Daugumoje organizacijų jau yra kažkas, kas vadinama stebėsena. Skydelis, ataskaitų forma, periodinis susitikimas, kuriame aptariama rizika. Problema nėra tai, kad šito trūksta. Problema yra tai, kad AI stebėsena pridedama kaip atskira dalis, su savo ritmu, savo savininku ir savo šablonu. Kas jau turi tris procesus rizikai stebėti, ketvirtojo proceso sąžiningai nepildys. Tai tampa pareiga, kuri kartą per ketvirtį atliekama paskubomis, arba visai neatliekama.
Dėl to AI naudojimo stebėsena tokia dažnai neduoda nieko. Ne todėl, kad klausimai netinkami, o todėl, kad pats procesas išlieka svetimkūniu organizacijoje, kuri jau turi procesus rizikai, atitikčiai ir vidaus kontrolei.
Stebėsena, kuri duoda rezultatų, prasideda ne nuo šablono, o nuo klausimo: kas keičiasi, ir kas tai pastebi pirmiausia? AI sistemoms tai reiškia tris lygmenis.
Pirmasis lygmuo yra naudojimas: ar sistema vis dar naudojama taip, kaip numatyta, ar taikymas pasislinko, apie tai niekam nepranešus? Įrankis, kuris pradėjo kaip teksto tikrinimas, o dabar naudojamas sprendimų projektams formuluoti, yra kitokia rizika nei buvo nustatyta pradžioje.
Antrasis lygmuo yra kilmė: ar sistema tebėra tokia pati, kokia buvo, kai buvo klasifikuota? Pagrindiniai modeliai keičiami, tiekėjai keičia savo sąlygas, atskiras įrankis integruojamas į didesnę platformą. Kiekvienas pakeitimas gali padaryti anksčiau atliktą rizikos vertinimą negaliojantį, apie tai niekam iš naujo neįvertinus.
Trečiasis lygmuo yra signalas: ar yra skundų, klaidų pranešimų ar nukrypimų, rodančių, kad kažkas veikia ne taip, kaip numatyta? Šis lygmuo dažniausiai ir trūksta, nes niekam nėra naudinga pranešti apie problemą su sistema, kuri formaliai neegzistuoja.
Organizacija, kuri jau turi rizikos ciklą veiklos rizikai, finansinei rizikai ar duomenų apsaugai, nauju ciklu AI atveju nepradės. Tai nėra nenoras; tai gebėjimų (kapaciteto) klausimas. Kas tai bandys padaryti, pamatys du dalykus. Arba naujoji stebėsena liks tuščia, nes niekas neranda laiko maitinti sistemos, kurios niekas neprašo. Arba naująją stebėseną perima tie patys žmonės, kurie jau vykdo esamą ciklą, ir tada skirtumas savaime dingsta.
Taigi klausimas nėra, ar turi būti sukurtas atskiras AI stebėsenos procesas. Klausimas yra, kaip AI signalai patenka į esamą ciklą, kad jie būtų aptariami tame pačiame susitikime, su tuo pačiu savininku ir tuo pačiu ritmu kaip ir kita rizika. Kaip tai tiksliai įgyvendinama, priklauso nuo to, kaip tas esamas ciklas šiuo metu veikia: kai kuriose organizacijose yra ketvirtinė ataskaita audito komitetui, kitose – mėnesinis rizikos susitikimas vadovybės lygmeniu, dar kitose – nuolatinis žurnalas, atnaujinamas pagal kiekvieną incidentą. Daugiau apie tai, kaip įdiegti stebėseną, kuri duoda rezultatų, į tai, kas jau veikia, o ne pridėti ją kaip atskirą dalį rasite atskirame puslapyje, nes tas mechanizmas kiekvienoje organizacijoje įgyvendinamas skirtingai.
Kas iš tiesų tinka universaliai, yra fiksuota forma, kurioje užrašoma AI sistemų būklė: kas veikia, kokiu vaidmeniu, kokio rizikos lygio, ir kada tai paskutinį kartą patvirtinta. Ne kaip atskiras AI dokumentas, o kaip priedas ar nuolatinė dalis ataskaitos, kuri jau egzistuoja. Tai gali derėti su vieno puslapio valdybos ataskaita, kuri apibendrina riziką jos neslėpdama, kad stebėsena netaptų atskiru informacijos srautu, o eilute lentelėje, kurią valdybos narys jau skaito.
Ši forma veikia tik tuo atveju, jei pati pagrindinė klasifikacija išlieka aktuali, o ta klasifikacija savo ruožtu turi derėti su rizikos struktūra, kuri jau yra. Be šio derėjimo stebėsena išlieka antra kalba prie pirmosios, o ta antra kalba pamirštama, kai spaudimas didėja. Kaip toks derėjimas atrodo, priklauso nuo to, kaip rizikos struktūra ir AI klasifikacija susijungia į tai, ką organizacija jau naudoja, ir negali būti aprašytas bendrais žodžiais, nepažinojus esamos struktūros.
Gerai veikianti stebėsena signalizuoja ne tik riziką, bet ir pasislinkimą: sistemas, naudojamas kitaip, nei numatyta, arba užduotis, kurios tyliai perimtos, apie tai niekam neužrašius. Tie patys signalai yra ir informacija apie tai, kam žmonės iš tikrųjų skiria laiką, ir kur AI faktiškai jau perima darbą, apie tai niekur neužrašius. Kas norėtų šį klausimą padaryti konkretesnį, nei leidžia rizikos klasifikacija, gali pasižiūrėti FTE TO AI darbo skanavimo (werkscan) priemonę ir sužinoti, kokia dalis darbo pagal užduotį tinka AI, nepaisant to, ar tai jau vyksta, ar dar tik turi būti nuspręsta. Ta skanavimo priemonė skaičiuoja ne rizika, o užduotimis ir valandomis, ir taip dera su tuo, ką stebėsena signalizuoja, tai neaiškindama.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.