Jokaisella organisaatiolla, jolla on jonkinlainen koko, on jo riskirakenne. Riskikomitea, tarkastuskomitea, valvontatoimintojen ketju, formaatti, jossa riskit kirjataan, käsitellään ja suljetaan. Sillä prosessilla on rytmi, kieli ja omistajat, jotka tietävät missä mennään.
Jos AI-hallinta asetetaan sen rinnalle — omana komiteana, omana raportointilinjana, omana kalenterina — syntyy toinen prosessi. Ja toinen prosessi olemassa olevan rinnalla jää toteuttamatta. Ei siksi, että ihmiset olisivat haluttomia, vaan siksi, että kapasiteetti on jo osoitettu olemassa olevaan prosessiin. Se, joka käsittelee AI-riskiä erillisenä aiheena, pyytää lisäaikaa, lisäkokouksia ja lisäraportointia kaiken sen rinnalle, joka on jo käynnissä. Se häviää, aina.
AI-järjestelmien inventaario ja luokittelu ei tuota uutta riskikehikkoa. Se tuottaa syötteen kehikkoon, joka on jo olemassa. Käytännössä tämä tarkoittaa:
Skannauksesta seuraava hallintapaketti ei siis ole itsenäinen asiakirja. Se on paketti, joka on kirjoitettu sopimaan siihen, mitä on jo olemassa: riskimatriisiin, raportointirakenteeseen, eskalointilinjoihin. Missä nämä asiat eivät vielä toimi kuten pitäisi, pätee sama logiikka kuin AI:n kohdalla: kyse on integroinnista, ei uudesta järjestelmästä. Miltä tämä näyttää konkreettisen osan kohdalla, on kuvattu kohdissa miten AI-politiikka integroidaan olemassa olevaan päätöksentekoon sen rinnalle asettamisen sijaan, miten valvontapäätösten lista integroidaan kokoukseen, joka on jo olemassa ja miten AI:n eskalointipolut integroidaan olemassa olevaan poikkeamalinjaan.
Erillinen AI-riskikehikko kuulostaa huolelliselta, mutta luo rinnakkaisen piirin. Syntyy kaksi totuutta: riskiraportointi, jonka johto tuntee jo, ja AI-raportointi, joka elää sen rinnalla, omilla riskitason määritelmillä ja omilla omistajilla. Sillä hetkellä, kun näiden kahden piirin tiedot eivät täsmää — ja se tapahtuu ennemmin tai myöhemmin — ei ole selvää, kummalla piirillä on auktoriteetti. Se on juuri sellainen tilanne, jossa valvonta on olemassa paperilla, mutta käytännössä kukaan ei ole tavoitettavissa.
Inventaariosta seuraava hallintapaketti on siksi suunniteltu katoamaan olemassa olevaan prosessiin. Ei uutta hallintapaneelia, ei uutta kokousta, ei uutta hyväksymislomaketta — vaan laajennus formaattiin, jota riskikomitea käyttää jo, AI:na vakio-osana. Se on myös tapa, jolla johto saa siitä hyötyä: ei erillisenä AI-raporttina, joka selailtaisiin läpi, vaan riviksi raportoinnissa, joka luetaan jo. Miltä tämä raportointi näyttää, kun se on tarpeeksi tiivis tullakseen todella luetuksi, on kuvattu kohdassa yhden sivun mittaisen hallitusraportoinnin rakenne.
Syy siihen, että liittyminen olemassa olevaan rakenteeseen on myös oikeudellisesti ja organisatorisesti vahvempi valinta, löytyy todistettavuudesta. Valvoja tai tilintarkastaja, joka kysyy, miten AI-riskiä hallitaan, saa mieluummin vastauksen "olemassa olevan riskiprosessin kautta, jota jo noudatamme, AI:na vakio-osana" kuin "erillisen AI-polun kautta, joka kulkee säännönmukaisen prosessin rinnalla". Ensimmäinen vastaus osoittaa organisaation, joka hallitsee riskiä kokonaisvaltaisesti. Toinen osoittaa organisaation, joka käsittelee AI:ta poikkeustapauksena — riskillä, että se poikkeus, kun huomio siirtyy muualle, päästetään irti.
Sama logiikka pätee valvontaan. Erillinen AI-hallintapaneeli, jota kukaan ei katso, ei tuota mitään. Valvonta, joka on integroitu yleiskatsaukseen, jota riskienhallintapäälliköt ja johto jo käyttävät, tulee nähdyksi, koska se on jo paikassa, jota katsotaan. Mitä tähän tarvitaan, on selitetty kohdassa miten AI-järjestelmien valvonta integroidaan yleiskatsaukseen, jota käytetään jo ja laajemmin kohdassa miten liittyminen olemassa olevaan riskirakenteeseen rakennetaan käytännössä.
Riskirakenne, jossa AI on integroitu, vastaa kysymykseen siitä, mitä on käynnissä ja kuka siitä vastaa. Se on eri vastaus kuin kysymys siitä, mitä AI voisi ottaa hoitaakseen päivittäisessä työssä. Siihen toiseen kysymykseen vastaa FTE TO AI:n työskannaus, joka laskee tehtäväkohtaisesti, mikä osa työstä soveltuu siirrettäväksi. Molemmat vastaukset kuuluvat yhteen: riskirakenne määrittää, millä ehdoilla AI:ta saa ottaa käyttöön, työskannaus näyttää, missä käyttö todella muuttaa työtä.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.