Un inventario dell'uso di AI produce solitamente un elenco troppo lungo per essere affrontato in un'unica volta. La domanda che segue non è "cosa dobbiamo fare" ma "cosa dobbiamo fare prima". Questa è una questione di classificazione, e la risposta non dipende da quanti sistemi ci sono, ma da cosa fanno quei sistemi e per chi.
Il primo fattore è il livello di rischio dell'applicazione stessa. Un sistema che prepara decisioni su persone — assunzione, concessione di credito, assegnazione di cure o sussidi — richiede un trattamento diverso rispetto a uno strumento che riscrive testi per uso interno. Cosa significa un livello di rischio elevato per la sua organizzazione varia quindi per applicazione, e queste differenze determinano quali sistemi devono essere affrontati per primi.
Il secondo fattore è il ruolo dell'organizzazione rispetto a quel sistema. Chi acquista un modello e lo utilizza senza modifiche ha obblighi diversi rispetto a chi fa addestrare un modello sui propri dati o adatta il risultato in modo strutturale. Se è fornitore o utilizzatore di un'applicazione AI determina non solo quali obblighi si applicano, ma anche quanto tempo è necessario per rispettarli — un fornitore ha in genere più da preparare rispetto a un utilizzatore.
Il terzo fattore è se il sistema è già in uso o è ancora in fase di acquisizione. Un rischio già operativo — con utenti reali, decisioni reali, dati reali — richiede un ordine diverso rispetto a un rischio che è ancora nella fase contrattuale e dove gli accordi possono ancora essere formalizzati prima che il sistema diventi operativo.
Questa classificazione non è una fotografia statica. Un sistema che oggi è a basso rischio potrebbe non esserlo più dopo una modifica. Cosa significa quando adatta un modello personalmente — fine-tuning, un nuovo set di dati, un'applicazione diversa della stessa tecnologia sottostante — dipende da cosa cambia esattamente, ma la classificazione fatta precedentemente non rimane quindi automaticamente valida.
Lo stesso vale per il cambiamento di ruolo. Un'organizzazione che acquista un modello pronto all'uso e successivamente lo modifica in modo significativo può così passare da utilizzatore a fornitore. Quando quel ruolo cambia non è sempre il momento della modifica stessa, ma il momento in cui quella modifica cambia il carattere del sistema. Anche questa è una questione di classificazione, e anch'essa richiede una nuova valutazione non appena la situazione cambia — non un controllo unico che rimane valido per sempre.
E un sistema ancora in fase di acquisizione passa da pianificabile a urgente nel momento in cui diventa operativo. La classificazione valida per la fase contrattuale non vale per la fase di utilizzo.
La conseguenza pratica è che un inventario non produce un elenco di priorità una sola volta, ma una struttura che deve essere ripercorsa ripetutamente. I sistemi con un livello di rischio elevato e un ruolo attivo di fornitore richiedono attenzione ora. I sistemi con un livello di rischio basso non ancora in uso possono essere pianificati — ma la pianificazione deve prevedere un momento in cui si effettua una nuova verifica, poiché modifiche, cambiamenti di ruolo o messa in funzione possono ribaltare la classificazione.
Ciò richiede un luogo fisso dove vengono registrate le decisioni su tale classificazione: quale sistema è stato indicato come urgente, sulla base di quale fattore, e quando quella valutazione è stata effettuata l'ultima volta. Un elenco decisionale di oversight è la forma in cui tale classificazione viene rendicontata in modo verificabile — non come amministrazione aggiuntiva, ma come unica prova che la classificazione non è casuale, ma il risultato di un processo ripetibile.
La normativa effettiva — quali termini si applicano, quali obblighi per classe di rischio corrispondono a quale data — si trova altrove. Questa pagina descrive il meccanismo con cui si distingue l'urgente dal pianificabile; il testo normativo attuale e i termini non si trovano qui.
La classificazione in urgente e pianificabile riguarda l'ordine di attenzione, non il contenuto del lavoro stesso. Una volta chiarito quale applicazione AI ha la priorità, resta aperta la domanda su cosa quella applicazione faccia esattamente con il lavoro che la circonda: quale parte di un compito si svolge automaticamente, quale parte richiede controllo, e quale parte rimane a una persona. A questa domanda risponde la scansione del lavoro di FTE TO AI, che calcola per ogni compito quale parte del lavoro può essere assunta dall'AI — un complemento alla classificazione fatta qui, focalizzato sul contenuto del lavoro stesso.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.