Useimmilla organisaatioilla on jo jotain, jota kutsutaan monitoroinniksi. Kojelauta, raportointimalli, säännöllinen kokous, jossa riskejä käsitellään. Ongelma ei ole se, että tämä puuttuu. Ongelma on, että AI-monitorointi asetetaan tämän rinnalle erillisenä osana, omalla rytmillä, omalla omistajalla ja omalla mallipohjalla. Se, jolla on jo kolme prosessia riskin seuraamiseksi, ei ala täyttää neljättä prosessia tunnollisesti. Siitä tulee velvoite, joka hutiloidaan kerran vuosineljänneksessä, tai ei ollenkaan.
Tämä on syy, miksi AI-käytön monitorointi ei useinkaan tuota mitään. Ei siksi, että kysymykset olisivat väärät, vaan siksi, että prosessi itsessään pysyy vieraana kappaleena organisaatiossa, jolla on jo prosessit riskille, vaatimustenmukaisuudelle ja sisäiselle valvonnalle.
Monitorointi, joka tuottaa tuloksia, ei ala mallipohjasta vaan kysymyksestä: mikä muuttuu, ja kuka huomaa sen ensimmäisenä? AI-järjestelmien osalta tämä tarkoittaa kolmea kerrosta.
Ensimmäinen kerros on käyttö: käytetäänkö järjestelmää edelleen tarkoitetulla tavalla, vai on sovellus siirtynyt ilman, että kukaan on ilmoittanut siitä? Työkalu, joka alkoi tekstintarkistuksena ja käytetään nyt päätösluonnosten muotoiluun, on eri riski kuin käynnistyshetkellä todettiin.
Toinen kerros on alkuperä: onko järjestelmä edelleen sama kuin kun se luokiteltiin? Taustalla olevia malleja vaihdetaan, toimittajat muuttavat ehtojaan, erillinen työkalu integroidaan suurempaan alustaan. Jokainen muutos voi tehdä aikaisemman riskiarvion pätemättömäksi ilman, että kukaan arvioi sitä uudelleen.
Kolmas kerros on signaali: onko olemassa valituksia, virheilmoituksia tai poikkeamia, jotka viittaavat siihen, että jokin ei toimi oletetulla tavalla? Tämä on kerros, joka puuttuu useimmin, koska kenelläkään ei ole intressiä ilmoittaa ongelmasta järjestelmässä, jota ei virallisesti ole olemassa.
Organisaatio, jolla on jo riskikierto operatiivisille riskeille, taloudellisille riskeille tai tietosuojalle, ei ala käynnistää uutta kiertoa AI:lle. Tämä ei ole haluttomuutta; se on kysymys kapasiteetista. Se, joka yrittää sitä, näkee kahden asian tapahtuvan. Joko uusi monitorointi jää tyhjäksi, koska kukaan ei löydä aikaa syöttää järjestelmää, jota kukaan ei kysy. Tai uuden monitoroinnin ottavat hoitaakseen samat ihmiset, jotka ajavat jo olemassa olevaa kiertoa, ja silloin ero häviää itsestään.
Kysymys ei siis ole siitä, pitäisikö perustaa erillinen AI-monitorointiprosessi. Kysymys on siitä, miten AI-signaalit tulevat osaksi olemassa olevaa kiertoa, jotta niitä käsitellään samassa kokouksessa, samalla omistajalla ja samalla rytmillä kuin muita riskejä. Se, miten tämä täsmällisesti järjestetään, riippuu siitä, miten olemassa oleva kierto tällä hetkellä toimii: joillakin organisaatioilla on vuosineljänneksittäinen raportointi tarkastusvaliokunnalle, toisilla kuukausittainen riskikokous johtotasolla, toisilla jatkuva loki, jota päivitetään tapauskohtaisesti. Lisää siitä, miten monitorointi upotetaan siihen, mikä on jo käynnissä, sen sijaan että sen rinnalle asetetaan jotain uutta löytyy erilliseltä sivulta, koska tämä mekanismi toteutetaan organisaatiokohtaisesti eri tavalla.
Se, mikä sopii yleisesti kaikkeen, on kiinteä muoto, jossa AI-järjestelmien tila kirjataan: mitä on käynnissä, missä roolissa, millä riskitasolla, ja milloin se on viimeksi vahvistettu. Ei erillisenä AI-asiakirjana, vaan liitteenä tai kiinteänä osana raportointia, joka on jo olemassa. Tämä voi liittyä yhden sivun hallitusraportointiin, joka tiivistää riskit peittelemättä niitä, jolloin monitoroinnista ei tule erillistä tietovirtaa vaan rivi taulussa, jota johtaja lukee joka tapauksessa.
Tämä muoto toimii vain, jos taustalla oleva luokittelu itsessään pysyy ajantasaisena, ja tuon luokittelun on puolestaan liityttävä olemassa olevaan riskirakenteeseen. Ilman tätä liitäntää monitoroinnista tulee toinen kieli ensimmäisen rinnalle, ja se toinen kieli unohtuu, kun paine kasvaa. Se, miltä tämä liitäntä näyttää, riippuu siitä, miten riskirakenne ja AI-luokittelu kohtaavat siinä, mitä organisaatio jo käyttää, ja sitä ei voi kuvata yleisin termein tuntematta olemassa olevaa rakennetta.
Monitorointi, joka toimii hyvin, ei havaitse pelkästään riskiä vaan myös siirtymää: järjestelmiä, joita käytetään eri tavalla kuin tarkoitettu, tai tehtäviä, jotka on hiljaisesti otettu vastaan ilman, että kukaan on kirjannut sitä. Samat signaalit ovat myös tietoa siitä, mihin ihmiset tosiasiassa käyttävät aikaansa, ja missä AI tosiasiassa jo ottaa työtä vastaan ilman, että se on missään kirjattu. Se, joka haluaa tehdä tästä kysymyksestä konkreettisemman kuin riskiluokittelu sallii, voi FTE TO AI:n työscan-analyysistä nähdä, mikä osa työstä tehtävittäin soveltuu AI:lle, riippumatta siitä, tapahtuuko se jo tai on vielä päätettävä. Tämä analyysi ei laske riskissä, vaan tehtävissä ja tunneissa, ja liittyy siten siihen, mitä monitorointi signaloi selittämättä sitä.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.