AI politika koja se postavlja kao odvojen dokument uz postojeću politiku, u praksi se ne čita. Ne zato što su zaposlenici nespremni, nego zato što drugi proces uz postojeći proces gotovo uvijek gubi. Tko već ima okvir za rizike, kodeks ponašanja i linu za eskalaciju, neće konzultirati paralelni sustav za jednu specifičnu tehnologiju. AI politika koja stvarno funkcionira jest politika koja vidljivo koristi isti okvir koji organizacija već poznaje.
Svaka organizacija određene veličine već ima okvire za rizike, nabavu, informacijsku sigurnost i ponašanje. AI politika koja stoji odvojeno od toga uvodi novi jezik, nove uloge i novo mjesto za traženje informacija. To je upravo razlog zašto se nakon lansiranja stavlja po strani. Zaposlenici slijede put najmanjeg otpora, a taj put ide kroz strukturu koju već poznaju. Politika koja traži novi način rada uz stari, tu konkurenciju rijetko dobiva.
Rješenje nije bolje napisan dokument. Rješenje je dokument koji ne traži novo mjesto, nego koristi postojeće mjesto. AI rizik se tada tretira kao rizik, s istim vlasnikom, istom linijom eskalacije i istim oblikom izvještavanja kao svaki drugi rizik. Tko to želi potkrijepiti, pronalazi obrazloženje na stranici o nadovezivanju na postojeću strukturu rizika umjesto novog okvira uz nju.
AI politika koja funkcionira ne sadrži popis onoga što je dopušteno i nije dopušteno po sustavu. To se previše brzo mijenja i zastarijeva u roku od godine dana. Umjesto toga, sadrži nekoliko fiksnih elemenata koji ne ovise o tome koji se model ili dobavljač koristi:
Ova četiri dijela zajedno ne čine odvojen sustav upravljanja AI-om, nego specifikaciju sustava rizika koji već postoji. To je razlika između politike koju se čita i politike koja ostaje u mapi.
Ugradnja politike ima malo smisla ako nije poznato što se točno treba ugraditi. IT popis odobrenih sustava za to je nedovoljan: on opisuje što je nabavljeno, ne što se koristi. Skriveni AI, alati koje su zaposlenici sami počeli koristiti bez formalnog odobrenja, ne spada u to, dok rizik od toga nije manji.
Jedini način da se to sagleda jest pitati. A to funkcionira samo ako pitanje ne vodi do kazne. Tko odmah uz prvu inventarizaciju povezuje sankcije s odgovorom, više ne dobiva odgovore. AI politika koja traži ugradnju u postojeću strukturu, dakle počinje s inventarizacijom koja je odvojena od procjene, a tek zatim slijedi klasifikacija prema ulozi i razini rizika.
Uprava nema koristi od debelog dokumenta politike, nego od kompaktnog pregleda gdje se nalaze rizici i što se s tim radi. Taj pregled treba imati isti oblik kao i druga izvješća o rizicima koje uprava već prima, tako da se ne čita kao posebno AI izvješće, nego kao dio uobičajene slike rizika. Kako to izvješće izgleda, stoji na stranici o board-izvješću sa stranice koje se nadovezuje na postojeća izvješća o rizicima. Za onoga koji prvo želi znati što bi član uprave općenito trebao znati o AI riziku prije nego što se politika donese, postoji stranica o tome što bi član uprave trebao znati o AI riziku prije donošenja politike.
Politika koja se nadovezuje na postojeću strukturu odgovara na pitanje tko o čemu odlučuje i kako se nadzire rizik. Ne odgovara na pitanje koji dio stvarnog posla AI može preuzeti, a koji ne. To pitanje leži na razini zadataka, i o tome govori radna analiza (werkscan) od FTE TO AI: ona po zadatku izračunava koji se dio posla može preuzeti, tako da politika i praksa počivaju na istoj slici organizacije.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.