Kysymys siitä, luokitellaanko AI-sovellus organisaatiossanne korkean riskin sovellukseksi, ei ole kysymys, jonka vastaatte kertaalleen ja rastitte sitten valmiiksi. Se on lopputulos useista tekijöistä, jotka yhdessä määrittävät, kuinka painava sovellus on. Kun yksi näistä tekijöistä muuttuu, myös luokittelu voi muuttua. Tämä tekee riskiluokittelusta enemmän seurannan kuin kertaluonteisen täyttämisen asia.
Tämä sivu kuvaa luokittelun taustalla olevan mekanismin: mistä se riippuu ja mitä tapahtuu, kun tilanne muuttuu. Ajantasaiset lakisääteiset määritelmät ja kynnysarvot löytyvät muualta; tässä keskitytään siihen, mitä teidän on kyettävä näkemään ja osoittamaan omassa organisaatiossanne.
Tietyt tekijät vaikuttavat rakenteellisesti siihen, painaako sovellus paljon.
Ensimmäinen on toiminta-alue, jolla sovellusta käytetään. Jotkin toiminta-alueet — ajatelkaa päätöksiä ihmisistä, heidän mahdollisuuksistaan tai oikeuksistaan — painavat enemmän kuin sovellukset, jotka ovat puhtaasti sisäisiä ja tukevia. Sillä, mitä sovellus tarkalleen tekee tuolla toiminta-alueella, on merkitystä: neuvoa antava järjestelmä painaa eri tavalla kuin järjestelmä, joka päättää automaattisesti.
Toinen tekijä on rooli, joka organisaatiollanne on suhteessa järjestelmään. Rakennatteko sen itse, hankitteko sen ulkoa, vai käytättekö palvelua, jossa on mukana AI:ta ilman, että olette hankkineet sen sellaisena? Rooli, jota täytätte — tarjoaja vai käyttäjä — vaikuttaa osaltaan siihen, mitkä velvoitteet koskevat teitä ja mikä osa vastuusta jää toimittajalle.
Kolmas tekijä on se, mitä mallille tapahtuu ensimmäisen käyttöönoton jälkeen. Järjestelmä, jota käytetään muuttumattomana sellaisena kuin se toimitettiin, on eri tilanne kuin järjestelmä, jota hienosäädätte, konfiguroitte uudelleen tai annatte oppia omasta datasta. Mitä muuttuu, kun mukautatte mallia itse on siksi kysymys, joka on vastattava erikseen — mukautus voi siirtää järjestelmän toiseen luokkaan.
Neljäs tekijä on laajuus: kuinka monta ihmistä sovellus koskettaa, millä toistuvuudella ja kuinka peruutettavissa virhe on. Sovellus, jota pieni tiimi käyttää satunnaisesti, painaa eri tavalla kuin sovellus, joka vaikuttaa päivittäin tuhansien asiakkaiden päätöksiin.
Nämä tekijät eivät ole pysyviä. Sovellus, joka tänään katsotaan matalan riskin sovellukseksi, ei välttämättä ole sitä huomenna — ei siksi, että säännöt olisivat muuttuneet, vaan siksi, että sovellus itse muuttui. Pilotti, joka laajenee koko organisaatioon, sisäinen apuvälinne, joka alkaa vaikuttaa asiakasprosessiin, malli, jota koulutetaan uudelleen uudella datalla: kukin näistä askelista voi kääntää luokittelun toiseksi.
Tämä tarkoittaa, että luokittelu ei ole kertaluonteinen harjoitus. Se on kysymys, joka on esitettävä uudelleen aina, kun jokin muuttuu siinä, mitä järjestelmä tekee, keneen se vaikuttaa tai kuka sitä hallinnoi. Governance-rakenne, joka ei seuraa tätä, jää käytännön jälkeen.
Joka ikinen AI-sovellus ei tarvitse käydä läpi tätä koko prosessia. Osa siitä, mitä organisaatiossa on käynnissä, jää riskiluokittelun soveltamisalan ulkopuolelle — esimerkiksi siksi, että se ei koske päätöksiä ihmisistä tai siksi, että sillä on ainoastaan tukeva, ei ratkaiseva funktio. Se, missä tämä raja tarkalleen kulkee ja mitkä sovellukset jäävät soveltamisalan ulkopuolelle, riippuu samoista tekijöistä kuin edellä kuvattiin: toiminta-alue, rooli, mukautus ja laajuus. Kyse ei siis ole erillisestä listasta, vaan saman arvioinnin toisesta puolesta.
Luokittelu itsessään ei muuta mitään. Se määrittää vain, mitkä jatkotoimet ovat ajankohtaisia ja millä kiireellisyydellä. Osa toimista on tehtävä välittömästi, osa voidaan aikatauluttaa — ja mitä on tehtävä nyt ja mitä voidaan aikatauluttaa riippuu siitä, kuinka painava sovellus on ja kuinka monta ihmistä se koskettaa.
Jotta nämä vaiheet pysyvät näkyvinä ja jäljitettävinä, luokittelua ja jatkotoimia koskevat päätökset on kirjattava jonnekin — ei erillisinä muistiinpanoina, vaan osana valvontapäätösluetteloa, joka osoittaa, kuka päätti mitä ja millä tiedolla. Ilman tätä kirjaamista luokittelu on hetkellinen tilannekuva, jota kukaan ei enää voi jälkikäteen rekonstruoida.
Tähän luokittelukysymykseen voidaan vastata kunnolla vain, kun tiedetään, mitä todellisuudessa on käytössä. IT-osaston hyväksyttyjen työkalujen lista ei siihen riitä: suuri osa käytöstä syntyy tämän listan ulkopuolella, tiimeissä, jotka ovat alkaneet käyttää työkalua ilmoittamatta siitä missään. Se, joka haluaa kartoittaa tämän käytön, on kysyttävä siitä — ja tehtävä se niin, ettei siihen liity seuraamuksia, muuten vastausta ei tule.
Kun on selvää, mitä sovelluksia on käytössä ja kuinka painavia ne ovat, syntyy jatkokysymys, joka ei enää koske riskiä vaan työtä: minkä osan tehtävästä AI-järjestelmä voi ottaa hoitaakseen ja mikä osa jää ihmisten tehtäväksi. Tähän kysymykseen vastaa FTE TO AI:n työskannaus, joka laskee tehtäväkohtaisesti, mikä osa työstä on siirrettävissä — eri näkökulma kuin riskiluokittelu, mutta sellainen, joka rakentuu samalle inventaariolle.
Tämä sivu kuvaa luokittelun taustalla olevan mekanismin. Responsible AI Scan itsessään on kehitteillä; se, joka haluaa käyttää sen tuloksia niiden valmistuttua, voi ilmoittautua jonotuslistalle.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.