Un elenco di nomi di strumenti AI non è un inventario. Un inventario nasce solo quando per ogni applicazione si registra lo stesso insieme di dati, in modo da poterli confrontare, classificare e in seguito dimostrare. Senza questa struttura fissa, si ottiene solo una raccolta di fatti isolati che nessuno può più confrontare.
Per ogni applicazione si tratta di un numero limitato di campi che ricorrono sempre.
Nome e forma. Si tratta di un abbonamento autonomo, di una funzione all'interno di software già in uso, di un modello sviluppato internamente, oppure di una funzione AI arrivata tramite un fornitore senza che nessuno l'abbia definita come "AI".
Chi la utilizza. Un team, un reparto, un singolo dipendente. Questo determina non solo la portata, ma anche chi bisogna interpellare in seguito in caso di domande.
Per cosa viene utilizzata. Non il testo di marketing del fornitore, ma il compito effettivo: redigere testi, sintetizzare dati, scrivere codice, rispondere a domande dei clienti, preparare decisioni. Questo campo determina il ruolo che l'applicazione svolge e quindi il livello di rischio.
Quali dati vi entrano. Dati personali, dati clienti, informazioni finanziarie, documenti interni, oppure nessun dato sensibile. Questo determina quali requisiti di governance diventano rilevanti.
Come è stata acquisita. Tramite un percorso formale, tramite un abbonamento sottoscritto autonomamente da qualcuno, tramite un fornitore che la fornisce insieme a un altro prodotto. Il percorso di acquisizione indica immediatamente quanto controllo era già presente.
Chi ne è responsabile. Non chi la utilizza per caso, ma chi è responsabile in caso di problemi o se si vuole sapere se è ancora in uso.
Da quando e per quanto tempo. Un'applicazione in uso da tre anni senza che nessuno se ne sia accorto richiede un approccio diverso rispetto a un progetto pilota del mese scorso.
Non si tratta di liste burocratiche da spuntare. Sono i dati necessari per poter dire, in seguito, per ogni applicazione: questa rientra in un livello di rischio più alto, questa no, ed ecco la motivazione.
Nessuno di questi campi è disponibile completo in un'unica fonte. L'inventario si costruisce attraverso più canali che si completano a vicenda.
Il reparto IT fornisce un punto di partenza, ma non un quadro completo: perché l'elenco IT non è corretto spiega che una parte considerevole dell'uso dell'AI avviene al di fuori dei sistemi gestiti dall'IT. Tuttavia, i segnali di cui l'IT dispone sono utili come filtro: quali segnali IT sono utilizzabili mostra quali indicazioni tecniche sono sufficientemente affidabili da approfondire.
Gli acquisti e la finanza integrano un'altra parte. Fatture, abbonamenti e licenze mostrano quali strumenti sono stati effettivamente pagati, anche se l'utente non lo ha mai segnalato. Cosa rivelano i dati di acquisto e delle licenze descrive quali campi provenienti da questa fonte si inseriscono direttamente nell'inventario.
La parte finale e più determinante proviene dai dipendenti stessi. Chi svolge il compito sa quale strumento viene utilizzato, anche se non è mai stato richiesto o approvato. Queste informazioni si ottengono solo se porre domande non ha conseguenze per chi risponde: come porre la domanda senza conseguenze descrive come formulare questa domanda senza che venga percepita come un controllo.
Un inventario che deve essere completo in un'unica volta non si realizza mai. Le applicazioni cambiano, ne compaiono di nuove, altre più vecchie scompaiono. Ciò che resta è la struttura: gli stessi campi, le stesse domande, lo stesso modo di registrazione. Questa struttura consente di aggiungere domani un'applicazione che oggi manca, senza dover ricominciare da capo.
È anche per questo che l'ordine in cui si compilano i campi conta meno della coerenza con cui vengono compilati. Un'organizzazione con più sedi, reparti o filiali si trova di fronte a un ulteriore livello di complessità, perché la stessa applicazione viene utilizzata in modo diverso in una sede rispetto a un'altra: come costruire un inventario AI in un'organizzazione con più unità approfondisce come mantenere visibili queste differenze senza perdere la comparabilità. Chi, all'interno di una struttura di questo tipo, vuole sapere specificamente quali campi devono essere compilati separatamente per ciascuna sede, lo trova in cosa registrare per ciascuna applicazione in un'organizzazione con più unità.
Una volta compilati i campi per ciascuna applicazione, diventa possibile classificare: quale ruolo svolge questa applicazione, quale livello di rischio le corrisponde, e quali misure di governance si collegano logicamente a questo. Questo passaggio avviene sulla base di quanto è stato registrato, non sulla base di una valutazione fatta a posteriori.
Questo inventario descrive quali applicazioni AI esistono e chi le utilizza. Non descrive quanta parte del lavoro sottostante viene effettivamente svolta da tale applicazione. Questa è una domanda diversa, con uno strumento diverso: la scansione del lavoro di FTE TO AI calcola, per ciascun compito, quale parte del lavoro può essere svolta dall'AI, sulla base dei compiti registrati, non sulla base dello strumento utilizzato per svolgerli.
La scansione AI qui è ancora in fase di sviluppo. Chi desidera utilizzare uno di questi strumenti non appena saranno disponibili può iscriversi alla lista d'attesa.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.