Önnek van egy listája a jóváhagyott AI-eszközökről. A kérdés nem az, hogy ez a lista helyes-e, hanem hogy jelent-e még valamit. Az a munkatárs, aki egy feladatot felgyorsít egy chatbottal, amely nincs a listán, ezt nem jelenti incidensként. Nem jelenti, mert nem úgy érzi, hogy incidens lenne. Az a válasz, amelyet önnek nem szabad elfogadnia, ezért az, hogy "van AI-politikánk és egy jóváhagyott listánk" — mert ez a mondat semmit nem mond arról, mi történik ezen a listán kívül, és ez valószínűleg a nagyobb rész.
Mint CIO, önnek kell megmagyaráznia, miért nem volt korábban ismert egy AI-incidens, míg a szervezet többi része abból indul ki, hogy az IT-nek van áttekintése. Ez az áttekintés létezik a beszerzett rendszerek esetében. Nem létezik azon bővítmény esetében, amelyet egy csapat maga telepített, azon próbaverzió esetében, amelyet valaki aktivált, vagy azon modell esetében, amely egy ügyfélszolgálati eszközzel érkezett. Az önre leselkedő kockázat nem az, hogy AI-t használnak — ez mindenképp megtörténik —, hanem hogy ön tudja meg utolsóként, amikor már megtörtént a baj.
Egy pontos nyilvántartás megváltoztatja az ön helyzetét. Ahelyett, hogy olyan incidensekre reagálna, amelyeket nem látott előre, előre megjelölheti, hol vannak a kockázatok és miért. Ez az alapja annak is, hogy a szervezeten belül folytassa a beszélgetést a General Counsellel, aki más szemszögből nézi ugyanazt az árnyék-AI-t, valamint a kockázatmenedzserrel, aki a meglévő kockázati struktúrába szeretné beépíteni, nem pedig egy külön folyamatot indítani mellette.
Az IT-lista azt rögzíti, amit beszereztek és jóváhagytak. Az árnyék-AI ott keletkezik, ahol ezt a két lépést kihagyják: egy munkatárs talál egy eszközt, használja, és semmit nem jelent, mert úgy tűnik, nincs mit jelenteni. Ez nem gondatlanság — a beszerzési folyamat következménye, amelyet nem arra terveztek, hogy nyomon kövesse, mit vesznek fel önállóan az emberek. Minél nagyobb a szervezet, és minél több csapat dolgozik önállóan, annál nagyobb lehet a különbség a lista és a valóság között. Hogy mekkora ez a különbség, attól függ, mennyi szabadságuk van a csapatoknak az eszközök önálló kiválasztására, és mennyire látható már ez a viselkedés — erre nincs szám, csak az irány.
Az egyetlen mód arra, hogy megtudja, mi zajlik valójában, az, hogy megkérdezi azokat, akik használják. Ez csak akkor működik, ha a válasz nem vezet következményekhez azok számára, akik megadják. Ha úgy kérdezi meg "használ olyan AI-eszközöket, amelyek nincsenek jóváhagyva", hogy az egy értékelő beszélgetésre hasonlít, akkor azt a választ kapja, amit az IT-lista már megadott: nem. Ha ezt a számonkéréstől függetlenül kérdezi meg, a megértés, nem a korrigálás céljával, akkor egy olyan kép alakul ki, amely valóban megfelel a gyakorlatnak. Ez a különbség — a következmények nélküli kérdezés a következményekkel járó kérdezéssel szemben — a különbség egy értékes nyilvántartás és egy olyan gyakorlat között, amely senkinek nem mond semmit.
A használt eszközök listája kiindulópont, nem végpont. Nem minden AI-alkalmazás hordoz azonos kockázatot. Egy eszköz, amely belső használatra szöveget ír át, más, mint egy eszköz, amely részt vesz egy ügyfélelfogadási vagy személyzeti értékelési döntésben. A szerep szerinti besorolás — mit tesz a rendszer — és a kockázati szint szerinti besorolás — mi a hatás, ha valami rosszul sül el — szükséges annak megállapításához, hova kell összpontosítani a figyelmet. Besorolás nélkül minden AI-alkalmazás egyformán néz ki egy jelentésben, és ez pontosan az a kép, amely nem segít a vezetőséget bevonni.
Mint CIO, önnek valószínűleg már van kockázati kerete az IT-rendszerekre, az informatikai biztonságra és a beszállítókra. Az AI-governance jobban működik, ha ehhez a struktúrához csatlakozik, mint ha külön keretet hoznak létre mellette. Ez az is, amivel a compliance officer és az AI-programvezető szembesül: túl sok különálló AI-kezdeményezés, amelyek nem beszélnek egymással, míg a vezetőség pontosan egy összefüggő választ vár arra a kérdésre, mi zajlik és mit tesznek ellene.
Az, hogy mit jelent az árnyék-AI, ágazatonként eltérő. Az építőiparban másképp működik, mint a telepítési ágazatban, és érdemes megnézni, hogyan alakul az AI-governance az építőiparban vagy hogyan néz ki ez a telepítési ágazatban, mielőtt feltételezné, hogy egy megközelítés mindenhol megfelel.
A Responsible AI Scan, amely ezt eredményezi — nyilvántartás, besorolás, egy governance-készlet, amely csatlakozik az önnél már meglévő struktúrához —, épülőben van. Aki már most szeretne ezzel foglalkozni, feliratkozhat a várólistára; nincs még kész, azonnal kínálható termék, és ezt inkább őszintén leírjuk, mint hogy ígérgetnénk valamit, amely még nem létezik.
Amint tudja, milyen AI-t használnak és milyen kockázattal, természetesen jön a következő kérdés: a munka mely része lehetne maga is AI-feladat, és melyik rész nem. Ez más kérdés, mint a kockázatkezelés — a kapacitásról szól, nem a kitettségről —, és a FTE TO AI munkaszkennelése ezt feladatonként kiszámítja, így ön nemcsak azt tudja, mi zajlik már, hanem azt is, hol vehetné át az AI maga a munkát.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.