Teie hallate riskiregistrit, mis on ehitatud riskide ümber, mida saab tuvastada, kaaluda ja jaotada. Operatsioonirisk, krediidirisk, vastavusrisk (compliance-risk): igaühel on omanik, kontrollmeede, aruandlusliin. AI-risk ei mahu sellesse mustrisse iseenesest, kuna esimene probleem ei ole kaalumine. Esimene probleem on see, et te ei tea, mida te kaalute. Meeskond, mis kasutab keelemudelit nõuannete mustandite kirjutamiseks, osakond, mis on sõlminud välise AI-tellimuse väljaspool IT-hanget, tabelarvutuse makro, mis on vahepeal muutunud ennustusmudeliks: need ei ole äärmuslikud erandid, siin on risk, ja see ei seisa kusagil.
Teie küsimus ei ole "kas AI on riskantne". Teie küsimus on: mis töötab, kes on selle eest vastutav, ja millisele infole toetudes saan ma seda juhatuse ja järelevalveasutuse ees selgitada. Vastus, mida te ei aktsepteeri, on põhjendamatu rahustus. "Ei toimu midagi erilist" ei ole vastus riskiküsimusele, see on vastuse puudumine. Riskijuht, kes seda juhatusele edastab, annab edasi, et ei ole vaadatud, mitte et ei ole midagi.
Teine vastus, mida te ei aktsepteeri, on IT-süsteemihaldusest saadud nimekiri kui täielik ülevaade. See nimekiri näitab, mida on taotletud ja heaks kiidetud. AI-kasutus tekib suures osas just väljaspool sellist taotlust, kuna eraldiseisvat tellimust, brauserilaiendust või olemasolevasse tarkvarasse sisseehitatud funktsiooni ei tunnistata "uueks süsteemiks". Kes soovib riski tundma õppida, peab seega konsulteerima mitte üksnes süsteemimaastikuga, vaid inimestega, kes tööd tegevad, ja see eeldab teistsugust lähenemist kui IT-audit.
Riskijuhina tunnete te alahindliku aruandluse mustrit igal riskiteemal, kus töötajal on ausa vastuse andmisel midagi kaalul. AI-kasutus on selle teravaks näiteks: kui kasutatava tööriista teatamine kaasneb juurdepääsu tühistamisega, ei teata sellest enam keegi. Inventuur, mis annab tulemuse, on inventuur, mis küsib sidumata vastusega tagajärgi. See on teistsugune oskus kui riskijuhtimine tavaliselt eeldab, ja see on põhjus, miks varju-AI inventuuri ei ehitata kontrollina, vaid küsitlusena.
Kui kasutus on kaardistatud, ei ole järgmine samm tarnija või mudeli hindamine. See on selle rolli hindamine, mida süsteem protsessis täidab. AI-rakendus, mis vormistab teksti uuesti, kannab teistsugust riski kui rakendus, mis kaalub kaasa kliendi, töötaja või investeeringu kohta tehtavas otsuses. Sama tehnoloogia, kasutatuna teises rollis, langeb teise riskiklassi. See vahetegemine on täpselt see, mida riskiregister vajab, et paigutada AI-risk juba olemasolevate riskide kõrvale, ilma et loodaks eraldiseisev, isoleeritud AI-peatükk, mida keegi ei konsulteeri.
Riskijuhil ei ole kasu uuest raamistikust olemasoleva kõrval. Kasu on governance-komplektis, mis liitub juba olemasoleva riskistruktuuriga: samale omandilogikale, samadele eskaleerimisteedele, samale juhatuse aruandlustsüklile. AI-risk, mida käsitletakse eraldiseisva teemana, kaob tavapäraste aruannete vahele. AI-risk, mis on põimitud olemasolevasse riskitaksonoomiasse, jääb nähtavaks kohas, kuhu juhatus juba vaatab.
Teilt küsitakse mingil hetkel, mida te teate organisatsiooni AI-kasutuse kohta, seda küsib järelevalveasutus, audiitor või juhatus ise. Vastus, mis peab vastu, ei ole "kõik on kaardistatud", kuna dünaamilise kasutusmustri puhul on see harva tõendatav. Vastus, mis peab vastu, on tõendatav protsess: kuidas inventuur tehti, mis klassifikatsiooni kohaldati, millised governance-kokkulepped sellest tulenevad ja millise sagedusega seda korratakse. See on teine latt kui täielikkus, ja see on latt, mille alusel riskijuhtimist üldjuhul juba hinnatakse.
See küsimus ei esitu identsel kujul igale rollile organisatsioonis. Mida compliance officer sellest inventuurist vajab, saate lugeda lehelt mida peab compliance officer teadma AI-riskist, programmi juhtimise küsimus on kirjeldatud lehel mida peab AI-programmijuht teadma AI-riskist, ja kuidas see teema jõuab juhatuse tasandile, on kirjeldatud lehel mida peab juhatuse liige teadma AI-riskist. Riskijuhtimise jaoks konkreetsetes sektorites, kus on omad ahelad ja järelevalvevormid, on pilt täpsemalt lahti kirjutatud lehel milline on AI-governance ehitussektoris ja lehel milline on AI-governance paigaldussektoris.
Kehtivate eeskirjade tekst, koos oma täpsete definitsioonide ja tähtaegadega, ei seisa sellel lehel ja hoitakse ajakohasena mujal. Siin on kirjeldatud mehhanism: kuidas jõuda tundmatust kasutusmustrist klassifitseeritava, aruandekõlbliku riskini.
AI-riski inventuur toob paratamatult nähtavale ka midagi muud: milline osa tööst tehakse AI poolt juba tegelikult, ja milline osa võiks. See on teistsugune küsimus kui riskijuhtimine, kuid neil on ühine allikas. FTE TO AI töö-skaneering arvutab ülesannete kaupa välja, kui suure osa tööst saab AI üle võtta, ja liitub sellega täpselt selle inventuuriga, mida riskijuhtimine juba praegu vajab.
Responsible AI Scan on hetkel arendamisel. Kes soovib seda kasutada niipea, kui see kättesaadavaks muutub, saab liituda ootenimekirjaga.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.