A legtöbb szervezetnek már van valamije, amit monitoringnak neveznek. Egy dashboard, egy jelentésformátum, egy időszakos megbeszélés, ahol a kockázatokról beszélnek. A probléma nem az, hogy ez hiányzik. A probléma az, hogy az AI-monitoringot különálló elemként állítják mellé, saját ritmussal, saját tulajdonossal és saját sablonnal. Aki már három folyamattal követi a kockázatokat, nem fog lelkiismeretesen kitölteni egy negyediket is. Ebből egy kötelezettség lesz, amit negyedévente egyszer sebtében elvégeznek, vagy egyáltalán nem.
Ez az oka annak, hogy az AI-használat monitoringja miért nem eredményez oly gyakran semmit. Nem azért, mert a kérdések rosszak, hanem mert a folyamat maga idegen elemként marad egy olyan szervezetben, amelynek már vannak folyamatai a kockázatra, a megfelelésre és a belső kontrollra.
A monitoring, amely eredményt hoz, nem egy formátummal kezdődik, hanem egy kérdéssel: mi változik, és ki veszi ezt észre először? AI-rendszerek esetében ez három réteget jelent.
Az első réteg a használat: egy rendszert még a tervezett módon használnak, vagy az alkalmazás elmozdult anélkül, hogy ezt valaki jelentette volna? Egy eszköz, amely szövegellenőrzésként indult, és most koncepcionális döntések megfogalmazására használják, más kockázatot jelent, mint amit a kezdetekben megállapítottak.
A második réteg a származás: a rendszer még ugyanaz, mint amikor besorolták? Az alapul szolgáló modelleket lecserélik, a szolgáltatók módosítják a feltételeiket, egy különálló eszközt beintegrálnak egy nagyobb platformba. Minden változás érvénytelenné teheti a korábbi kockázatbecslést anélkül, hogy valaki ezt újra megvizsgálná.
A harmadik réteg a jelzés: vannak-e panaszok, hibajelzések vagy eltérések, amelyek arra utalnak, hogy valami nem úgy működik, ahogy feltételezték? Ez az a réteg, amely leggyakrabban hiányzik, mivel senkinek nem áll érdekében jelezni egy problémát egy rendszerrel, amely hivatalosan nem létezik.
Egy szervezet, amelynek már van kockázati ciklusa működési kockázatokra, pénzügyi kockázatokra vagy adatvédelemre, nem fog új ciklust indítani az AI számára. Ez nem akaratlanság; kapacitás kérdése. Aki mégis megpróbálja, két dolgot lát bekövetkezni. Vagy az új monitoring kiürül, mert senki nem talál időt arra, hogy egy olyan rendszert tápláljon, amelyet senki nem kér. Vagy az új monitoringot ugyanazok az emberek veszik át, akik már a meglévő ciklust is működtetik, és akkor a különbség önmagától megszűnik.
A kérdés tehát nem az, hogy legyen-e külön AI-monitoring folyamat. A kérdés az, hogyan kerülnek be az AI-jelzések a meglévő ciklusba, hogy ugyanazon az ülésen, ugyanazzal a tulajdonossal és ugyanabban a ritmusban tárgyalják őket, mint a többi kockázatot. Hogy ez pontosan hogyan alakul ki, attól függ, hogy a meglévő ciklus jelenleg hogyan működik: egyes szervezeteknek negyedéves jelentése van az audit bizottság felé, másoknak havi kockázati megbeszélése az igazgatóság szintjén, ismét másoknak folyamatos naplója, amelyet eseményenként frissítenek. Bővebben arról, hogyan illeszthető be a monitoring abba, amit már működik, ahelyett hogy valami mellé állítanák, egy külön oldalon található, mert ezt a mechanizmust szervezetenként másképp alakítják ki.
Ami valóban univerzálisan beleillik, az egy állandó forma, amelyben az AI-rendszerek státuszát rögzítik: mi működik, milyen szerepben, milyen kockázati szinten, és mikor erősítették meg ezt utoljára. Nem különálló AI-dokumentumként, hanem mellékletként vagy a már létező jelentés állandó részeként. Ez kapcsolódhat egy egyoldalas testületi jelentéshez, amely összefoglalja a kockázatokat anélkül, hogy elfedné őket, így a monitoring nem egy különálló információáramlás lesz, hanem egy sor egy táblázatban, amelyet a vezető már úgyis olvas.
Ez a forma csak akkor működik, ha az alapul szolgáló besorolás maga is naprakész marad, és ennek a besorolásnak kapcsolódnia kell a már meglévő kockázati struktúrához. Ez a kapcsolódás nélkül a monitoring egy második nyelv marad az első mellett, és ezt a második nyelvet elfelejtik, amint nő a nyomás. Hogy ez a kapcsolódás hogyan néz ki, attól függ, hogyan találkozik a kockázati struktúra és az AI-besorolás abban, amit egy szervezet már használ, és ez általános kifejezésekkel nem írható le a meglévő struktúra ismerete nélkül.
A jól működő monitoring nem csak kockázatot jelez, hanem elmozdulást is: rendszereket, amelyeket másképp használnak, mint tervezték, vagy feladatokat, amelyeket csendben átvettek anélkül, hogy ezt valaki rögzítette volna. Ugyanezek a jelzések információt is jelentenek arról, hogy az emberek valójában mire fordítják az idejüket, és hogy az AI tényszerűen már mennyi munkát vesz át anélkül, hogy ez bárhol le lenne írva. Aki ezt a kérdést konkrétabban akarja megfogalmazni, mint amit egy kockázati besorolás megenged, az az FTE TO AI munkascanjében megnézheti, hogy a munka mely része alkalmas feladatonként AI-ra, függetlenül attól, hogy ez már megtörténik-e, vagy még el kell dönteni. Ez a scan nem kockázatban, hanem feladatokban és órákban számol, és így kapcsolódik ahhoz, amit a monitoring jelez, anélkül hogy megmagyarázná.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.