A kérdés, hogy egy AI-alkalmazás magas kockázatúnak minősül-e, technikai kvalifikációnak hangzik. A gyakorlatban ez egy besorolás, amely több konkrét tényezőtől függ, és ez a besorolás határozza meg azt, mennyi felügyeletet, dokumentációt és igazolhatóságot várnak el Öntől. Az aktuális jogi definíciók és küszöbértékek nem ezen az oldalon találhatók; azokat máshol találja meg. Itt azt magyarázzuk el, mitől függ a besorolás, és mi változik a szervezetében, ha ez a besorolás megváltozik.
Nincs egyetlen jellemző, amely egy alkalmazást magas kockázatúvá tesz. Ez tényezők kombinációja, amelyek együtt alkotják a képet: az a terület, ahol az alkalmazást bevetik, az a mérték, amennyire egy döntés közvetlenül hatással van egy személyre, valamint az a kérdés, hogy van-e olyan ember, aki valóban értékelni és szükség esetén korrigálni tudja az AI tanácsát vagy eredményét, mielőtt az hatást gyakorolna. Egy alkalmazás, amely csak szöveget foglal össze, jellemzően másképp helyezkedik el ebben a besorolásban, mint egy olyan alkalmazás, amely egy egyénről szóló döntésben is szerepet kap. Az a kontextus is számít, amelyben az alkalmazást használják: ugyanaz a mögöttes technológia egy területen alacsony kockázatúnak minősülhet, egy másikon pedig magas kockázatúnak, attól függően, mi történik az eredménnyel.
Ez egyike azoknak az okoknak, amiért egy jóváhagyott szoftverek listája nem elegendő. A besorolás nem attól függ, milyen felirat van a csomagon, hanem attól, hogyan használják azt valójában, és hol helyezkedik el a döntési folyamatban.
Ha egy alkalmazást magasabb kockázatúnak ítélnek meg, akkor változik valami abban, amit a szervezettől elvárnak: több dokumentáció arról, hogyan működik és hogyan tesztelték az alkalmazást, egyértelműbb felügyeleti mechanizmus az eredményekre vonatkozóan, valamint egy módja annak, hogy utólag megmutatható legyen, ki mire figyelt. Ez nem egyszeri intézkedés, hanem folyamatos kötelezettség: a dokumentációnak és a felügyeletnek naprakésznek kell maradnia, amíg az alkalmazás használatban van.
A besorolás sem statikus. Egy alkalmazás, amely ma korlátozott kockázatúnak minősül, holnap másképp is bevethető — más területen, nagyobb hatással az egyénekre, vagy kevesebb emberi közreműködéssel, mint korábban. Aki egyszer megállapítja a besorolást, és azt utána nem vizsgálja felül, kockázatot vállal, hogy a klasszifikáció már nem felel meg a tényleges használatnak. Ez ugyanúgy érvényes azokra az alkalmazásokra is, amelyeket a beszerzés után módosítanak; hogy pontosan mi változik, ha Ön saját maga módosít egy modellt, az attól a módosítás jellegétől függ, amelyet a modell módosításairól szóló oldalon ismertetünk.
Egy alkalmazás klasszifikációja csak akkor jelentős, ha azt arra alkalmazzák, amit valóban használnak. A szervezeten belüli felhasználás jelentős része a hivatalos nyilvántartáson kívül zajlik: csapatok, amelyek egy nyelvi modellt egy e-mail piszkozatához vetnek be, egy elemző, aki egy külső modellt használ egy jelentés első verziójához, egy osztály, amely beszerzett egy eszközt anélkül, hogy azt bejelentette volna. Ez a használat nem rosszindulatból ered. Azért keletkezik, mert a hivatalos út lassabb, mint az igény, vagy azért, mert senki nem tudta, hogy egyáltalán van egy út, amelyet követni kellene.
A következmény az, hogy az informatikai lista ritkán ad teljes képet. Aki tudni akarja, mire van valóban szükség a kockázati klasszifikáció szempontjából, magának kell feltérnie a felhasználást — és ez azt igényli, hogy kérdéseket tegyen fel azoknak, akik a munkát végzik, anélkül, hogy ebből számonkérés következne. Aki már az első beszélgetésnél érzi, hogy az őszinte válasznak következménye lesz, nem válaszol őszintén. Ez használhatatlanná teszi a felmérést, mielőtt az elkészülne.
Nem minden AI-alkalmazás tartozik abba a keretbe, amelyben a kockázati klasszifikáció releváns. Egyes alkalmazások jellegük vagy céljuk miatt kívül esnek a szabályozás hatókörén, és bölcs dolog ezt a megkülönböztetést korán megtenni, mielőtt időt fordít olyan klasszifikációra, amelyre nincs szükség; melyik alkalmazásokról van szó, azt a kötelezettségek hatókörén kívül eső alkalmazásokról szóló oldalon ismertetjük. Az a szerep is, amelyet szervezete játszik — mint egy rendszer szolgáltatója vagy mint annak felhasználója — befolyásolja, milyen kötelezettségek kapcsolódnak egy kockázati klasszifikációhoz, és ez a szerep nem mindig egyértelmű előre; mi a döntő tényező ebben, azt a szolgáltató és a felhasználó közötti megkülönböztetésről szóló oldalon olvashatja. Ugyanez a szerep megváltozhat, amint módosít egy rendszert vagy saját néven kínálja azt, amit bővebben a szerep megváltozásának körülményeiről szóló oldalon ismertetünk.
A kockázati szint szerinti besorolás szinte mindig felveti a következő kérdést: mi ebből sürgős, és mi tervezhető még. Ez a megkülönböztetés nem minden szervezet esetében egyforma, és attól függ, mely alkalmazások vannak már termelésben, és melyek még fejlesztés alatt. Egy áttekintés arról, mi igényel jellemzően elsőként figyelmet, és mi következhet később, a most szükséges és a tervezhető lépésekről szóló oldalon található.
Ha egyszer tisztázódott, mely alkalmazások minősülnek magas kockázatúnak szervezetében, természetesen felvetődik egy másik kérdés: a mögöttes munka mekkora részét végzi valójában AI, és mekkora részét emberek, akik ellenőrzik vagy kiegészítik az eredményt. Ez a kérdés kívül esik e felmérés hatókörén, de választ ad rá az FTE TO AI munkafelmérése, amely feladatonként kiszámítja, a munka mely része vehető át észszerűen AI által.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.