Što stoji na stranici koju uprava čita

Pitanje koje prethodi izvještaju

Uprava koja stavi AI na agendu obično dobije dvije vrste materijala: debeli dosje koji nitko ne pročita prije sastanka, ili sažetak koji kaže tako malo da iz njega ne slijedi nikakva odluka. Izvještaj za upravu od jedne stranice nije sažetak dosjea. To je drugo pitanje: što član uprave mora znati da bi mogao preuzeti odgovornost, i što je šum.

Ta razlika nije trivijalna. Većina AI-izvještaja koje viđamo broji sustave. Stranica koja samo broji koliko AI-primjena postoji, upravi ne govori ništa o tome gdje je rizik. Brojanje je IT-pitanje. Upravljanje (governance) je drugo pitanje: koje primjene utječu na odluke o ljudima, koje su uvedene bez nadzora, i koje spadaju u rizičnu klasu koja zahtijeva potpis.

Što u to spada

Stranica koja funkcionira sadrži ograničen broj elemenata, svaki s razlogom da bude uključen:

Stanje inventara. Ne popis sustava, nego izjava o pokrivenosti: što je poznato, što se pretpostavlja da postoji ali nije potvrđeno, i što je svjesno izostavljeno iz opseg.
Klasifikacija rizika na visokoj razini. Koliko primjena spada u kategoriju koja zahtijeva pažnju uprave, bez da se svaki sustav pojedinačno navodi.
Otvorene odluke. Ne operativno rješavanje, nego pitanje koje čeka upravu: ulaganje, prihvaćanje rizika, izbor između nastavka i prekida.
Što se promijenilo od prethodnog izvještaja. Upravi malo koristi fotografija; koristi joj razlika.

Ostalo — tko je koji model trenirao, koji dobavljač primjenjuje koje uvjete, koja je tehnička mjera ublažavanja primijenjena — spada u sloj ispod. Taj sloj postoji, održava se i dostupan je na upit. Ali ne spada na stranicu koju uprava čita, jer bi u tom slučaju uprava tu stranicu prestala čitati.

Zašto se drugi proces ignorira

Razlog zašto se toliko AI-upravljanja zaglavljuje nije to da proces ne postoji. Razlog je da postoji drugi proces, uz postojeći. Uprava već ima odbor za rizike, već ima kalendar revizija, već ima format za izvještavanje o operativnom riziku, o usklađenosti, o informacijskoj sigurnosti. Onaj koji uz to postavi zaseban AI-proces — sa svojom frekvencijom, svojim predloškom, svojim vlasnikom — traži nešto što se prvo preskače kada je agenda prepuna. To se ne događa iz nespremnosti. Događa se zato što drugi proces po definiciji dobiva manje pažnje od prvog.

Izvještaj koji se stvarno čita je onaj koji ide u koraku s postojećim ritmom: isti sastanak, isti format, isti način eskalacije koji već postoji za druge rizike. Kako se to uklapanje u praksi oblikuje, opisano je na stranici o uklapanju u postojeću strukturu upravljanja rizicima, a način na koji se odluke nakon toga zapisuju vraća se na stranici o popisu odluka nadzora koji ide u korak s postojećim ritmom.

Što stranica pretpostavlja

Izvještaj od jedne stranice koristan je samo ako je inventar iza njega ispravan. To je dio koji se najčešće preskače: članovi uprave dobiju stranicu s klasifikacijom rizika, bez da je ikad provjereno je li temeljni popis AI-primjena potpun. Sjenoviti AI — upotreba koja je nastala izvan IT-popisa — pri tome nečujno nestaje iz slike, ne zato što je nevažna, nego zato što je nitko nije pitao. Zaposlenik koji koristi AI-alat bez odobrenja to neće sam prijaviti ako prijeti obračun. Prijavljuje to jedino kada se pitanja postavljaju bez posljedica.

Stranica s jedne strane je dakle vrh procesa koji počinje s inventarom i eskalira putevima koji već postoje. Kako ta eskalacija funkcionira bez stvaranja nove hijerarhije, stoji na stranici o eskalacijskim putevima koji se stvarno koriste. A što se strukturno mora održavati da bi se stranica svaki put mogla iznova popuniti bez da to postane rekonstrukcija, stoji na stranici o praćenju koje stvarno donosi rezultat za izvještavanje.

Što ovo još nije

Responsible AI Scan pruža inventar, klasifikaciju i strukturu upravljanja koja se uklapa u ono što već postoji — uključujući format za izvještaj koji uprava stvarno čita. Sama skeniranje je u izradi; onaj koji sada nešto od toga želi, može se staviti na listu čekanja.