Egy felügyeleti döntéslista nem egy új formanyomtatvány és nem egy új megbeszélés. Ez egy állandó hely, ahol rögzítik, melyik AI-alkalmazást értékelték, ki végezte az értékelést, milyen kockázatbecslés alapján, és milyen döntés született. Jóváhagyva, elutasítva, feltételekkel, vagy ideiglenesen engedélyezve további vizsgálat lezárásáig. Ilyen lista nélkül egy döntés csak azok emlékezetében létezik, akik jelen voltak, és eltűnik, amint valaki más pozícióba kerül, vagy ha a beszélgetésről nem készült jegyzőkönyv.
A lista minden alkalmazásnál tartalmazza a feladat rövid leírását, a szerep és kockázati szint szerinti besorolást, a folyamatgazda nevét, az értékelés dátumát, a meghozott döntést és annak indoklását. Nincs benne technikai specifikáció, nincs beszállítói dokumentáció: ezek az adott alkalmazás saját dossziéjához tartoznak, nem a döntéslistához. A lista egy szinttel magasabb szintű áttekintés — ki döntött miről, és mikor erősítették meg legutóbb azt a döntést. Egy alkalmazás, amelyet egy évvel korábban engedélyeztek egy korlátozott kockázatú feladatra, mostanra valami egészen másra is használható. Rendszeres megerősítés nélkül egy régi döntés olyan helyzetre marad érvényben, amely már nem is létezik.
Az oka, hogy az önálló AI-nyilvántartások gyakran üresen maradnak, nem a hozzáállás, hanem a sorrend. Minden szervezetben már létezik egy hely, ahol a kockázatokat megtárgyalják és rögzítik: egy kockázati bizottság, egy audit bizottság, egy igazgatósági ülés állandó napirendi pontja az operatív kockázatról. Aki ezen felül egy külön AI-naplót is felállít, az arra kéri az embereket, hogy egy második nyilvántartást vezessenek olyasmiről, ami tartalmilag az elsőhöz tartozik. Ez a második folyamat szerkezetileg mindig alulmarad a napi rutinnal szemben. A felügyeleti döntéslista csak akkor működik, ha beépül abba, ami már létezik — egy meglévő megbeszélés állandó részeként, állandó napirendi ponttal, nem pedig új, mellérendelt kötelezettségként.
Ez azt is jelenti, hogy a lista ugyanazt a skálát és nyelvet használja, mint a kockázati struktúra többi része. Egy magas kockázati szintű alkalmazás ugyanolyan figyelmet kap, mint egy másik magas kockázati szintű dosszié: állandó jelentési gyakoriság, állandó felelős, állandó eszkalációs útvonal. Hogy ez a kapcsolódás a gyakorlatban hogyan néz ki, attól függ, milyen a szervezet meglévő irányítási rendszere, és ez le van írva a meglévő kockázati struktúrához való csatlakozásról szóló oldalon.
Egy döntéslista haszontalan egy útvonal nélkül arra, hogy mi történik, ha valaki nem egyezik bele, vagy ha egy alkalmazás megváltozik anélkül, hogy azt bárki jelentené. Ez az útvonal nem magába a listába tartozik, de kapcsolódnia kell hozzá: ki vitathatja meg egy elutasítást, kinek kell meghosszabbítania egy ideiglenes engedélyt, és kihez kerül egy ügy, ha a folyamatgazda és a kockázati funkció nem egyeznek meg. Hogy ezek a vonalak hogyan futnak anélkül, hogy minden kérdés a szervezet csúcsán landolna, le van írva a működő eszkalációs útvonalak oldalon.
A döntéslista a memória; az igazgatóságnak emellett szükséges egy összefoglaló, amelyet nem kell minden negyedévben újra összeállítani külön jegyzőkönyvekből. Mi tartozik erre az összefoglalóra — és mi nem, mert az már a döntéslistában szerepel — le van írva az egyoldalas testületi jelentés oldalon. E lépés nélkül a döntéslista olyan dokumentum marad, amelyet csak a folyamatgazdák olvasnak, míg az igazgatóság jogilag felelős marad azért, amit eldöntenek.
Egy döntés rögzítése nem ugyanaz, mint tudni, hogy azt a döntést be is tartják-e. Egy elutasított alkalmazás továbbra is használatban maradhat, ha senki nem ellenőrzi, hogy az elutasítást valóban végrehajtották-e. Ez az oka, hogy egy döntéslista folytatás nélkül keveset ér: szándékokat dokumentál, nem viselkedést. Ami szükséges ahhoz, hogy lássuk, egy döntés valóban tartja-e magát, és milyen jelek tartoznak ehhez, le van írva az eredményt hozó monitoring oldalon.
Egy döntéslista csak azt tudja tartalmazni, amit bejelentettek. Aki az informatikai osztályon keresztül érkező bejelentésekre hagyatkozik, csak egy töredékét látja annak, amit valójában használnak: az AI-használat legnagyobb része egy szervezetben a formális beszerzési folyamatokon kívül keletkezik, olyan csoportokban, amelyek egy eszközt kipróbálnak, mert az működik. Hogy ezek az alkalmazások egyszer felkerülnek-e a döntéslistára, attól függ, a munkatársak merik-e elmondani, mit használnak — és ez csak akkor történik meg, ha az erről szóló kérdések nem egy szankció előszobájának tűnnek.
Az erre segítő első kérdés nem az, hogy "melyik AI-t hagyták jóvá", hanem az, hogy "ennek a munkának mekkora részét végzi már valójában, vagy végezhetné el az AI". Ez más kiindulópont, mint egy döntéslista, és teljesebb kezdet: az FTE TO AI munkaszkennere feladatonként kiszámítja, mekkora része vehető át az AI által, és ezzel olyan alapot teremt, amely nem attól függ, mit jelentettek be éppen. Ebből az eredményből válik láthatóvá, milyen alkalmazások futnak már valójában, mielőtt a döntéslista egyáltalán tudna róluk.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.