Službenik za usklađenost ne gubi kod prvog pitanja o AI-u. Gubi kod drugog: kada se pokaže da je odgovor na prvo pitanje bio nepotpun. "Koje AI-sustave vaša organizacija koristi" moguće je odgovoriti popisom iz IT portfolija. Pitanje koje slijedi — "je li to potpun popis" — pitanje je na kojem se većina dosjea usklađenosti raspada.
Ne: koje je AI alate organizacija nabavila. Nego: koji se AI sustavi stvarno koriste, od koga, za koje odluke, i na temelju kakve procjene rizika. To su četiri pitanja, ne jedno. Prvo je popis nabave. Preostala tri zahtijevaju da ljudi ispričaju što rade, uključujući ono što nisu dali na odobrenje. Službenik za usklađenost koji ima samo popis nabave ima lažan osjećaj pokrivenosti — a to je rizičnije od nedostatka pokrivenosti, jer se prijavljuje kao potpuno.
Zaposlenici koji koriste jezični ili analitički alat bez da ga nabave putem IT-a, ne ostavljaju za sobom trag u registru imovine. Ostavljaju, međutim, trag u onome što proizvode: izvještajima, komunikaciji s klijentima, savjetima. Jaz između onoga što je registrirano i onoga što se koristi obično nije namjerno kršenje. To je posljedica organizacije koja brže pronađe alat nego što prođe proces odobravanja. Usklađenost ne može zatvoriti taj jaz strožom zabranom — to samo pomiče uporabu dalje izvan vidokruga. Jaz se zatvara postavljanjem pitanja bez sankcije na odgovor. Onaj koji se boji zabilješke u svom dosjeu, ne govori što koristi; govori što misli da želite čuti.
Voditelj rizika želi znati koliko je velika izloženost. Službenik za usklađenost želi to, plus nešto dodatno: mogu li dokazati da smo slijedili proces, i ako se ispostavi da je ishod naknadno upitan. To je druga vrsta dokaznog materijala. Ne radi se samo o klasifikaciji sustava, nego o tragu: tko je to procijenio, u kojem trenutku, s kojim informacijama, i je li ta procjena ponovljena kada se sustav promijenio. AI sustavi se ažuriraju bez najave; klasifikacija od pola godine unazad malo govori o današnjem sustavu. Usklađenost stoga ne mora samo pokazati ishod, nego proces koji ostaje aktivan.
"Imamo AI politiku" nije odgovor na pitanje pokriva li ta politika nešto. Dokument politike koji nikada nije provjeren u odnosu na ono što se zapravo koristi, izjava je namjere, a ne izjava o trenutnom stanju. Ono što je službeniku za usklađenost potrebno je inventar koji se uklapa u postojeće kategorije rizika — istu podjelu koja se već koristi za druge operativne rizike — tako da AI ne postane posebna, egzotična tema pored ostatka okvira rizika, nego njegov dio.
Službenik za usklađenost to rijetko obrađuje sam. Pitanje koji sustavi se smatraju visokorizičnima i kakav dokazni materijal je potreban dotiče se onoga što glavni pravni savjetnik treba znati o AI-riziku sa stajališta odgovornosti i ugovornih obveza. Pitanje može li organizacija tehnički pratiti koji sustavi rade spada u ono što CIO treba znati o AI-riziku. A pitanje dopire li ova tema do razine uprave prije nego što eskalira spada u ono što član uprave treba znati o AI-riziku. Usklađenost je često strana koja mora povezati te tri linije bez da sama bude vlasnik tehnologije ili ugovora.
Sadržaj propisa — koje obveze točno vrijede, po kategoriji rizika, s kojim rokovima — nalazi se drugdje i mijenja se. Ova stranica opisuje mehanizam: kako znate što je u upotrebi, kako to klasificirate, i kako dokazujete da je proces slijeđen. Službenik za usklađenost koji traži aktualni zakonski tekst neće ga pronaći ovdje.
Koliko sjenovitog AI-a organizacija ima ovisi o sektoru, kulturi i o tome koliko su strogo prijašnje zabrane provođene. Stroža zabrana često korelira s više skrivene uporabe, ne s manje. Taj obrazac nije jednak svugdje: u graditeljstvu težište je na kalkulaciji projekata i planiranju, dok se u instalacijskoj industriji češće radi o dijagnostici održavanja i analizi kvarova. Inventarizacija se dakle mora provesti za svaku organizaciju posebno; nacionalni prosjek malo govori o vašoj vlastitoj izloženosti.
Responsible AI Scan mapira što se stvarno koristi, klasificira to po ulozi i razini rizika, te isporučuje set upravljanja koji se uklapa u postojeću strukturu rizika — bez pritom pretjecati ono što je već negdje drugdje utvrđeno. Ovaj scan je u izradi. Onaj kome je ovo relevantno može se prijaviti na listu čekanja; ne nudi se ništa što još nije dovršeno.
Onaj koji jednom sazna koji AI sustavi rade, često naiđe na sljedeće pitanje: što to znači za popunjenost radnih mjesta i podjelu zadataka. To je drugačiji izračun od klasifikacije rizika, i njega izrađuje FTE TO AI pomoću radne skeniranja, koja po zadatku izračunava koji dio posla AI može preuzeti.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.