Una politica AI che viene depositata come documento separato accanto alla politica esistente, in pratica non viene letta. Non perché i collaboratori siano riluttanti, ma perché un secondo processo accanto a un processo esistente perde quasi sempre. Chi ha già un quadro di rischio, un codice di comportamento e una linea di escalation, non consulterà un sistema parallelo per una singola tecnologia specifica. La politica AI che funziona è quella che utilizza visibilmente lo stesso quadro già conosciuto dal resto dell'organizzazione.
Ogni organizzazione di una certa dimensione ha già quadri per rischio, acquisti, sicurezza delle informazioni e comportamento. Una politica AI che si affianca separatamente introduce un nuovo linguaggio, nuovi ruoli e un nuovo luogo dove cercare. Questo è esattamente il motivo per cui, dopo il lancio, viene messa da parte. I collaboratori seguono il percorso di minor resistenza, e quel percorso passa attraverso la struttura che già conoscono. Una politica che richiede un nuovo modo di lavorare accanto al vecchio, raramente vince questa concorrenza.
La soluzione non è un documento scritto meglio. È un documento che non pretende un nuovo posto, ma utilizza quello esistente. Un rischio AI viene allora trattato come rischio, con lo stesso proprietario, la stessa linea di escalation e la stessa forma di rendicontazione di qualsiasi altro rischio. Chi vuole approfondire questo ragionamento, lo trova sulla pagina relativa a allinearsi alla struttura di rischio esistente invece di un nuovo quadro a fianco.
Una politica AI che funziona non contiene un elenco di ciò che è permesso o non permesso per ogni singolo sistema. Questo cambia troppo velocemente e diventa obsoleto entro un anno. Contiene invece alcuni elementi fissi che non dipendono da quale modello o fornitore viene utilizzato:
Questi quattro elementi insieme non costituiscono un sistema separato di governance AI, ma una specificazione del sistema di rischio già esistente. Questa è la differenza tra una politica che viene letta e una politica che resta in un cassetto.
Integrare una politica ha poco senso se non si sa esattamente cosa deve essere integrato. L'elenco IT dei sistemi approvati è insufficiente a questo scopo: descrive ciò che è stato acquistato, non ciò che viene effettivamente utilizzato. L'AI ombra, gli strumenti che i collaboratori hanno iniziato a usare autonomamente senza approvazione formale, ne resta fuori, mentre il rischio non è per questo minore.
Il solo modo per avere visibilità su questo è chiederlo. E funziona solo se chiedere non porta a una punizione. Chi collega immediatamente sanzioni alla risposta durante il primo inventario, non riceve più risposte. Una politica AI che cerca l'integrazione nella struttura esistente inizia quindi con un inventario separato dalla valutazione, e solo successivamente con la classificazione per ruolo e livello di rischio.
Il consiglio di amministrazione non ha interesse in un voluminoso documento di policy, ma in una panoramica compatta di dove si trovano i rischi e cosa viene fatto al riguardo. Questa panoramica deve avere la stessa forma di altre rendicontazioni sul rischio che il consiglio già riceve, in modo che non venga letta come una rendicontazione AI separata ma come parte del quadro di rischio abituale. Come si presenta questa rendicontazione è descritto nella pagina relativa a una rendicontazione al consiglio di amministrazione di una pagina che si allinea alle rendicontazioni di rischio esistenti. Per chi vuole prima sapere cosa un amministratore deve conoscere in generale sul rischio AI prima che la politica venga adottata, c'è la pagina relativa a cosa deve sapere un amministratore sul rischio AI prima che la politica venga adottata.
Una politica che si allinea alla struttura esistente risponde alla domanda su chi decide su cosa e come viene monitorato il rischio. Non risponde alla domanda su quale parte del lavoro effettivo può essere assunta dall'AI e quale no. Questa domanda si pone a livello di compito, e su questo si concentra la scansione del lavoro di FTE TO AI: essa calcola, per ogni compito, quale parte del lavoro può essere assunta, in modo che la politica e la pratica si basino sulla stessa immagine dell'organizzazione.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.