Atitikties pareigūnas nepralaimi prie pirmo klausimo apie AI. Jis pralaimi prie antro: kai paaiškėja, kad atsakymas į pirmąjį klausimą buvo nepilnas. Į klausimą „kokias AI sistemas naudoja jūsų organizacija" galima atsakyti sąrašu iš IT portfelio. Klausimas, kuris kyla po to — „ar tai visas sąrašas" — yra klausimas, prie kurio žlunga dauguma atitikties bylų.
Ne: kokius AI įrankius organizacija įsigijo. Bet: kokios AI sistemos iš tikrųjų naudojamos, kas jas naudoja, kokiems sprendimams ir kokio rizikos vertinimo pagrindu. Tai keturi klausimai, ne vienas. Pirmasis yra pirkinių sąrašas. Kiti trys reikalauja, kad žmonės papasakotų, ką jie daro, įskaitant tai, ko jie nedavė patvirtinti. Atitikties pareigūnas, turintis tik pirkinių sąrašą, turi klaidingą aprėpties jausmą — ir tai yra rizikingiau nei aprėpties nebuvimas, nes tai pranešama kaip pilna.
Darbuotojai, kurie naudoja kalbos ar analizės įrankį jo neįsigyję per IT, dėl to nepalieka pėdsako turto registre. Tačiau jie palieka pėdsaką tame, ką sukuria: ataskaitose, komunikacijoje su klientais, patarimuose. Atotrūkis tarp to, kas registruota, ir to, kas naudojama, dažniausiai nėra tyčinis pažeidimas. Tai organizacijos, kuri greičiau randa įrankį nei praeina patvirtinimo procesą, rezultatas. Atitikties funkcija negali užpildyti šio atotrūkio griežtesniu draudimu — tai tik perkelia naudojimą toliau iš akiračio. Atotrūkį užpildote klausdami, be sankcijos už atsakymą. Kas bijo įrašo savo byloje, nepasako, ką naudoja; jis pasako tai, ką, jo nuomone, jūs norite išgirsti.
Rizikos vadovas norės žinoti, kokia yra pozicijos apimtis. Atitikties pareigūnas norės to, plius kažko papildomo: ar galiu parodyti, kad laikėmės proceso, net jei rezultatas atgaline data pasirodo ginčytinas. Tai kitokio pobūdžio įrodymų našta. Kalbama ne tik apie sistemos klasifikaciją, bet apie pėdsaką: kas tai įvertino, kada, su kokia informacija, ir ar tas įvertinimas buvo pakartotas, kai sistema pasikeitė. AI sistemos atnaujinamos be įspėjimo; prieš pusę metų atlikta klasifikacija mažai pasako apie šiandienos sistemą. Todėl atitikties funkcija turi galėti parodyti ne tik rezultatą, bet ir nuolat veikiantį procesą.
„Mes turime AI politiką" nėra atsakymas į klausimą, ar tai politika apima ką nors konkrečiai. Politikos dokumentas, kuris niekada nebuvo patikrintas su tuo, kas iš tikrųjų naudojama, yra ketinimų pareiškimas, ne padėties pareiškimas. Atitikties pareigūnui reikia inventoriaus, kuris derinasi su esamomis rizikos kategorijomis — tuo pačiu skirstymu, kuris jau naudojamas kitoms operacinėms rizikoms — kad AI netaptų atskiru, egzotišku klausimu prie rizikos sistemos, o būtų jos dalis.
Atitikties pareigūnas retai šį darbą atlieka vienas. Klausimas, kurios sistemos priskiriamos aukštos rizikos kategorijai ir kokia įrodymų našta su tuo susijusi, susisiekia su tuo, ką turėtų žinoti generalinis teisės patarėjas apie AI riziką atsakomybės ir sutartinių įsipareigojimų požiūriu. Klausimas, ar organizacija technine prasme gali atsekti, kokios sistemos veikia, priklauso tam, ką turėtų žinoti CIO apie AI riziką. Ir klausimas, ar šis klausimas pasiekia valdybos stalą prieš eskaluojantis, priklauso tam, ką turėtų žinoti valdybos narys apie AI riziką. Atitikties funkcija dažnai yra ta šalis, kuri turi sujungti šias tris linijas, pati nebūdama technologijos ar sutarties savininkė.
Reguliavimo turinys — kokie tiksliai įsipareigojimai galioja, pagal kokią rizikos kategoriją, su kokiais terminais — pateikiamas kitur ir keičiasi. Šis puslapis aprašo mechanizmą: kaip žinote, kas veikia, kaip tai klasifikuojate ir kaip parodote, kad procesas buvo laikomasi. Atitikties pareigūnas, ieškantis aktualaus teisės akto teksto, jo čia neranda.
Kiek šešėlinės AI turi organizacija, priklauso nuo sektoriaus, kultūros ir to, kaip griežtai buvo įgyvendinami ankstesni draudimai. Griežtesnis draudimas dažnai koreliuoja su didesniu paslėptu naudojimu, ne su mažesniu. Šis modelis nėra vienodas visur: statybų sektoriuje svorio centras yra projekto skaičiavimuose ir planavime, o įrengimo sektoriuje dažniau kalbama apie priežiūros diagnostiką ir gedimų analizę. Todėl inventorizacija turi vykti kiekvienoje organizacijoje atskirai; nacionalinis vidurkis mažai pasako apie jūsų pačių pozicijos apimtį.
Responsible AI Scan nustato, kas iš tikrųjų naudojama, klasifikuoja tai pagal vaidmenį ir rizikos lygį, ir suteikia valdymo rinkinį, kuris derinasi su esama rizikos struktūra — nepredeterminuodamas to, kas kitur jau nustatyta. Šis skenavimas šiuo metu kuriamas. Kas suinteresuotas, gali registruotis į laukiančiųjų sąrašą; nesiūloma nieko, kas dar nebaigta.
Kai jau žinoma, kokios AI sistemos veikia, dažnai kyla papildomas klausimas: ką tai reiškia personalo sudėčiai ir užduočių paskirstymui. Tai kitokia skaičiuoklė nei rizikos klasifikacija, ir ją atlieka FTE TO AI su darbo skenavimu (werkscan), kuris pagal kiekvieną užduotį apskaičiuoja, kokią darbo dalį gali perimti AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.