Jokaisella jonkinlaisen kokoluokan organisaatiolla on jo riskirakenne. Riskikomitea, tarkastustoiminto, raportointilinja hallitukselle, muoto jossa riskit luokitellaan ja seurataan. Kuka asettaa tämän rinnalle uuden prosessin, erityisesti AI:ta varten, omalla komitealla, omalla kalenterilla ja omalla kielellä, saa vuoden sisällä prosessin, jota kukaan ei enää täytä. Ei siksi, että AI:ta ei pidettäisi tärkeänä, vaan siksi, että toinen rakenne kilpailee ensimmäisen kanssa ajasta, huomiosta ja valtuutuksesta. Olemassa oleva rakenne voittaa lähes aina, sillä se on juurtunut arviointeihin, toimintakiertoihin ja hallituksen agendoihin. Uusi rakenne jää sen ulkopuolelle.
Kysymys ei siis ole siitä, miten rakennat AI-hallintorakenteen. Kysymys on siitä, miten AI saa paikan rakenteessa, joka on jo olemassa.
Useimmissa riskirakenteissa on jo useita vakiokomponentteja: riski-inventaario, jota päivitetään säännöllisesti, luokittelu vakavuuden ja todennäköisyyden mukaan, omistaja per riski, eskalaatiolinja korkeammalle tasolle, kun rajaa ylitetään, ja raportointi hallitukselle säännöllisin väliajoin. Tämä on rakenne, jonka sisään AI:n täytyy sopia, ei sen rinnalle.
Tämä tarkoittaa, että AI-sovelluksen ei pitäisi olla erillisessä AI-rekisterissä, vaan riskikohteena olemassa olevassa rekisterissä, samoilla kentillä kuin mikä tahansa muu riski: omistaja, vakavuus, todennäköisyys, lieventäminen, tilapäivämäärä. Riskitason luokittelun, joka kuuluu AI-käytön inventaarioon, on liityttävä siihen asteikkoon, jota jo käytetään operatiiviselle riskille, ei uuteen asteikkoon, joka on keksitty vain AI:ta varten. Kuka lukee sivun mitä toimitusjohtajan tulee tietää AI-riskistä, näkee että juuri tässä liitos usein epäonnistuu: teknisesti oikea AI-riskipisteytys, jota kukaan ei voi verrata muuhun riskirekisteriin.
Kaksi asiaa tekevät sulauttamisesta hankalaa. Ensimmäinen on kieli. Riskienhallinnan ammattilaiset työskentelevät käsitteillä kuten vaikutus, todennäköisyys ja lieventävä toimenpide. AI-toimittajat ja tekniset tiimit työskentelevät mallien versioilla, koulutusdatalla ja suorituskykymittareilla. Hallintopakettia, joka on kirjoitettu vain teknisellä kielellä, riskikomitea ei lue. Hallintopakettia, joka on kirjoitettu vain riskikielellä, tekninen omistaja ei täytä. Paketin on oltava luettavissa molempiin suuntiin: tarpeeksi tekninen täsmätäkseen, tarpeeksi hallinnollinen jotta se saa jalansijaa. Tämä periaate toistuu sivulla AI-käytäntö, jota luetaan: dokumentti, joka liittyy tapaan, jolla ihmiset jo lukevat ja päättävät, sen sijaan että vaadittaisiin uutta lukutapaa.
Toinen on tempo. Riskikomitea kokoontuu kiinteän kierron mukaan, usein neljännesvuosittain tai kuukausittain. AI-käyttö muuttuu nopeammin: tiimi aloittaa tällä viikolla uuden työkalun käytön, ilman että sitä edeltää kokous. Hallintopaketin toiminta ei siis saa olla riippuvainen kokouskierrosta. Tarvitaan kevyempi mekanismi, joka käsittelee poikkeamat kiinteiden ajankohtien välillä ja joka vahvistetaan muodollisesti vasta seuraavassa kierroksessa. Miten tämä mekanismi toimii käytännössä, kuvataan sivulla eskalaatiopolut, jotka toimivat: reitti, joka on tarpeeksi lyhyt käytettäväksi ennen kuin seuraava neljännesvuosikomitea kokoontuu.
Hallintopaketti, joka liittyy olemassa olevaan riskirakenteeseen, sisältää pääpiirteissään: inventaariokohteen per AI-sovellus omistajan ja riskiluokan kanssa, kytkennän olemassa olevaan eskalaatiopolkuun niin, että poikkeama ei katoa erilliseen kanavaan, ja vakiopaikan säännöllisessä raportoinnissa hallitukselle. Ei erillisenä AI-lukuna, vaan rivinä taulukossa, jonka hallitus tuntee jo. Miltä tämä raportointi voi näyttää ilman uuden muodon käyttöönottoa, kuvataan sivulla miten saatte yhden sivun hallitusraportin sulautettuna siihen, mikä on jo kierrossa.
Sääntöjen sisältö itsessään, mikä täsmälleen kuuluu millekin riskitasolle ja mitkä määräajat siihen liittyvät, on kirjattu muualle ja muuttuu; tämä sivu käsittelee mekanismia, joka antaa tälle sisällölle paikan olemassa olevassa rakenteessa, ei sääntöjen tekstiä.
Sulauttaminen onnistuu vain, jos inventaario on ensin oikein. Ja se on oikein vain, jos ihmiset uskaltavat kertoa, mitä he käyttävät. Kuka riski-kohdetta täyttäessään tuntee, että rehellinen vastaus johtaa merkintään arvioinnissa, ei täytä sitä rehellisesti. Hallintopaketin on siis heti ensimmäisestä versiosta lähtien tehtävä selväksi, että tavoite on yleiskuva, ei rangaistus. Ilman tätä lupausta osa käytöstä jää näkymättömiin, ja liitos riskirakenteeseen on rakennettu puutteellisen listan päälle. Mitä johtajan tulee tietää tästä ennen ensimmäisen inventaarion alkua, kuvataan sivulla mitä johtajan tulee tietää AI-riskistä.
Tämä sulauttaminen käsittelee riskiä, omistajuutta ja raportointia: se varmistaa, että se, mitä AI tekee, on näkyvää ja hallittavaa siinä rakenteessa, joka on jo olemassa. Toinen kysymys, joka seuraa siitä loogisesti kun yleiskuva on saatu, on mitä AI voi tässä työssä todella ottaa hoidettavakseen. FTE TO AI:n työskannaus laskee tehtävittäin, kuinka suuri osa työstä on siirrettävissä AI:lle, seuraavana askeleena sen jälkeen kun hallinnan puoli on kunnossa.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.