Un General Counsel non viene giudicato per ciò che va storto con l'AI. Viene giudicato nel momento in cui risulta che l'organizzazione non poteva dimostrare di saperlo, o peggio, che avrebbe potuto saperlo e non ha fatto nulla. Questa è la differenza tra un incidente e una mancanza. Il primo capita a un'organizzazione. La seconda le viene addebitata.
La domanda giuridica — cosa è permesso, cosa è obbligatorio, quale termine si applica — è importante, ma viene dopo un'altra domanda. Quella domanda è: cosa utilizziamo effettivamente. Non ciò che è stato acquistato, non ciò che è nell'elenco fornitori dell'IT, ma ciò che le persone nella pratica fanno partecipare a decisioni, alla stesura o alla valutazione. Senza una risposta a questa domanda, ogni consulenza giuridica è una consulenza su una situazione che lei non conosce.
Ciò rende la posizione del General Counsel scomoda. Ci si aspetta che lei valuti i rischi sulla base di un inventario che spesso non esiste, o che consiste in ciò che è stato approvato — il che per definizione non è ciò che qualcuno ha iniziato a usare senza autorizzazione.
"Non abbiamo bisogno di una politica sull'AI, perché non usiamo l'AI" non è una risposta che regge. È un'assunzione, e le assunzioni sono esattamente ciò che un'autorità di controllo, un giudice o un giornalista non accettano a posteriori. Allo stesso modo, lei non accetta un elenco di strumenti approvati come quadro completo: quell'elenco dice qualcosa su ciò che è stato acquistato, nulla su ciò che viene effettivamente usato.
Ciò di cui ha davvero bisogno è una distinzione tra tipi di utilizzo. Un modello linguistico che riassume note interne comporta un rischio diverso da un sistema che contribuisce a una decisione di assunzione o a una valutazione creditizia. Senza una classificazione per ruolo e livello di rischio, ogni discussione sul rischio AI è una discussione generica, e le discussioni generiche non portano a posizioni difendibili.
L'AI ombra — l'uso che nasce fuori da qualsiasi approvazione — non è qualcosa che un reparto IT rileva con una scansione di rete. Le persone usano l'AI sul proprio laptop, nel proprio browser, con il proprio account. Questo utilizzo lascia poche tracce in un sistema che non lo sta cercando.
Ciò che funziona è fare domande. Ma solo se la risposta non ha conseguenze per chi la dà. Chi usa l'AI per preparare una bozza di contratto, o per farsi riassumere un'analisi di rischio, non lo segnala se la segnalazione può portare a un rimprovero. L'inventario di cui ha bisogno si realizza solo se porre domande non equivale a essere giudicati.
È un equilibrio precario per una funzione giuridica. Lei è abituato a valutare il rischio in base a ciò che può andare storto. Qui deve prima assicurarsi che le persone abbiano il coraggio di raccontare ciò che già fanno, prima di poter valutare se costituisce un rischio.
Il nucleo della sua posizione non è prevenire ogni rischio — non è realistico e non è nemmeno ciò che ci si aspetta da lei. Il nucleo è la dimostrabilità: può dimostrare che l'organizzazione sapeva cosa stava usando, aveva valutato quale rischio ne derivasse, e aveva una struttura per farne qualcosa. È un compito diverso dal controllare i risultati. È controllare il processo con cui i risultati vengono sorvegliati.
Questa dimostrabilità non deve necessariamente basarsi su un quadro nuovo. La maggior parte delle organizzazioni ha già una struttura di rischio — per il rischio finanziario, operativo, di conformità. Il rischio AI dovrebbe rientrare in essa, non stare a fianco come un percorso separato che nessuno conosce e nessuno mantiene. Un insieme di governance che si collega a ciò che esiste già viene utilizzato. Una struttura separata viene dimenticata dopo il primo trimestre.
Questa posizione descrive il meccanismo: inventariare, classificare, collegare alla struttura esistente, rendere dimostrabile. Non descrive quale normativa si applichi alla sua organizzazione, quali termini valgano, o quale obbligo entri in vigore in quale momento. Quel contenuto cambia, viene aggiornato, viene spiegato da chi è specializzato in materia. Ciò che conta qui è la struttura entro cui quel contenuto può inserirsi nel momento in cui ne avrà bisogno.
Le domande che lei si pone si sovrappongono a ciò che deve sapere un risk manager sul rischio AI e alla posizione di un responsabile della conformità che deve poter dimostrare l'uso dell'AI. Anche l'amministratore che ne risponde al consiglio di sorveglianza beneficia dello stesso inventario su cui lei basa la propria valutazione — è la stessa base fattuale, osservata da una responsabilità diversa.
La Responsible AI Scan che esegue questo meccanismo — inventariare, classificare, collegare alla struttura di rischio esistente — è in fase di sviluppo. Chi ne ha bisogno ora può iscriversi alla lista d'attesa. Non c'è ancora un servizio da fornire; c'è una direzione in cui questo viene costruito, e questa è quella direzione.
Una volta chiaro quale AI è in funzione e quale rischio comporta, segue un'altra domanda, che va oltre la sua responsabilità ma vi si collega: quale parte del lavoro sottostante quell'AI sta effettivamente sostituendo. È una domanda che non riguarda il rischio, ma l'organizzazione del lavoro, e a cui risponde la scansione del lavoro di FTE TO AI, che calcola per ciascuna attività quale parte si presta alla sostituzione.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.