Ogni organizzazione di una certa dimensione ha già una struttura di rischio. Un comitato rischi, un audit committee, una linea di control functions, un formato in cui i rischi vengono registrati, discussi e chiusi. Quel processo ha un ritmo, un linguaggio e dei responsabili che sanno cosa aspettarsi.
Se la governance dell'AI viene collocata a fianco di questo — un comitato proprio, una propria linea di reporting, un proprio calendario — allora nasce un secondo processo. E un secondo processo accanto a un processo esistente non viene eseguito. Non perché le persone siano riluttanti, ma perché la capacità è già stata assegnata al processo che esiste. Chi tratta il rischio AI come un tema separato chiede tempo extra, riunioni extra e report extra oltre a tutto ciò che è già in corso. Questo perde, ogni volta.
L'inventario e la classificazione dei sistemi AI non producono un nuovo quadro di rischio. Producono input per il quadro che già esiste. Questo significa concretamente:
Il set di governance che deriva dalla scan non è quindi un documento autonomo. È un set scritto per inserirsi in ciò che già esiste: la matrice dei rischi, la struttura di reporting, le linee di escalation. Dove queste cose non funzionano ancora come dovrebbero, vale la stessa logica dell'AI: si tratta di integrazione, non di un nuovo sistema. Come si presenta questo per una componente concreta è descritto in come una policy AI viene integrata nel processo decisionale esistente invece di rimanervi accanto, in come un elenco decisionale di oversight viene integrato nell'organo già esistente e in come i percorsi di escalation per l'AI vengono integrati nella linea incidenti esistente.
Un quadro di rischio AI separato suona accurato, ma crea un circuito parallelo. Nascono due verità: il reporting sui rischi che l'amministratore già conosce, e un reporting AI che vive a fianco, con proprie definizioni di livello di rischio e propri responsabili. Nel momento in cui questi due circuiti non si allineano — e questo accade prima o poi — non è chiaro quale circuito abbia autorità. È esattamente lo scenario in cui la supervisione esiste sulla carta, ma nella pratica nessuno è responsabile.
Il set di governance che deriva dall'inventario è quindi mirato a scomparire nel processo esistente. Nessun nuovo dashboard, nessuna nuova riunione, nessun nuovo modulo di approvazione — ma un'estensione del formato che il comitato rischi già utilizza, con l'AI come componente fissa. È anche il modo in cui un amministratore ne trae beneficio: non come report AI separato che viene sfogliato, ma come voce nel reporting che viene già letto. Come si presenta quel reporting se è abbastanza compatto da essere effettivamente letto è descritto in l'impostazione di un report per il board che rientra in una pagina.
La ragione per cui collegarsi alla struttura esistente è anche la scelta giuridicamente e organizzativamente più solida sta nella dimostrabilità. Un'autorità di controllo o un revisore che chiede come viene gestito il rischio AI preferisce la risposta "tramite il processo di rischio che già seguiamo, con l'AI come componente fissa" a "tramite un percorso AI separato che corre a fianco del processo regolare". La prima risposta mostra un'organizzazione che gestisce il rischio in modo integrato. La seconda mostra un'organizzazione che tratta l'AI come un caso eccezionale — con il rischio che, non appena l'attenzione si sposta, quell'eccezione venga abbandonata.
La stessa logica vale per il monitoraggio. Un dashboard AI isolato che nessuno consulta non produce nulla. Il monitoraggio integrato nella panoramica già utilizzata dai risk manager e dall'amministratore viene visto perché si trova già nel punto in cui si guarda. Ciò che è necessario per questo è illustrato in come il monitoraggio dei sistemi AI viene integrato nella panoramica già in uso e, più in generale, in come viene costruito nella pratica il collegamento alla struttura di rischio esistente.
Una struttura di rischio che ha integrato l'AI risponde alla domanda su cosa è in funzione e chi ne è responsabile. È una domanda diversa da quella su cosa l'AI potrebbe assumere nel lavoro quotidiano. Quella seconda domanda trova risposta nella scan del lavoro di FTE TO AI, che calcola per ogni compito quale parte del lavoro si presta all'assunzione da parte dell'AI. Le due risposte sono complementari: la struttura di rischio determina a quali condizioni l'AI può essere impiegata, la scan del lavoro mostra dove tale impiego cambia effettivamente il lavoro.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.