Hallitus saa määräajoin raportteja: taloudellisia, operatiivisia, riskeistä joilla on jo paikkansa olemassa olevassa rakenteessa. AI-raportti, joka on tästä erillään, omalla rytmillään ja omalla muodollaan, jää käytännössä lukematta. Ei siksi, että aihe olisi merkityksetön, vaan siksi, että toinen prosessi olemassa olevan prosessin rinnalla vaatii erillistä panostusta, joka kilpailee kaiken sen kanssa, joka on jo agendalla. Se, mitä luetaan, on se, mikä sopii olemassa olevaan raportointilinjaan: samaan rytmiin, samaan pituuteen, samaan paikkaan kokouksessa.
Hallitusraportti AI:sta ei tarvitse täydellistä teknistä inventaarioita. Hallitus tarvitsee vastauksen rajalliseen määrään kysymyksiä: mitä AI-sovelluksia on olemassa, mihin riskiluokkaan ne kuuluvat, mitä on muuttunut edellisen raportin jälkeen, ja onko ollut eskalaatioita. Viimeinen kohta on se, missä useimmat raportit jäävät tyhjiksi — ei siksi, että mitään ei tapahtuisi, vaan siksi, että ei ole olemassa reittiä, jota pitkin signaali tavoittaa hallituksen. Ilman toimivia eskalaatiopolkuja, jotka toimivat raportti on tilannekuva vailla historiaa: se näyttää mitä nyt on, ei sitä mikä on mennyt pieleen matkalla tai mikä on ollut lähellä mennä pieleen.
Raportti nojaa siihen, mikä on jo kirjattu. Valvontapäätösluettelo siitä, kuka on hyväksynyt mitä, on lähde, josta sivu tiivistetään, ei erillinen asiakirja, joka on siitä irrallaan. Se, mitä sivulla on, on tiivistelmä päätöksistä, jotka on jo tehty; se ei ole uusi arvio, jonka hallituksen tulisi itse tehdä raakadatan perusteella.
Organisaatioilla on jo riskirakenne: tarkastusvaliokunta, riskikomitea, vakiopaikka hallituksen agendalla operatiivisille riskeille. AI-raportti, joka tuo mukanaan oman komitean, oman kalenterin tai oman mallipohjan, vaatii kaikilta, jotka ovat siinä jo mukana, tekemään jotain ylimääräistä sen lisäksi, mitä he jo tekevät. Tämä ylimääräinen työ siirretään myöhemmäksi heti kun agenda täyttyy, ja agenda täyttyy aina. Seurauksena raportti katoaa muutaman kerran jälkeen, ei siksi, että joku olisi päättänyt, että AI-riski ei ole tärkeä, vaan siksi, että kukaan ei päättänyt, että se olisi tärkeämpi kuin se, mikä oli jo olemassa.
Ratkaisu ei ole aiheen korostamisessa enemmän, vaan sen sisällyttämisen kitkan vähentämisessä. Sivu, joka ilmestyy samassa neljännesvuosirytmissä kuin muut riskiraportit, käyttää samaa asettelua ja on samassa paikassa kokonaisuudessa, luetaan, koska sen lukeminen ei vaadi erillistä toimenpidettä. Se, mikä ei toimi, on erillinen AI-hallintakierto, joka pyörii erillään olemassa olevasta kierrosta — se jätetään huomiotta heti kun ensimmäinen kiireinen kuukausi tulee.
Yhden sivun raportti voi olla lyhyt vain, jos taustalla oleva rakenne on täydellinen. Se edellyttää mitä hallituksen jäsenen tulee tietää AI-riskistä -tyyppistä yleiskuvaa rooleista ja vastuista, jotta sivun ei tarvitse selittää joka kerta uudelleen, kuka on mistä vastuussa. Se edellyttää inventaarion, joka sisältää ei vain sen, mitä IT on hyväksynyt, vaan myös sen, mitä osastot ovat itse alkaneet käyttää ilmoittamatta siitä — shadow-AI, joka tulee näkyväksi vain kun ihmiset saavat kertoa seuraamuksitta, mitä he todellisuudessa käyttävät. Raportti, joka näyttää vain hyväksytyn listan, raportoi fiktiota.
Sivu edellyttää myös, että jotain tapahtuu raporttien välillä: seurantaa, joka tuottaa jotain sen sijaan, että se olisi loki, jota kukaan ei tarkastele. Ilman tätä välitasoa neljännesvuosisivu on yllätys jokaisella kerralla, sen sijaan, että se olisi yhteenveto jostain, jota on seurattu koko neljänneksen ajan. Ja se edellyttää, että taustalla oleva käytäntö ei ole muodon vuoksi olevaa dokumentaatiota, vaan AI-käytäntö, jota luetaan niiden ihmisten toimesta, jotka käyttävät järjestelmiä päivittäin — sillä raportti sellaisen käytännön noudattamisesta, jota kukaan ei tunne, raportoi ennen kaikkea itsestään.
Hallitussivu on tiivistelmä; perusteet ovat yhtä tasoa syvemmällä, sen henkilön luona, joka tuntee järjestelmät. Se, mitä CIO tuo tähän, on kuvattu sivulla mitä CIO:n tulee tietää AI-riskistä, ja näiden kahden tason — hallitustason yleiskuvan ja operatiivisen tiedon — täytyy sopia yhteen ennen kuin neljännestunnin lukemisen sivu todella kertoo jotain siitä, mitä organisaatiossa tapahtuu.
Tätä rakennetta rakennetaan, sitä ei tarjota valmiina tuotteena. Se, joka haluaa skannauksen, joka tuottaa tämän inventaarion, luokittelun ja raportointirakenteen, joutuu jonotuslistalle; se on rakenteilla ja sitä ei myydä valmiina työkaluna ennen kuin se todella on sitä.
Kun on kerran selvää, mitä AI:ta on käytössä ja mihin riskiluokkaan se kuuluu, seuraa toinen kysymys, joka ei koske riskiä vaan itse työn järjestämistä: mikä osa nyt suoritettavista tehtävistä soveltuu AI:n ottamaan haltuunsa. Tämä on erillinen laskelma, joka ei perustu riskiin vaan tehtäviin. FTE TO AI:n työskannaus laskee tehtäväkohtaisesti, mikä osa työstä soveltuu siirrettäväksi, jatkovaiheena kun on selvää, mitä AI:ta organisaatiossa on jo läsnä.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.