Kennisbank

Nadzor koji se stvarno koristi

Problem nije nedostatak nadzora

Većina organizacija već ima nešto što se zove nadzor. Nadzornu ploču, format izvještavanja, periodični sastanak na kojem se raspravlja o rizicima. Problem nije da to nedostaje. Problem je što se nadzor nad AI-jem postavlja kao odvojen dio, sa svojim ritmom, svojim vlasnikom i svojim predloškom. Tko već ima tri procesa za praćenje rizika, neće vjerno popunjavati četvrti proces. To postaje obveza koja se jednom u tromjesečju odradi na brzinu, ili uopće ne.

To je razlog zašto nadzor nad korištenjem AI-ja tako često ne donosi ništa. Ne zato što su pitanja pogrešna, nego zato što sam proces ostaje strano tijelo unutar organizacije koja već ima procese za rizik, usklađenost i interni nadzor.

Što treba sadržavati stvaran nadzor

Nadzor koji nešto donosi ne počinje s formatom, nego s pitanjem: što se mijenja, i tko to prvi primijeti? Za AI sustave to znači tri razine.

Prva razina je korištenje: koristi li se sustav još onako kako je zamišljeno, ili se primjena promijenila bez da je to nekome prijavljeno? Alat koji je počeo kao provjera teksta, a sada se koristi za formuliranje nacrta odluka, predstavlja drugi rizik od onoga koji je utvrđen na početku.

Druga razina je podrijetlo: je li sustav još isti kao kad je klasificiran? Temeljni modeli se mijenjaju, dobavljači mijenjaju svoje uvjete, samostalan alat se integrira u veću platformu. Svaka promjena može poništiti tadašnju procjenu rizika bez da je to ikad ponovno ocijenjeno.

Treća razina je signal: postoje li pritužbe, greške ili odstupanja koja upućuju na to da nešto ne funkcionira kao što se pretpostavljalo? Ova razina najčešće nedostaje, jer nitko nema interesa prijaviti problem sa sustavom koji službeno ne postoji.

Zašto se drugi proces ignorira

Organizacija koja već ima ciklus rizika za operativne rizike, financijske rizike ili zaštitu podataka, neće pokrenuti novi ciklus za AI. To nije nespremnost; to je pitanje kapaciteta. Tko to pokuša, vidi da se događaju dvije stvari. Ili novi nadzor ostane praznim, jer nitko ne nalazi vrijeme da hrani sustav koji nitko ne traži. Ili novi nadzor preuzmu isti ljudi koji već vode postojeći ciklus, i onda razlika sama po sebi nestane.

Pitanje dakle nije treba li nastati odvojen proces nadzora nad AI-jem. Pitanje je kako AI signali dospijevaju u postojeći ciklus, tako da se raspravljaju na istom sastanku, s istim vlasnikom i u istom ritmu kao drugi rizici. Kako se to točno uređuje ovisi o tome kako taj postojeći ciklus već sada funkcionira: neke organizacije imaju tromjesečno izvještavanje revizijskom odboru, druge mjesečni sastanak o rizicima na razini uprave, treće kontinuirani zapis koji se ažurira po incidentu. Više o tome kako ugraditi nadzor u ono što već postoji umjesto postavljanja nečeg pored njega nalazi se na posebnoj stranici, jer se taj mehanizam po organizaciji drugačije uređuje.

Dokument koji postoji kad ga netko zatraži

Što univerzalno pristaje jest fiksan oblik u kojem se bilježi status AI sustava: što je u pogonu, u kojoj ulozi, s kojom razinom rizika, i kad je to posljednje potvrđeno. Ne kao samostalan AI dokument, nego kao prilog ili stalni dio izvještaja koji već postoji. To se može uklopiti u izvještaj upravi od jedne stranice koji sažima rizike bez da ih zaglađuje, tako da nadzor ne postane odvojen tok informacija, nego redak u tablici koju uprava već čita.

Ovaj oblik funkcionira samo ako sama temeljna klasifikacija ostane aktualna, a ta klasifikacija se pak mora uklopiti u strukturu rizika koja već postoji. Bez tog uklapanja nadzor ostaje drugi jezik pored prvog, a taj drugi jezik se zaboravlja čim pritisak poraste. Kako taj sklad izgleda ovisi o tome kako se struktura rizika i AI klasifikacija spajaju u ono što organizacija već koristi, i to se ne može opisati u općim terminima bez poznavanja postojeće strukture.

Što nadzor otkriva ide dalje od dokumenta

Nadzor koji dobro funkcionira ne signalizira samo rizik, nego i pomak: sustave koji se koriste drugačije nego što je zamišljeno, ili zadatke koji su tiho preuzeti bez da je to nigdje zabilježeno. Ti isti signali su također informacija o tome čemu ljudi stvarno posvećuju vrijeme, i gdje AI zapravo već preuzima posao bez da je to negdje zapisano. Tko želi to pitanje konkretizirati više nego što klasifikacija rizika dopušta, može pomoću radnog skena FTE TO AI vidjeti koji dio posla po zadatku dolazi u obzir za AI, bez obzira na to je li se to već događa ili se o tome još treba odlučiti. Taj sken ne računa u riziku, nego u zadacima i satima, i time se povezuje s onim što nadzor signalizira bez da to objašnjava.