Kysymys siitä, luokitellaanko AI-sovellus korkean riskin sovellukseksi, kuulostaa teknisenä kvalifikaationa. Käytännössä kyse on luokittelusta, joka riippuu useista konkreettisista tekijöistä, ja tämä luokittelu määrittää sitten, kuinka paljon valvontaa, dokumentaatiota ja osoitettavuutta teiltä odotetaan. Ajankohtaiset lainsäädännölliset määritelmät ja kynnysarvot eivät ole tällä sivulla; ne löytyvät muualta. Tässä selitämme, mistä luokittelu riippuu ja mitä organisaatiossanne muuttuu, jos tämä luokittelu muuttuu.
Ei ole yhtä ominaisuutta, joka tekee sovelluksesta korkean riskin sovelluksen. Kyse on useiden tekijöiden yhdistelmästä, jotka muodostavat yhdessä kokonaiskuvan: alue, jolla sovellusta käytetään, se, missä määrin päätöksellä on suoria seurauksia henkilölle, ja kysymys siitä, onko olemassa ihminen, joka voi tosiasiallisesti arvioida AI:n neuvon tai tuloksen ja tarvittaessa korjata sen ennen kuin se vaikuttaa. Sovellus, joka vain tiivistää tekstiä, sijoittuu tässä luokittelussa yleensä eri tavalla kuin sovellus, joka vaikuttaa yksilöä koskevaan päätökseen. Myös konteksti, jossa sovellusta käytetään, vaikuttaa asiaan: sama taustalla oleva teknologia voi yhdellä alueella olla matalan riskin ja toisella korkean riskin, riippuen siitä, mitä tulokselle tehdään.
Tämä on yksi syy siihen, miksi hyväksytyn ohjelmiston lista ei riitä. Luokittelu ei riipu paketissa olevasta merkinnästä, vaan siitä, miten sitä tosiasiallisesti käytetään ja missä kohdassa päätösprosessia se sijaitsee.
Jos sovellus arvioidaan korkeamman riskin sovellukseksi, muuttuu jotain siinä, mitä organisaatiolta odotetaan: enemmän dokumentaatiota siitä, miten sovellus toimii ja on testattu, selkeämpi valvontamekanismi tuloksia varten, ja tapa osoittaa jälkikäteen, kuka on kiinnittänyt huomiota mihin. Tämä ei ole kertaluonteinen toimenpide, vaan jatkuva velvoite: dokumentaation ja valvonnan on pysyttävä ajan tasalla niin kauan kuin sovellus on käytössä.
Luokittelu ei myöskään ole pysyvä. Sovellus, joka tänään luokitellaan rajalliseksi riskiksi, voidaan huomenna ottaa käyttöön toisella tavalla — eri alueella, suuremmalla vaikutuksella yksilöihin, tai vähemmällä ihmisen puuttumisella kuin ennen. Se, joka määrittää luokittelun kerran ja ei sen jälkeen enää tarkista sitä, ottaa riskin, että luokitus ei enää vastaa tosiasiallista käyttöä. Tämä koskee myös sovelluksia, joita muokataan sen jälkeen kun ne on hankittu; se, mikä täsmälleen muuttuu, kun muokkaatte mallia itse, riippuu muutoksen luonteesta, kuten kuvataan sivulla malliin tehtävistä muutoksista.
Sovelluksen luokittelu on merkityksellinen vain, kun sitä sovelletaan siihen, mitä todella käytetään. Suuri osa organisaation käytöstä tapahtuu virallisen inventaarion ulkopuolella: tiimit, jotka käyttävät kielimallia sähköpostin luonnokseen, analyytikko, joka käyttää ulkoista mallia raportin ensimmäiseen versioon, osasto, joka on hankkinut työkalun ilmoittamatta siitä. Tämä käyttö ei synny haluttomuudesta. Se syntyy siitä, että virallinen tie on hitaampi kuin tarve, tai siitä, ettei kukaan tiennyt, että tietä olisi pitänyt kulkea.
Seurauksena on, että IT-lista harvoin antaa täyden kuvan. Sen, joka haluaa tietää, mitä riskiluokittelua todella tarvitaan, on kartoitettava käyttö itse — ja se vaatii kysymysten esittämistä työtä tekeville ihmisille, siten että siitä ei seuraa tilinteko. Se, joka jo ensimmäisessä keskustelussa tuntee, että rehellinen vastaus johtaa seuraukseen, ei vastaa rehellisesti. Se tekee inventaarista käyttökelvottoman ennen kuin se on valmis.
Eivät kaikki AI:n sovellukset kuulu siihen kehykseen, jossa riskiluokittelu on relevanttia. Osa sovelluksista jää luonteensa tai tarkoituksensa vuoksi sääntelyn soveltamisalan ulkopuolelle, ja on viisasta tehdä tämä erottelu ajoissa, ennen kuin käytätte aikaa luokitteluun, jota ei tarvita; mitä sovelluksia tämä koskee, kuvataan sivulla soveltamisalan ulkopuolelle jäävistä sovelluksista. Myös rooli, joka organisaatiollanne on — järjestelmän tarjoajana tai sen käyttäjänä — vaikuttaa siihen, mitä velvoitteita riskiluokitteluun liittyy, ja tämä rooli ei ole aina etukäteen selvä; se, mikä on tässä ratkaisevaa, luetaan sivulla tarjoajan ja käyttäjän välisestä erosta. Sama rooli voi muuten muuttua, kun mukautatte järjestelmää tai tarjoatte sitä omalla nimellänne, mitä käsitellään tarkemmin sivulla olosuhteista, joissa roolinne muuttuu.
Riskitason mukainen luokittelu herättää käytännössä aina seurauskysymyksen siitä, mikä on kiireellistä ja mikä voidaan vielä suunnitella. Tämä erottelu ei ole sama kaikille organisaatioille ja riippuu siitä, mitkä sovellukset ovat jo tuotannossa ja mitkä ovat vielä kehitteillä. Yleiskatsaus siitä, mikä yleensä vaatii ensin huomiota ja mikä voi seurata myöhemmin, on sivulla mitä on tehtävä nyt ja mitä voidaan suunnitella.
Kun on selvää, mitkä sovellukset organisaatiossanne luokitellaan korkean riskin sovelluksiksi, seuraa luonnollisesti toinen kysymys: kuinka suuri osa taustalla olevasta työstä tehdään todella AI:n avulla, ja kuinka suuri osa ihmisten toimesta, jotka tarkistavat tai täydentävät tulosta. Tämä kysymys jää tämän skannauksen soveltamisalan ulkopuolelle, mutta siihen vastaa FTE TO AI:n työskannaus, joka laskee tehtäväkohtaisesti, kuinka suuri osa työstä on kohtuudella siirrettävissä AI:lle.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.