Egy compliance officer nem az első kérdésnél veszít. A második kérdésnél veszít: amikor kiderül, hogy az első kérdésre adott válasz nem volt teljes. „Milyen AI-rendszereket vet be a szervezet” megválaszolható az IT-portfólióból vett listával. Az ezt követő kérdés — „ez a teljes lista” — az a kérdés, amelyen a legtöbb compliance-dosszié elakad.
Nem az: milyen AI-eszközöket szerzett be a szervezet. Hanem: milyen AI-rendszereket használnak valójában, ki használja, milyen döntésekhez, és milyen kockázatbecslés alapján. Ez négy kérdés, nem egy. Az első egy beszerzési lista. A másik három azt igényli, hogy az emberek elmondják, mit csinálnak, beleértve azt is, amit nem hagyattak jóvá. Az a compliance officer, akinek csak a beszerzési lista van a kezében, a lefedettség hamis érzésével rendelkezik — és ez kockázatosabb, mint a fedezet hiánya, mert teljesnek jelentik.
Azok a munkatársak, akik egy nyelvi vagy elemző eszközt használnak anélkül, hogy azt az IT-n keresztül beszereznék, nem hagynak nyomot egy eszközregiszterben. Nyomot hagynak azonban abban, amit előállítanak: jelentésekben, ügyfélkommunikációban, tanácsokban. A rögzített és a valóban használt között tátongó szakadék legtöbbször nem szándékos szabálysértés. Az az eredménye, hogy egy szervezet gyorsabban talál egy eszközt, mint ahogy végigmegy egy jóváhagyási folyamaton. A compliance ezt a szakadékot nem tudja szigorúbb tilalommal betölteni — az csak még jobban a látótéren kívülre helyezi a használatot. A szakadékot úgy szünteti meg, hogy kérdez, anélkül hogy a válaszra szankció következne. Aki attól fél, hogy bejegyzés kerül a dossziéjába, nem azt mondja el, mit használ; azt mondja el, amit gondolja, hogy Ön hallani szeretne.
Egy kockázatmenedzser azt akarja tudni, mekkora a kitettség. Egy compliance officer ezt akarja, plusz még valamit: tudom-e igazolni, hogy követtük a folyamatot, akkor is, ha az eredmény utólag megkérdőjelezhetőnek bizonyul. Ez egy más jellegű bizonyítási teher. Nem csupán egy rendszer besorolásáról van szó, hanem a nyomvonalról: ki értékelte ezt, mikor, milyen információ alapján, és megismételték-e ezt az értékelést, amikor a rendszer megváltozott. Az AI-rendszereket bejelentés nélkül frissítik; egy fél évvel korábbi besorolás alig mond valamit a mai rendszerről. A compliance-nek tehát nem csak egy eredményt kell tudnia bemutatni, hanem egy folyamatot, amely folyamatosan fut.
„Van AI-irányelvünk” nem válasz arra a kérdésre, hogy ez az irányelv valóban lefed-e valamit. Egy irányelvdokumentum, amelyet soha nem vetettek össze azzal, amit valójában használnak, szándéknyilatkozat, nem helyzetjelentés. Amire egy compliance officernek szüksége van, az egy leltár, amely illeszkedik a meglévő kockázati kategóriákhoz — ugyanahhoz a felosztáshoz, amelyet már más operatív kockázatokra is használnak — úgy, hogy az AI ne külön, egzotikus témaként álljon a kockázati keretrendszer mellett, hanem annak részeként.
A compliance officer ezt ritkán dolgozza ki egyedül. Az a kérdés, hogy mely rendszerek minősülnek magas kockázatúnak, és milyen bizonyítási teher jár velük, összefügg azzal, amit egy General Counselnek tudnia kell az AI-kockázatról a felelősség és a szerződéses kötelezettségek szempontjából. Az a kérdés, hogy a szervezet technikailag képes-e nyomon követni, milyen rendszerek üzemelnek, azt érinti, amit egy CIO-nak tudnia kell az AI-kockázatról. És az a kérdés, hogy ez a téma eléri-e az igazgatótanács asztalát, mielőtt eszkalálódik, ahhoz tartozik, amit egy vezetőnek tudnia kell az AI-kockázatról. A compliance gyakran az a fél, akinek ezt a három szálat összefognia kell, anélkül hogy maga tulajdonosa lenne a technológiának vagy a szerződésnek.
A szabályozási tartalom — pontosan milyen kötelezettségek érvényesek, kockázati kategóriánként, milyen határidőkkel — máshol található és folyamatosan változik. Ez az oldal a mechanizmust írja le: hogyan tudja meg, mi üzemel, hogyan sorolja be azt, és hogyan igazolja, hogy a folyamatot követték. Az a compliance officer, aki a hatályos jogszöveget keresi, azt itt nem találja meg.
Az, hogy mennyi árnyék-AI van egy szervezetben, az ágazattól, a kultúrától és attól függ, hogy a korábbi tilalmakat mennyire szigorúan érvényesítették. A szigorúbb tilalom gyakran több rejtett használattal jár együtt, nem kevesebbel. Ez a mintázat nem mindenhol azonos: az építőiparban a súlypont a projektkalkulációnál és a tervezésnél van, míg a gépészeti szerelőágazatban gyakrabban a karbantartási diagnosztikáról és a hibaelemzésről van szó. A leltározást tehát szervezetenként kell elvégezni; egy országos átlag alig mond valamit az Ön saját kitettségéről.
A Responsible AI Scan feltérképezi, mi az, amit valójában használnak, azt szerep és kockázati szint szerint besorolja, és egy olyan governance-készletet ad, amely illeszkedik a meglévő kockázati struktúrához — anélkül hogy megelőzné azt, amit máshol már rögzítettek. Ez a scan még fejlesztés alatt áll. Aki érdeklődik, feliratkozhat a várólistára; nem kínálunk semmit, ami még nincs kész.
Aki egyszer megtudja, milyen AI-rendszerek üzemelnek, gyakran a következő kérdésbe fut bele: mit jelent ez a személyzeti létszámra és a feladatelosztásra. Ez másfajta számítás, mint a kockázati besorolás, és azt az FTE TO AI végzi el a werkscan segítségével, amely feladatonként kiszámítja, hogy a munka mekkora részét lehet átvenni AI-val.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.