Come amministratore, non verifica personalmente quale modello AI produce quale output. Si pone una domanda diversa: se questo va male, posso dimostrare che lo sapevamo, che l'abbiamo esaminato e che abbiamo fatto qualcosa. Questa domanda è di natura gestionale, non tecnica. E la risposta che non accetta è un elenco di applicazioni approvate dall'IT. Non perché quell'elenco sia scorretto, ma perché è incompleto. Descrive ciò che è stato richiesto, non ciò che viene effettivamente utilizzato.
Il rischio per un amministratore non è che un collaboratore usi un'AI linguistica per scrivere una bozza. Il rischio è che lei non possa dire nulla in merito nel momento in cui conta: durante un incidente, una richiesta di un'autorità di controllo, una questione di responsabilità. In quel momento, la dimostrabilità è l'unica cosa che conta. Non se avrebbe potuto saperlo a suo tempo, ma se può dimostrare che esisteva una struttura per saperlo. Un amministratore che dice "non ne avevamo visibilità" si trova in una posizione diversa rispetto a un amministratore che dice "quello rientrava in una categoria che abbiamo consapevolmente trattato in quel modo". La differenza tra queste due frasi è ciò che questa scansione produce.
Non si tratta di vietare o ostacolare ogni uso dell'AI. La maggior parte di ciò che i collaboratori hanno iniziato a usare autonomamente è funzionale e produce risultati. Il vantaggio per un amministratore non sta nel frenare questo, ma nel poter distinguere: questo è a basso rischio e può continuare, questo riguarda dati personali o decisioni su persone e deve essere trattato diversamente, questo è poco chiaro e va approfondito. Senza questa distinzione, si tratta tutto allo stesso modo — e questo è generalmente troppo severo per la maggioranza dei casi e troppo permissivo per l'eccezione che conta davvero.
L'AI ombra non nasce da malafede. Nasce perché un collaboratore aveva un problema e ha trovato uno strumento che lo risolveva, senza che esistesse una procedura di richiesta più rapida dello strumento stesso. Questi strumenti non compaiono in un elenco acquisti. Emergono solo quando qualcuno lo chiede — e solo se chiedere non porta immediatamente a una sanzione. Un'organizzazione che vuole vedere l'AI ombra deve prima chiarire che segnalarla non comporta un rischio. Questa è una scelta gestionale, non tecnica.
La Responsible AI Scan parte da un inventario di ciò che viene effettivamente utilizzato, indipendentemente da ciò che è stato approvato in passato. Successivamente, ogni utilizzo viene classificato per ruolo — chi lo usa, per quale scopo — e per livello di rischio. Questa classificazione porta a un insieme di regole di governance: un modo di gestire ogni categoria che si integra con la struttura di rischio già esistente nella sua organizzazione, invece di un nuovo quadro parallelo. Il contenuto delle regole stesse — quali obblighi si applicano esattamente, entro quali termini — è trattato altrove; non è questo l'oggetto di questa scansione. Questa scansione si concentra sul meccanismo: sapere cosa funziona, poterlo classificare, e poter dimostrare di averlo fatto.
Con una classificazione per ruolo e livello di rischio, può mostrare a un'autorità di controllo, a un revisore o a un consiglio di sorveglianza una struttura invece di una promessa. Può indicare quali categorie richiedono attenzione e quali no. Può riferire in merito senza doversi ogni volta giustificare da capo sul perché non sapeva qualcosa. È una posizione diversa rispetto a dover spiegare a posteriori perché uno strumento è entrato senza essere notato.
La domanda sul rischio AI si presenta diversamente a seconda della funzione. Cosa deve sapere un CIO sul rischio AI riguarda sistemi e infrastruttura; cosa deve sapere un General Counsel sul rischio AI riguarda responsabilità e prove; cosa deve sapere un risk manager sul rischio AI riguarda come il rischio AI si inserisce nella tassonomia dei rischi esistente. Come amministratore, ha a che fare con tutti e tre, ma non è lei a eseguire la classificazione — è lei che deve poter constatare che è stata fatta.
La Responsible AI Scan è in fase di sviluppo. Al momento non esiste uno strumento che può avviare e da cui ottenere immediatamente un rapporto. Chi è interessato può iscriversi alla lista d'attesa; non viene offerto nulla che non esista ancora, e non viene promesso nulla riguardo a quando o con quale risultato.
Prima di poter stabilire se l'uso dell'AI comporta rischi, è spesso più utile sapere cosa significa l'AI nel lavoro stesso: quale parte di un compito può essere assunta e quale no. Questa domanda è vicina alla domanda sul rischio, ma non è identica — un compito che può essere in gran parte assunto dall'AI non è automaticamente rischioso, e un compito che non lo può non è automaticamente sicuro. La scansione del lavoro di FTE TO AI calcola per ciascun compito quale parte del lavoro può essere assunta dall'AI, fornendo così una base su cui porre la domanda sul rischio in modo più preciso rispetto a un semplice elenco di applicazioni approvate.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.