Generalinis patarėjas nėra vertinamas pagal tai, kas nutinka blogai su AI. Jis yra vertinamas tuo momentu, kai išaiškėja, kad organizacija negalėjo įrodyti, jog ji tai žinojo, arba, kas blogiau, kad galėjo tai žinoti ir nedarė nieko. Tai skirtumas tarp incidento ir trūkumo. Pirmasis organizacijai nutinka. Antrasis jai yra priskiriamas.
Teisinis klausimas — kas yra leidžiama, kas yra privaloma, kokie terminai taikomi — yra svarbus, tačiau jis kyla po kito klausimo. Tas klausimas yra: ką mes iš tikrųjų naudojame. Ne tai, kas buvo įsigyta, ne tai, kas yra IT tiekėjų sąraše, o tai, kuo žmonės praktiškai leidžia dalyvauti priimant sprendimus, rašant ar vertinant. Neatsakius į šį klausimą, kiekviena teisinė konsultacija yra konsultacija apie situaciją, kurios jūs nežinote.
Tai daro generalinio patarėjo poziciją nepatogia. Iš jūsų tikimasi vertinti riziką remiantis inventoriumi, kuris dažniausiai neegzistuoja, arba kuris susideda iš to, kas buvo patvirtinta — o tai iš esmės nėra tas, ką kažkas pradėjo naudoti be leidimo.
"Mums nereikia AI politikos, nes mes neturime AI" — tai atsakymas, kuris neatlaiko. Tai prielaida, o prielaidos yra lygiai tai, ko priežiūros institucija, teismas ar žurnalistas nepriima po fakto. Taip pat jūs nepriimate patvirtintų įrankių sąrašo kaip pilno vaizdo: tas sąrašas kažką sako apie tai, kas buvo įsigyta, ir nieko apie tai, kas iš tikrųjų naudojama.
Ko jums iš tikrųjų reikia — tai skirtumo tarp naudojimo tipų. Kalbos modelis, apibendrinantis vidinius užrašus, kelia kitokią riziką nei sistema, kuri dalyvauja priimant sprendimą dėl darbuotojo priėmimo ar kredito vertinimo. Neklasifikavus pagal vaidmenį ir rizikos lygį, kiekviena diskusija apie AI riziką yra diskusija bendrai, o bendros diskusijos nesukuria pozicijų, kurias galima ginti.
Šešėlinis AI — naudojimas, kylantis be jokio patvirtinimo — nėra kažkas, ką IT skyrius aptinka tinklo skenavimu. Žmonės naudoja AI savo nešiojamajame kompiuteryje, savo naršyklėje, su savo asmenine paskyra. Toks naudojimas palieka mažai pėdsakų sistemoje, kuri to nė neieško.
Kas veikia — tai klausimas. Bet tik tuo atveju, jei atsakymas neturi pasekmių tam, kas jį duoda. Kas naudoja AI, ruošiant sutarties projektą, arba prašant apibendrinti rizikos analizę, apie tai nepraneš, jei pranešimas gali sukelti papeikimą. Inventorius, kurio jums reikia, atsiras tik tuo atveju, jei klausimų kėlimas nereiškia atsakomybės.
Tai delikatus balansas teisinei funkcijai. Jūs esate pratę vertinti riziką remiantis tuo, kas gali nutikti blogai. Čia pirmiausia turite pasirūpinti, kad žmonės drįstų papasakoti, ką jie jau daro, prieš galėdami įvertinti, ar tai yra rizika.
Jūsų pozicijos esmė nėra kiekvienos rizikos išvengimas — tai nėra realistiška ir iš jūsų taip pat nesitikima. Esmė yra įrodomumas: ar galite parodyti, kad organizacija žinojo, ką naudojo, buvo įvertinusi su tuo susijusią riziką ir turėjo struktūrą, kaip su tuo elgtis. Tai kitokia užduotis nei rezultatų kontrolė. Tai proceso, kuriuo prižiūrimi rezultatai, kontrolė.
Šis įrodomumas neturi remtis nauju karkasu. Dauguma organizacijų jau turi rizikos struktūrą — finansinei rizikai, operacinei rizikai, atitikčiai. AI rizika turėtų įsilieti į tai, o ne stovėti šalia kaip atskiras kelias, kurio niekas nežino ir niekas nepalaiko. Valdymo rinkinys, kuris jungiasi su tuo, kas jau egzistuoja, yra naudojamas. Atskira struktūra pamirštama po pirmojo ketvirčio.
Ši pozicija aprašo mechanizmą: inventorizavimą, klasifikavimą, prijungimą prie esamos struktūros, įrodomumo užtikrinimą. Ji neaprašo, kokie teisės aktai ar reglamentai taikomi jūsų organizacijai, kokie terminai galioja ar kokia pareiga kada įsigalioja. Šis turinys keičiasi, yra papildomas, yra paaiškinamas tų, kurie tam yra specializuoti. Kas čia svarbu — tai struktūra, į kurią tas turinys gali įsilieti, kai jums jo reikės.
Klausimai, kuriuos jūs keliate, sutampa su tuo, ką turi žinoti rizikos valdytojas apie AI riziką, ir su atitikties pareigūno, kuris turi galėti įrodyti AI naudojimą, pozicija. Taip pat vadovas, kuris atsiskaito priežiūros tarybai, turi naudos iš to pačio inventoriaus, kuriuo remiatės savo vertinimui — tai ta pati faktų bazė, žiūrima iš kitos atsakomybės perspektyvos.
Responsible AI Scan, kuris atlieka šį mechanizmą — inventorizavimą, klasifikavimą, prijungimą prie esamos rizikos struktūros — yra kuriamas. Kam to reikia jau dabar, gali užsiregistruoti į laukiančiųjų sąrašą. Paslaugos kol kas nėra; yra kryptis, kuria tai kuriama, ir ta kryptis yra šita.
Kai tampa aišku, kokia AI veikia ir kokia rizika su ja siejama, kyla kitas klausimas, kuris nėra jūsų pačių atsakomybėje, bet su tuo susijęs: kokią dalį pagrindinio darbo tas AI iš tikrųjų perima. Tai klausimas ne apie riziką, o apie darbo organizavimą, ir į jį atsako FTE TO AI darbo skanavimas (werkscan), kuris apskaičiuoja pagal užduotį, kokia dalis yra tinkama perėmimui.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.