Kennisbank

Monitorings, kas faktiski tiek izmantots

Problēma nav monitoringa trūkums

Lielākajai daļai organizāciju jau ir kaut kas, ko sauc par monitoringu. Panelis, atskaites formāts, periodiska sanāksme, kurā tiek pārrunāti riski. Problēma nav tā, ka tas trūkst. Problēma ir tā, ka AI monitorings tiek novietots kā atsevišķa sastāvdaļa, ar savu ritmu, savu īpašnieku un savu veidni. Kas jau ir trīs procesos seko risku, nesāks apzinīgi pildīt ceturto procesu. Tas kļūst par pienākumu, kas tiek atrunāts vienreiz ceturksnī vai vispār netiek pildīts.

Tas ir iemesls, kāpēc AI izmantošanas monitorings tik bieži nedod nekādu labumu. Nevis tāpēc, ka jautājumi būtu nepareizi, bet tāpēc, ka process pats palicis svešs ķermenis organizācijā, kurai jau ir procesi risku, atbilstības un iekšējās kontroles jomā.

Kas pieder pie patiesa monitoringa

Monitorings, kas kaut ko dod, nesākas ar formātu, bet ar jautājumu: kas mainās un kas tas pirmais pamana? AI sistēmām tas nozīmē trīs slāņus.

Pirmais slānis ir izmantošana: vai sistēma vēl tiek izmantota tā, kā paredzēts, vai lietojums ir mainījies, bez tā, ka kāds to būtu paziņojis? Rīks, kas sācies kā teksta pārbaude un tagad tiek izmantots konceptuālu lēmumu formulēšanai, ir citāds risks nekā tas, kas tika noteikts pašā sākumā.

Otrais slānis ir izcelsme: vai sistēma vēl ir tā pati, kāda tā bija tad, kad tika klasificēta? Pamatā esošie modeļi tiek nomainīti, piegādātāji maina savus nosacījumus, atsevišķs rīks tiek integrēts lielākā platformā. Katra izmaiņa var padarīt tā laika riska novērtējumu spēkā neesošu, bez tā, ka kāds to pārskatītu no jauna.

Trešais slānis ir signāls: vai ir sūdzības, kļūdu paziņojumi vai novirzes, kas norāda, ka kaut kas nedarbojas tā, kā pieņemts? Šis ir slānis, kas visbiežāk trūkst, jo nevienam nav interesē paziņot par problēmu ar sistēmu, kas oficiāli nemaz nepastāv.

Kāpēc otrs process tiek ignorēts

Organizācija, kurai jau ir riska cikls operacionāliem riskiem, finansiāliem riskiem vai datu aizsardzībai, nesāks jaunu ciklu AI vajadzībām. Tas nav nevēlēšanās; tas ir jautājums par kapacitāti. Kas to tomēr izmēģina, redz, ka notiek divas lietas. Vai jaunais monitorings paliek tukšs, jo neviens atrod laiku, lai piebarotu sistēmu, ko neviens neprasa. Vai jauno monitoringu pārņem tie paši cilvēki, kas jau vada esošo ciklu, un tad atšķirība pati par sevi izzūd.

Jautājums tātad nav, vai vajadzētu izveidot atsevišķu AI monitoringa procesu. Jautājums ir, kā AI signāli nokļūst esošajā ciklā, lai tos pārrunātu tajā pašā sanāksmē, ar to pašu īpašnieku un tajā pašā ritmā, kā citus riskus. Kā tas tieši tiek iekārtots, ir atkarīgs no tā, kā esošais cikls jau tagad darbojas: dažām organizācijām ir ceturkšņa atskaite auditkomitejai, citām ikmēneša riska sanāksme vadības līmenī, citām atkal nepārtraukts žurnāls, ko atjaunina pēc katra incidenta. Vairāk par to, kā jūs iebūvējat monitoringu tajā, kas jau darbojas, tā vietā, lai novietotu kaut ko blakus, ir aprakstīts atsevišķā lapā, jo šis mehānisms katrā organizācijā tiek iekārtots citādi.

Dokuments, kas ir pieejams, ja kāds par to jautā

Kas tomēr universāli iederas, ir fiksēta forma, kurā tiek fiksēts AI sistēmu statuss: kas darbojas, kādā lomā, ar kādu riska līmeni un kad tas pēdējoreiz apstiprināts. Nevis kā atsevišķs AI dokuments, bet kā pielikums vai pastāvīga sastāvdaļa atskaitei, kas jau pastāv. Tas var saskanēt ar vienas lapas valdes atskaiti, kas apkopo riskus, tos neaizsedzot, lai monitorings nekļūtu par atsevišķu informācijas plūsmu, bet par rindu tabulā, ko valdes loceklis jau tā lasa.

Šī forma darbojas tikai tad, ja pamatā esošā klasifikācija pati paliek aktuāla, un šai klasifikācijai savukārt jāsaskan ar riska struktūru, kas jau pastāv. Bez šīs saskaņas monitorings paliek otra valoda līdzās pirmajai, un šī otrā valoda tiek aizmirsta, tiklīdz pieaug spiediens. Kā šī saskaņa izskatās, ir atkarīgs no tā, kā riska struktūra un AI klasifikācija savienojas ar to, ko organizācija jau izmanto, un to nevar aprakstīt vispārīgos vārdos, nezinot esošo struktūru.

Ko monitorings atklāj, sniedzas tālāk par dokumentu

Monitorings, kas darbojas labi, signalizē ne tikai risku, bet arī pārbīdi: sistēmas, kas tiek izmantotas citādi, nekā paredzēts, vai uzdevumus, kas nemanāmi pārņemti, bez tā, ka kāds to būtu fiksējis. Šie paši signāli ir arī informācija par to, kam cilvēki faktiski velta laiku, un kur AI faktiski jau pārņem darbu, bez tā, ka tas kaut kur būtu pierakstīts. Kas šo jautājumu vēlas padarīt konkrētāku, nekā to atļauj riska klasifikācija, var FTE TO AI darba skenējumā apskatīt, kāda daļa darba pēc uzdevuma ir piemērota AI, neatkarīgi no tā, vai tas jau notiek vai par to vēl jālemj. Šis skenējums rēķina nevis riskā, bet uzdevumos un stundās, un tādējādi saskan ar to, ko monitorings signalizē, bez tā, ka to izskaidrotu.