Enamikul organisatsioonidel on juba olemas midagi, mida nimetatakse monitooringuks. Dashboard, aruandlusvorm, perioodiline kohtumine, kus arutatakse riske. Probleem ei ole see, et see puudub. Probleem on see, et AI-monitooring pannakse eraldi osana kõrvale, oma rütmiga, oma omanikuga ja oma malliga. Kes juba haldab kolme protsessi riskide jälgimiseks, ei hakka truualt täitma neljandat protsessi. Sellest saab kohustus, mis täidetakse pealiskaudselt kord kvartalis, või ei täideta üldse.
See on põhjus, miks AI-kasutuse monitooring nii sageli midagi ei annab. Mitte sellepärast, et küsimused oleksid valed, vaid sellepärast, et protsess ise jääb võõrkehaks organisatsioonis, kus on juba protsessid riski, vastavuse ja sisekontrolli jaoks.
Monitooring, mis annab midagi, ei alga vormist, vaid küsimusest: mis muutub ja kes märkab seda esimesena? AI-süsteemide puhul tähendab see kolme kihti.
Esimene kiht on kasutus: kasutatakse süsteemi endiselt kavatsetud viisil, või on rakendus nihkunud ilma, et keegi oleks sellest teatanud? Tööriist, mis alustas tekstikontrollina ja mida nüüd kasutatakse otsuse-eelnõude sõnastamiseks, kannab endas teistsugust riski kui alguses tuvastati.
Teine kiht on päritolu: on süsteem endiselt seesama, mis see oli klassifitseerimise ajal? Aluseks olevaid mudeleid vahetatakse, tarnijad muudavad oma tingimusi, eraldiseisev tööriist integreeritakse suuremasse platvormi. Iga muudatus võib teha kehtetuks kunagise riskihinnangu, ilma et keegi seda uuesti hindaks.
Kolmas kiht on signaal: on kaebusi, veateateid või kõrvalekaldeid, mis viitavad sellele, et midagi ei toimi nii, nagu eeldati? See on kiht, mis puudub kõige sagedamini, kuna kellelgi ei ole huvi teatada probleemist süsteemiga, mida ametlikult ei eksisteeri.
Organisatsioon, kellel on juba riskitsükkel operatsiooniliste riskide, finantsriskide või andmekaitse jaoks, ei hakka käivitama uut tsüklit AI jaoks. See ei ole tahtmatus; see on võimekuse küsimus. Kes seda proovib, näeb toimuvat kahte asja. Või uus monitooring jääb tühjaks, kuna kellelgi ei ole aega toitma süsteemi, mida keegi ei nõua. Või uue monitooringu võtavad üle needsamad inimesed, kes juba haldavad olemasolevat tsüklit, ja seejärel kaob vahe iseenesest.
Küsimus ei ole seega, kas peaks olema eraldi AI-monitooringu protsess. Küsimus on, kuidas AI-signaalid jõuavad olemasolevasse tsüklisse, nii et neid arutatakse samal koosolekul, sama omaniku poolt ja samas rütmis kui teisi riske. Kuidas see täpselt korraldatakse, sõltub sellest, kuidas see olemasolev tsükkel juba praegu töötab: mõnel organisatsioonil on kvartaliaruanne auditikomiteele, teisel igakuine riskikohtumine juhtkonna tasandil, veel teisel pidev logi, mida ajakohastatakse iga juhtumi puhul. Rohkem infot selle kohta, kuidas põimida monitooring sellesse, mis juba töötab, selle kõrvale midagi uut loomise asemel on eraldi lehel, kuna see mehhanism realiseerub organisatsiooniti erinevalt.
Mis sobib universaalselt, on kindel vorm, milles AI-süsteemide staatus dokumenteeritakse: mis töötab, millises rollis, millise riskitasemega ja millal see viimati kinnitati. Mitte eraldiseisva AI-dokumendina, vaid lisana või kindla osana aruandlusest, mis juba eksisteerib. See võib toetuda ühele leheküljele juhatuse aruandlusele, mis võtab riskid kokku ilma neid varjamata, nii et monitooring ei muutuks eraldi infovooluks, vaid reaks tabelis, mida juht juba loeb.
See vorm töötab ainult siis, kui aluseks olev klassifikatsioon jääb ise ajakohaseks, ja see klassifikatsioon peab omakorda toetuma juba olemasolevale riskistruktuurile. Sellise seoseta jääb monitooring teiseks keeleks esimese kõrval, ja see teine keel unustatakse niipea, kui surve suureneb. Kuidas see seos välja näeb, sõltub sellest, kuidas riskistruktuur ja AI-klassifikatsioon ühenduvad selles, mida organisatsioon juba kasutab, ja seda ei saa üldsõnaliselt kirjeldada olemasolevat struktuuri tundmata.
Monitooring, mis toimib hästi, tuvastab mitte ainult riski, vaid ka nihkeid: süsteeme, mida kasutatakse teisiti kui kavatsetud, või ülesandeid, mis on vaikselt üle võetud, ilma et keegi oleks seda dokumenteerinud. Needsamad signaalid on ka informatsioon selle kohta, kuhu inimesed tegelikult oma aega kulutavad, ja kus AI faktiliselt juba võtab töö üle, ilma et see oleks kusagil kirja pandud. Kes soovib teha see küsimuse konkreetsemaks, kui riskiklassifikatsioon lubab, saab FTE TO AI töö-skaneeringust näha, kui suur osa tööst ülesannete kaupa sobib AI jaoks, sõltumata küsimusest, kas seda juba tehakse või tuleb selle kohta veel otsustada. See skaneering arvestab mitte riski, vaid ülesandeid ja tunde, ning ühendub seeläbi sellega, mida monitooring signaliseerib, ilma seda seletamata.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.