Kiekviena organizacija, turinti tam tikrą apimtį, jau turi rizikos struktūrą. Rizikos komitetą, audito funkciją, ataskaitų teikimo liniją valdybai, formatą, kuriame rizikos yra vertinamos ir sekamos. Kas šalia to sukuria naują procesą, specialiai skirtą AI, su savo komitetu, savo kalendoriumi ir savo kalba, per metus gauna procesą, kurio niekas nebepildo. Ne todėl, kad AI nebūtų laikomas svarbiu, o todėl, kad antra struktūra konkuruoja su pirmąja dėl laiko, dėmesio ir mandato. Esama struktūra beveik visada laimi, nes ji yra įtraukta į vertinimus, veiklos ciklus ir valdybos darbotvarkes. Nauja struktūra stovi už jos ribų.
Taigi klausimas nėra, kaip pastatyti AI valdymo struktūrą. Klausimas yra, kaip AI gauna vietą struktūroje, kuri jau egzistuoja.
Dauguma rizikos struktūrų jau turi kelis pastovius elementus: periodiškai atnaujinamą rizikos inventorizaciją, klasifikaciją pagal sunkumą ir tikimybę, savininką kiekvienai rizikai, eskalacijos liniją į aukštesnį lygį, kai peržengiama riba, ir ataskaitas valdybai fiksuotais momentais. Tai yra struktūra, į kurią AI turi pritapti, o ne stovėti šalia jos.
Tai reiškia, kad AI naudojimas neturėtų būti atskirame AI registre, o kaip rizikos elementas esamame registre, su tais pačiais laukais kaip ir kiekviena kita rizika: savininkas, sunkumas, tikimybė, mitigacija, statuso data. Rizikos lygio klasifikacija, kuri priklauso AI naudojimo inventorizacijai, turi būti susieta su skale, kuri jau naudojama operacinei rizikai, o ne su nauja skale, sukurta vien AI. Kas skaito ką CIO turi žinoti apie AI riziką, pastebi, kad ta sąsaja yra tiksliai tas dalykas, kur dažnai nepavyksta: techniškai teisingas AI rizikos įvertinimas, kurio niekas negali palyginti su likusia rizikos registro dalimi.
Du dalykai apsunkina įtraukimą. Pirmasis yra kalba. Rizikos vadybininkai dirba su sąvokomis kaip poveikis, tikimybė ir mitigacinė priemonė. AI tiekėjai ir techninės komandos dirba su modelio versijomis, mokymo duomenimis ir veiklos rodikliais. Valdymo dokumento rinkinys, parašytas vien technine kalba, rizikos komiteto nebus skaitomas. Valdymo dokumento rinkinys, parašytas vien rizikos kalba, techninio savininko nebus užpildytas. Rinkinys turi būti skaitomas abiem kryptimis: technine prasme pakankamai tikslus, valdymo prasme pakankamai suprantamas, kad pasiektų tikslą. Šis principas kartojasi ir AI politikoje, kuri yra skaitoma: dokumentas, kuris atitinka tai, kaip žmonės jau skaito ir priima sprendimus, o ne verčia jų taikyti naują skaitymo būdą.
Antrasis dalykas yra tempas. Rizikos komitetas posėdžiauja pagal fiksuotą ciklą, dažnai kas ketvirtį ar kas mėnesį. AI naudojimas kinta greičiau: komanda šią savaitę pradeda naudoti naują įrankį, be jokio išankstinio posėdžio. Todėl valdymo dokumento rinkinys neturi būti priklausomas nuo posėdžių ciklo, kad funkcionuotų. Turi būti lengvesnis mechanizmas, kuris apima nukrypimus tarp fiksuotų momentų, ir kuris formaliai patvirtinamas tik kito ciklo metu. Kaip šis mechanizmas veikia praktikoje, aprašyta eskalacijos kelias, kuris veikia: maršrutas, kuris yra pakankamai trumpas, kad būtų naudojamas prieš kitą ketvirčio komiteto susirinkimą.
Valdymo dokumento rinkinys, kuris susietas su esama rizikos struktūra, apima pagrindinius elementus: inventorizacijos elementą kiekvienai AI taikomajai programai su savininku ir rizikos klase, sąsają su esamu eskalacijos keliu, kad nukrypimas neišnyktų atskirame kanale, ir fiksuotą vietą periodinėje ataskaitoje valdybai. Ne kaip atskirą skyrių apie AI, o kaip eilutę lentelėje, kurią valdyba jau pažįsta. Kaip ta ataskaita galėtų atrodyti, neįvedant naujo formato, aprašyta kaip gauti vienos puslapio valdybos ataskaitą, įtrauktą į tai, kas jau cirkuliuoja.
Patys taisyklių turiniai, kas tiksliai patenka į kokį rizikos lygį ir kokie terminai su tuo susiję, yra užfiksuoti kitur ir kinta; šis puslapis yra apie mechanizmą, kuris tam turiniui suteikia vietą esamoje struktūroje, ne apie tų taisyklių tekstą.
Įtraukimas pavyksta tik tada, kai inventorizacija iš pradžių yra tiksli. Ir ji yra tiksli tik tada, kai žmonės drįsta pasakyti, ką jie naudoja. Kas, pildydamas rizikos elementą, jaučia, kad sąžiningas atsakymas gali sukelti pastabą vertinime, jo sąžiningai nepildys. Todėl valdymo dokumento rinkinys turi nuo pirmos versijos aiškiai parodyti, kad tikslas yra apžvalga, ne sankcija. Be to įsipareigojimo, dalis naudojimo lieka nepastebėta, ir sąsaja su rizikos struktūra yra pastatyta ant nepilno sąrašo. Ką valdybos narys turi apie tai žinoti prieš pradedant pirmąją inventorizaciją, aprašyta ką valdybos narys turi žinoti apie AI riziką.
Šis įtraukimas yra apie riziką, nuosavybę ir ataskaitas: jis užtikrina, kad tai, ką AI daro, yra matoma ir valdoma struktūroje, kuri jau egzistuoja. Kitas klausimas, kuris logiškai kyla, kai apžvalga yra pasiekta, yra ką AI tame darbe faktiškai galėtų perimti. FTE TO AI darbo skenavimas apskaičiuoja pagal užduotį, kokią darbo dalį AI gali perimti, kaip kitą žingsnį po to, kai valdymo pusė yra susitvarkyta.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.