool vaatevälja, ja ühendus riskistruktuuriga on ehitatud puudulikule nimekirjale. Mida juhataja peab sellest teadma enne esimese inventuuri algust, on kirjeldatud juures mida juhataja peab teadma AI-riskist.
See sissepõimimine käsitleb riski, omandiõigust ja aruandlust: see tagab, et see, mida AI teeb, on nähtav ja juhitav struktuuris, mis juba on olemas. Teine küsimus, mis loogiliselt sellele järgneb, kui ülevaade on olemas, on see, mida AI selle töö raames tegelikult üle võtta saab. FTE TO AI töö-skaneering arvutab iga ülesande kohta välja, kui suure osa tööst saab AI üle võtta, järgmise sammuna, kui juhtimise poolel on kord majas.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.