Az a kérdés, hogy egy AI-alkalmazás magas kockázatúnak számít-e az Ön szervezetén belül, nem olyan kérdés, amelyet egyszer megválaszol, majd kipipál. Ez egy eredmény, amelyet több tényező együttesen határoz meg, és amelyek együttesen szabják meg, mennyire súlyos egy alkalmazás. Ha egy ezek közül a tényezők megváltozik, akkor a besorolás is megváltozhat. Ez azt jelenti, hogy a kockázati osztályozás kevésbé egy kitöltendő feladat, és inkább egy folyamatosan nyomon követendő ügy.
Ez az oldal az e besorolás mögötti mechanizmust írja le: mitől függ, és mi történik, ha a helyzet megváltozik. Az aktuális jogi definíciók és küszöbértékek másutt találhatók; itt arról van szó, mit kell tudnia látni és igazolni a saját szervezetén belül.
Számos tényező játszik szerepet szerkezetileg abban a kérdésben, hogy egy alkalmazás mennyire súlyos.
Az első a terület, amelyen az alkalmazást bevetik. Egyes területek — gondoljunk az emberekről, esélyeikről vagy jogaikról szóló döntésekre — súlyosabban esnek latba, mint azok az alkalmazások, amelyek kizárólag belső, támogató jellegűek. Az is számít, hogy pontosan mit tesz az alkalmazás azon a területen: egy rendszer, amely tanácsot ad, másképp esik latba, mint egy rendszer, amely automatikusan dönt.
A második tényező az a szerep, amelyet az Ön szervezete a rendszerhez viszonyítva betölt. Önök maguk fejlesztik, megvásárolják, vagy egy olyan szolgáltatást használnak, amelyben AI van beépítve anélkül, hogy ezt így vásárolták volna meg? Az Ön betöltött szerepe — szolgáltató vagy felhasználó — részben meghatározza, mely kötelezettségek terhelik Önöket, és a felelősség mely része marad a beszállítónál.
A harmadik tényező az, hogy mi történik a modellel az első bevetés után. Egy rendszer, amelyet változatlanul úgy használnak, ahogyan azt leszállították, más helyzet, mint egy rendszer, amelyet finomhangolnak, átkonfigurálnak, vagy amelyet saját adatokon tanítanak tovább. Ami megváltozik, ha Ön maga alakít át egy modellt tehát olyan kérdés, amelyet külön kell megválaszolni — az átalakítás miatt egy rendszer más kategóriába kerülhet.
A negyedik tényező a hatókör: hány embert érint, milyen gyakorisággal, és mennyire visszafordítható egy hiba. Egy alkalmazás, amelyet alkalmanként használ egy kis csapat, másképp esik latba, mint egy olyan alkalmazás, amely naponta befolyásolja több ezer ügyfél döntéseit.
Ezek a tényezők nem statikusak. Egy alkalmazás, amely ma korlátozott kockázatúnak számít, holnap már nem feltétlenül az — nem azért, mert a szabályok megváltoztak, hanem mert az alkalmazás maga változott meg. Egy pilot, amely az egész szervezetre kiterjed, egy belső segédeszköz, amely egy ügyfélfolyamatot kezd érinteni, egy modell, amelyet új adatokon tanítanak tovább: mindezen lépések bármelyike megfordíthatja a besorolást.
Ez azt jelenti, hogy az osztályozás nem egyszeri gyakorlat. Olyan kérdés, amelyet mindig újra fel kell tenni, amint valami megváltozik abban, mit tesz egy rendszer, kit érint, vagy ki kezeli. Egy governance-struktúra, amely ezt nem követi, lemarad a gyakorlat mögött.
Nem minden AI-alkalmazásnak kell átmennie ezen a teljes folyamaton. Egy része annak, ami a szervezeten belül működik, kívül esik a kockázati osztályozás hatókörén — például mert nem érint emberekről szóló döntéseket, vagy mert kizárólag támogató, nem meghatározó funkciója van. Hogy pontosan hol húzódik ez a határ, és mely alkalmazások esnek kívül a hatókörön, ugyanazoktól a fent leírt tényezőktől függ: terület, szerep, átalakítás és hatókör. Nem tehát egy külön listáról van szó, hanem ugyanannak az értékelésnek a másik oldaláról.
A besorolás önmagában semmit nem változtat. Csak azt határozza meg, mely további lépések aktuálisak, és milyen sürgősséggel. Egyes intézkedések azonnal szükségesek, mások betervezhetők — és mi kell most történjen, és mi tervezhető be ismét attól függ, mennyire súlyos az alkalmazás, és hány embert érint.
Hogy ezek a lépések láthatóak és nyomon követhetőek legyenek, az osztályozásra és a további intézkedésekre vonatkozó döntéseket valahol rögzíteni kell — nem különálló feljegyzésekként, hanem egy oversight-döntési lista részeként, amely megmutatja, ki döntött miről, és milyen információ alapján. Ilyen rögzítés nélkül a besorolás egy pillanatfelvétel, amelyet senki nem tud már rekonstruálni.
Ez a besorolási kérdés csak akkor válaszolható meg megfelelően, ha ismert, mi is működik valójában. Egy jóváhagyott eszközöket felsoroló IT-lista erre nem elegendő: a felhasználás nagy része ezen a listán kívül keletkezik, olyan csapatokban, amelyek elkezdtek használni egy eszközt anélkül, hogy azt bárhol jelentették volna. Aki fel akarja térképezni ezt a felhasználást, annak rá kell kérdeznie — és ezt csak úgy szabad megtennie, hogy ne fűződjön hozzá elszámoltatás, mert máskülönben elmarad a válasz.
Amint tisztázódott, milyen alkalmazások léteznek, és mennyire súlyosak, egy olyan következő kérdés merül fel, amely már nem a kockázatról szól, hanem a munkáról: egy feladat mely részét veheti át egy AI-rendszer, és mely rész marad emberi munka. Erre a kérdésre ad választ az FTE TO AI munkaszkennelése, amely feladatonként kiszámítja, mely rész vehető át — más nézőpont, mint a kockázati osztályozás, de amely ugyanarra a leltárra épül.
Ez az oldal a besorolás mögötti mechanizmust írja le. A Responsible AI Scan maga fejlesztés alatt áll; aki az eredményeit szeretné használni, amint elérhetők lesznek, feliratkozhat a várólistára.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.