General Counselia ei arvioida sen perusteella, mitä AI:n kanssa menee pieleen. Hänet arvioidaan sillä hetkellä, kun käy ilmi, että organisaatio ei pystynyt osoittamaan, että se tiesi asiasta, tai pahempaa, että se olisi voinut tietää siitä ja ei tehnyt mitään. Se on ero häiriön ja laiminlyönnin välillä. Ensimmäinen tapahtuu organisaatiolle. Jälkimmäinen luetaan sen syyksi.
Juridinen kysymys — mikä on sallittua, mikä on pakollista, mikä määräaika pätee — on tärkeä, mutta se tulee toisen kysymyksen jälkeen. Se kysymys on: mitä me oikeastaan käytämme. Ei sitä, mitä on hankittu, ei sitä, mikä on IT:n toimittajalistalla, vaan sitä, mitä ihmiset käytännössä käyttävät päätöksenteon, kirjoittamisen tai arvioinnin tukena. Ilman vastausta tähän kysymykseen jokainen juridinen neuvo on neuvo tilanteesta, jota ette tunne.
Tämä tekee General Counselin asemasta epämukavan. Teidän odotetaan arvioivan riskejä sellaisen inventaarion perusteella, jota useimmiten ei ole olemassa, tai joka koostuu siitä, mikä on hyväksytty — mikä ei määritelmällisesti ole se, mitä joku on alkanut käyttää ilman lupaa.
"Meillä ei tarvita AI-politiikkaa, koska meillä ei ole AI:ta" ei ole vastaus, joka kestää. Se on olettamus, ja olettamukset ovat juuri sitä, mitä valvova viranomainen, tuomari tai toimittaja ei hyväksy jälkikäteen. Ette myöskään hyväksy hyväksyttyjen työkalujen listaa täydelliseksi kuvaksi: se lista kertoo, mitä on hankittu, ei mitään siitä, mitä käytetään.
Se, mitä te todella tarvitsette, on erottelu käyttötapojen välillä. Kielimalli, joka tekee yhteenvedon sisäisistä muistiinpanoista, kantaa erilaisen riskin kuin järjestelmä, joka vaikuttaa rekrytointipäätökseen tai luottoarviointiin. Ilman luokittelua roolin ja riskitason mukaan jokainen keskustelu AI-riskistä on yleisluontoinen keskustelu, ja yleisluontoiset keskustelut eivät johda puolustettaviin kantoihin.
Varjo-AI — käyttö, joka syntyy kaiken hyväksynnän ulkopuolella — ei ole asia, jonka IT-osasto havaitsee verkkoskannauksella. Ihmiset käyttävät AI:ta omalla kannettavallaan, omassa selaimessaan, omalla tililtään. Tämä käyttö jättää vähän jälkiä järjestelmään, joka ei etsi sitä.
Se, mikä toimii, on kysyminen. Mutta vain, jos vastauksella ei ole seurauksia sille, joka sen antaa. Henkilö, joka käyttää AI:ta sopimusluonnoksen valmisteluun tai riskianalyysin tiivistämiseen, ei ilmoita siitä, jos ilmoitus voi johtaa nuhteluun. Inventaario, jota tarvitsette, syntyy vain, jos kysymysten esittäminen ei ole sama asia kuin syytteeseen asettaminen.
Tämä on herkkä tasapaino juridiselle funktiolle. Olette tottuneet arvioimaan riskiä sen perusteella, mikä voi mennä pieleen. Tässä teidän on ensin varmistettava, että ihmiset uskaltavat kertoa, mitä he jo tekevät, ennen kuin voitte arvioida, onko se riski.
Asemanne ydin ei ole kaikkien riskien estäminen — se ei ole realistista, eikä sitä teiltä odotetakaan. Ydin on osoitettavuus: pystyttekö näyttämään, että organisaatio tiesi, mitä se käytti, oli arvioinut siihen liittyvän riskin, ja sillä oli rakenne, jolla asialle tehtiin jotain. Se on erilainen tehtävä kuin tulosten hallinta. Se on prosessin hallintaa, jolla tuloksia valvotaan.
Tämän osoitettavuuden ei tarvitse tukeutua uuteen kehikkoon. Useimmilla organisaatioilla on jo riskirakenne — taloudelliselle riskille, operatiiviselle riskille, compliance-asioille. AI-riskin tulisi asettua siihen, ei olla sen rinnalla erillisenä polkuna, jota kukaan ei tunne ja kukaan ei ylläpidä. Hallintomalli, joka liittyy olemassa olevaan, otetaan käyttöön. Erillinen rakenne unohtuu ensimmäisen vuosineljänneksen jälkeen.
Tämä kanta kuvaa mekanismin: kartoittaminen, luokittelu, liittäminen olemassa olevaan rakenteeseen, osoitettavuuden varmistaminen. Se ei kuvaa, mitä lakia tai sääntelyä organisaatioonne sovelletaan, mitkä määräajat pätevät, tai mikä velvollisuus tulee voimaan milloin. Se sisältö muuttuu, sitä täydennetään, sitä selittää se, joka on siihen erikoistunut. Se, mikä tässä on merkityksellistä, on rakenne, jonka sisällä tämä sisältö voi asettua paikoilleen sitten kun sitä tarvitsette.
Kysymykset, joita esitätte, menevät päällekkäin sen kanssa, mitä riskienhallintapäällikön tulee tietää AI-riskistä ja compliance-vastaavan aseman kanssa, jonka on pystyttävä osoittamaan AI:n käyttö. Myös johtaja, joka vastaa asiasta hallitukselle, hyötyy samasta inventaariosta, jolle rakennatte oman arvionne — se on sama tosiasiapohja, tarkasteltuna eri vastuun näkökulmasta.
Responsible AI Scan, joka toteuttaa tämän mekanismin — kartoittaminen, luokittelu, liittäminen olemassa olevaan riskirakenteeseen — on kehitteillä. Ne, jotka tarvitsevat tätä nyt, voivat ilmoittautua jonotuslistalle. Palvelua ei ole vielä tarjolla; on suunta, johon tätä rakennetaan, ja se suunta on tämä.
Kun on selvää, mikä AI on käytössä ja mikä riski siihen liittyy, seuraa toinen kysymys, joka on teidän omaa vastuualuettanne laajempi mutta liittyy siihen: mitä osaa taustalla olevasta työstä tämä AI oikeastaan on ottamassa haltuunsa. Se on kysymys, joka ei koske riskiä, vaan työn organisointia, ja siihen vastaa FTE TO AI:n työskannaus, joka laskee tehtäväkohtaisesti, mikä osa on siirrettävissä.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.