Polityka AI, którą kładzie się jako osobny dokument obok istniejącej polityki, w praktyce nie jest czytana. Nie dlatego, że pracownicy są niechętni, ale dlatego, że drugi proces obok istniejącego procesu prawie zawsze przegrywa. Kto już ma ramy ryzyka, kodeks postępowania i linię eskalacji, nie sięgnie po równoległy system dla jednej konkretnej technologii. Polityka AI, która faktycznie działa, to polityka, która w sposób widoczny wykorzystuje te same ramy, które organizacja już znała.
Każda organizacja o pewnej wielkości ma już ramy dotyczące ryzyka, zakupów, bezpieczeństwa informacji i postępowania. Polityka AI, która stoi osobno, wprowadza nowy język, nowe role i nowe miejsce, w którym trzeba szukać informacji. To właśnie powód, dla którego po uruchomieniu zostaje odłożona na bok. Pracownicy podążają ścieżką najmniejszego oporu, a ta ścieżka wiedzie przez strukturę, którą już znają. Polityka, która wymaga nowego sposobu pracy obok starego, rzadko wygrywa tę konkurencję.
Rozwiązaniem nie jest lepiej napisany dokument. To dokument, który nie zajmuje nowego miejsca, lecz wykorzystuje miejsce już istniejące. Ryzyko związane z AI jest wtedy traktowane jako ryzyko, z tym samym właścicielem, tą samą linią eskalacji i tą samą formą raportowania jak każde inne ryzyko. Kto chce to uzasadnić, znajdzie rozumowanie na stronie o wpisaniu się w istniejącą strukturę ryzyka zamiast nowych ram obok niej.
Działająca polityka AI nie zawiera wyliczenia tego, co wolno, a czego nie wolno robić w przypadku każdego systemu. To zmienia się zbyt szybko i staje się nieaktualne w ciągu roku. Zawiera natomiast kilka stałych elementów, które nie zależą od tego, jaki model lub jaki dostawca jest używany:
Te cztery elementy razem nie tworzą osobnego systemu governance dla AI, lecz uszczegółowienie systemu ryzyka, który już istnieje. To różnica między polityką, którą się czyta, a polityką, która pozostaje w segregatorze.
Wpisanie polityki w istniejące ramy ma niewielki sens, jeśli nie wiadomo, co właściwie trzeba wpisać. Lista systemów zatwierdzonych przez dział IT jest do tego niewystarczająca: opisuje ona, co zostało zakupione, nie to, co jest faktycznie używane. Cień AI, czyli narzędzia, które pracownicy zaczęli sami stosować bez formalnej zgody, wypada poza tę listę, choć ryzyko z tego powodu nie jest mniejsze.
Jedynym sposobem, aby to zobaczyć, jest zapytanie o to. A to działa tylko wtedy, gdy zadanie pytania nie prowadzi do rozliczenia. Kto przy pierwszej inwentaryzacji od razu wiąże sankcje z odpowiedzią, nie otrzyma już żadnej odpowiedzi. Polityka AI, która szuka wpisania w istniejącą strukturę, zaczyna więc od inwentaryzacji odłączonej od oceny, a dopiero potem od klasyfikacji według roli i poziomu ryzyka.
Zarząd nie jest zainteresowany obszernym dokumentem polityki, lecz zwięzłym przeglądem tego, gdzie leżą ryzyka i co się z nimi robi. Ten przegląd powinien mieć taką samą formę jak inne raporty o ryzyku, które zarząd już otrzymuje, aby nie był odczytywany jako odrębny raport o AI, lecz jako część zwykłego obrazu ryzyka. Jak wygląda taki raport, opisano na stronie o raporcie dla zarządu w formie jednej strony, który łączy się z istniejącymi raportami o ryzyku. Dla tych, którzy chcą najpierw poznać, co członek zarządu powinien ogólnie wiedzieć o ryzyku związanym z AI, zanim polityka zostanie ustalona, jest strona o tym, co członek zarządu powinien wiedzieć o ryzyku AI przed ustaleniem polityki.
Polityka, która łączy się z istniejącą strukturą, odpowiada na pytanie, kto decyduje o czym i jak nadzorowane jest ryzyko. Nie odpowiada na pytanie, jaka część faktycznej pracy może zostać przejęta przez AI, a jaka nie. To pytanie znajduje się na poziomie zadań, i o tym właśnie jest skan pracy FTE TO AI: wylicza on dla każdego zadania, jaka część pracy może zostać przejęta, tak aby polityka i praktyka opierały się na tym samym obrazie organizacji.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.