I fornitori di servizi finanziari conoscono la gestione del rischio come mestiere. Esistono già quadri per il rischio di credito, il rischio operativo, il rischio di modello e la compliance. Proprio per questo l'AI-governance si presenta qui in modo diverso rispetto a settori che partono da zero: la domanda non è se esiste una struttura di rischio, ma se l'AI vi è già stata inserita o è cresciuta al suo fianco. I modelli per il credit scoring, il rilevamento delle frodi o la segmentazione della clientela esistono spesso da più tempo di quanto non sia stata attaccata loro l'etichetta 'AI'. La domanda di governance non è quindi: costruiamo qualcosa di nuovo, ma: il controllo esistente si applica ancora a ciò che ormai è operativo.
Il rapporto tra ciò che è noto a un comitato per il rischio di modello o a un ufficio compliance e ciò che è effettivamente in uso varia molto da istituto a istituto. In alcuni, quasi tutto è passato in un certo momento attraverso un processo di validazione; in altri, oltre ai modelli approvati, sono in funzione anche strumenti che singoli collaboratori o team hanno iniziato a usare autonomamente, senza che nessuno li abbia mai sottoposti a verifica. Quale rapporto valga per un'organizzazione specifica non si può stabilire senza averlo verificato sul posto.
Un istituto con un quadro maturo per il rischio di modello a volte presume che l'AI ne sia già coperta. La gestione del rischio di modello è costruita su modelli statistici con input e output fissi. Un modello linguistico che riassume le richieste dei clienti, uno strumento che genera un testo di bozza per una lettera di consulenza, o un sistema che effettua ricerche nei contratti, non rientra sempre in quella definizione e sfugge così alla maglia esistente. La domanda di governance non riguarda quindi solo quali modelli esistono, ma anche quali strumenti vengono riconosciuti come AI e quali no.
Inoltre, il ruolo dell'AI nel processo è determinante. Uno strumento che supporta un consulente nella stesura di una consulenza è diverso da uno strumento che genera esso stesso la consulenza o influenza una decisione di accettazione. La stessa tecnologia può essere in un'applicazione uno strumento di supporto e in un'altra un anello che incide direttamente su una decisione verso un cliente. La classificazione per ruolo e livello di rischio è quindi necessaria prima che un istituto possa dire quale livello di controllo si adatta a quale applicazione.
L'elenco IT delle applicazioni approvate non corrisponde a ciò che viene effettivamente utilizzato. I collaboratori nei servizi finanziari lavorano con fascicoli clienti, dati di transazione e informazioni di consulenza riservate, e proprio questo gruppo non è immune dall'incollare un testo in una finestra di chat gratuita per ottenere più rapidamente un riassunto o una bozza di risposta. Come si manifesta concretamente questo rischio e cosa si può fare al riguardo è descritto in l'approccio contro i dati aziendali in una finestra di chat gratuita.
Il motivo per cui questo uso resta invisibile è raramente cattiva volontà. È più spesso una conseguenza dell'incertezza su cosa sia permesso e cosa no, combinata con la pressione del tempo. Chi vuole sapere cosa viene effettivamente utilizzato deve chiederlo direttamente, e questo funziona solo se i collaboratori non temono una sanzione per la risposta data. Un approccio che tiene conto di questo aspetto è illustrato nella pagina su mappare gli strumenti che nessuno ha approvato.
Ciò che distingue ulteriormente i servizi finanziari è l'abitudine a rendere conto. Un risk manager o un General Counsel in questo settore è abituato a poter mostrare a un'autorità di vigilanza o al consiglio di sorveglianza come è stato valutato un rischio e quali misure ne derivano. Per l'AI questo significa che un inventario non può essere separato dal quadro di rischio esistente; deve inserirsi in esso, con la stessa classificazione in classi di rischio e le stesse linee di rendicontazione già valide per le altre categorie di rischio. Un insieme di regole di governance affiancato al quadro esistente, invece di essere integrato in esso, comporta lavoro aggiuntivo al prossimo ciclo di audit invece di offrire un punto di riferimento.
Il contenuto delle norme applicabili all'AI cambia e viene mantenuto aggiornato altrove. Questa pagina descrive il meccanismo: inventariare ciò che è operativo, classificarlo per ruolo e rischio, e integrare il risultato nelle strutture di governance esistenti, in modo che un istituto disponga, di fronte a una domanda di un'autorità di vigilanza o del consiglio, di una risposta coerente con il modo in cui il rischio viene già gestito.
La tensione tra il controllo esistente e il nuovo uso dell'AI non è esclusiva dei servizi finanziari. Pattern simili si riscontrano nel modo in cui viene organizzata l'AI-governance nel settore energetico, nel modo in cui il settore delle costruzioni gestisce le applicazioni AI sul cantiere e nel processo di progettazione, e nel modo in cui il settore immobiliare considera l'AI nelle valutazioni e nella gestione. Ciò che cambia non è il meccanismo, ma il punto in cui il rischio si concretizza: in una banca o in un'assicurazione si tratta spesso di una decisione che incide direttamente su un cliente.
Un inventario dell'uso dell'AI e la relativa classificazione del rischio mostrano cosa è operativo e sotto quale controllo dovrebbe rientrare. Non mostrano cosa significhi tale uso per la suddivisione del lavoro stesso: quale parte di un compito, come la redazione di un rapporto di consulenza, l'analisi di un fascicolo o il riassunto di una conversazione con un cliente, si presta a essere assunta dall'AI e quale parte rimane in capo a un collaboratore. Questa domanda esula dall'ambito di una scansione di governance e trova risposta nella scansione del lavoro di FTE TO AI, che calcola per ogni compito quale parte del lavoro può essere trasferita all'AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.