Drugi proces ryzyka obok istniejącego zostaje zignorowany

Pytanie nie brzmi, czy powstanie proces, lecz w czym on wyląduje

Każda organizacja o pewnej skali ma już strukturę ryzyka. Komisję ryzyka, komitet audytu, linię funkcji kontrolnych, format, w którym ryzyka są ujmowane, dyskutowane i zamykane. Ten proces ma swój rytm, swój język i właścicieli, którzy wiedzą, czego się trzymać.

Jeśli governance AI powstaje obok tego — z własną komisją, własną linią raportowania, własnym kalendarzem — powstaje drugi proces. A drugi proces obok istniejącego procesu nie jest realizowany. Nie dlatego, że ludzie są niechętni, ale dlatego, że pojemność została już przypisana do procesu, który istnieje. Kto traktuje ryzyko AI jako odrębny temat, prosi o dodatkowy czas, dodatkowe spotkania i dodatkowe raporty obok wszystkiego, co już się dzieje. To przegrywa, każdy raz.

Co musi wpasować się w strukturę

Inwentaryzacja i klasyfikacja systemów AI nie dają nowych ram ryzyka. Dają wkład do ram, które już istnieją. Konkretnie oznacza to:

Systemy AI są klasyfikowane według poziomu ryzyka, który istniejąca struktura już zna, a nie według nowej skali obowiązującej wyłącznie dla AI.
Właściciel zastosowania AI to ten sam funkcjonariusz, który jest już odpowiedzialny za proces, w którym to zastosowanie jest wykorzystywane, a nie nowy właściciel AI.
Raportowanie o ryzykach AI odbywa się w ramach istniejącego gremium, w istniejącym momencie, w istniejącym formacie — uzupełnione, nie zastąpione.
Eskalacja przy incydencie związanym z AI podąża linią, która już istnieje dla incydentów, z AI jako kategorią w niej, a nie jako odrębną trasą obok.

Zestaw governance wynikający ze skanu nie jest więc dokumentem samodzielnym. Jest zestawem napisanym tak, aby wpasować się w to, co już istnieje: matrycę ryzyka, strukturę raportowania, linie eskalacji. Tam, gdzie te elementy jeszcze nie działają tak, jak powinny, obowiązuje ta sama logika co przy AI: chodzi o wbudowanie, nie o nowy system. Jak to wygląda dla konkretnego elementu, opisano w jak polityka AI jest wbudowywana w istniejące podejmowanie decyzji, a nie stoi obok niego osobno, w jak lista decyzji oversight jest wbudowywana w gremium, które już istnieje oraz w jak ścieżki eskalacji dla AI są wbudowywane w istniejącą linię incydentów.

Dlaczego to daje więcej niż nowe ramy

Osobne ramy ryzyka AI brzmią rozważnie, ale tworzą równoległy obwód. Powstają dwie prawdy: raportowanie ryzyka, które zarząd już znał, oraz raportowanie AI, które żyje obok niego, z własnymi definicjami poziomu ryzyka i własnymi właścicielami. W momencie, gdy te dwa obwody nie są ze sobą zgodne — a to prędzej czy później się zdarza — nie jest jasne, który obwód ma znaczenie decydujące. To jest właśnie scenariusz, w którym nadzór istnieje na papierze, ale w praktyce nikt nie jest osobą, do której można się zwrócić.

Zestaw governance wynikający z inwentaryzacji ma więc na celu zniknięcie w istniejącym procesie. Nie nowy pulpit, nie nowe spotkanie, nie nowy formularz zatwierdzania — lecz rozszerzenie formatu, który komisja ryzyka już wykorzystuje, z AI jako stałym elementem. To jest też sposób, w jaki zarząd faktycznie z tego skorzysta: nie jako osobny raport AI, który się przegląda, ale jako pozycja w raporcie, który już jest czytany. Jak wygląda ten raport, gdy jest wystarczająco kompaktowy, by faktycznie być czytany, opisano w koncepcji raportu dla zarządu, który mieści się na jednej stronie.

Co to daje pod względem możliwości wykazania

Powód, dla którego połączenie z istniejącą strukturą jest również silniejszym wyborem prawnym i organizacyjnym, leży w możliwości wykazania. Organ nadzoru lub audytor, który pyta, jak zarządzane jest ryzyko AI, wolałby usłyszeć odpowiedź „poprzez proces ryzyka, który już prowadzimy, z AI jako stałym elementem" niż „poprzez odrębną ścieżkę AI, która przebiega obok standardowego procesu". Pierwsza odpowiedź pokazuje organizację, która zarządza ryzykiem w sposób zintegrowany. Druga pokazuje organizację, która traktuje AI jako wyjątek — z ryzykiem, że ten wyjątek, gdy uwaga się przesunie, zostanie odpuszczony.

Ta sama logika obowiązuje w przypadku monitorowania. Osobny pulpit AI, którego nikt nie sprawdza, nie daje niczego. Monitorowanie wbudowane w przegląd, który menedżerowie ryzyka i zarząd już wykorzystują, jest widziane, ponieważ znajduje się już w miejscu, na które patrzy się. Co jest do tego potrzebne, wyjaśniono w jak monitorowanie systemów AI jest wbudowywane w przegląd, który już jest wykorzystywany i, szerzej, w jak w praktyce budowane jest połączenie z istniejącą strukturą ryzyka.

Od struktury ryzyka do pytania, co może przejąć AI