Zarząd otrzymuje okresowe raporty: finansowe, operacyjne, dotyczące ryzyk, które mają już swoje miejsce w istniejącej strukturze. Raport o AI, który stoi obok tego wszystkiego osobno, z własnym rytmem i własnym formatem, w praktyce zostaje pominięty. Nie dlatego, że temat jest nieważny, lecz dlatego, że drugi proces obok już istniejącego procesu wymaga osobnego wysiłku, który konkuruje ze wszystkim, co już znajduje się na agendzie. To, co faktycznie zostaje przeczytane, to to, co mieści się w istniejącej linii raportowania: ten sam rytm, ta sama długość, to samo miejsce na posiedzeniu.
Raport dla zarządu na temat AI nie potrzebuje pełnej inwentaryzacji technicznej. Zarząd potrzebuje odpowiedzi na ograniczoną liczbę pytań: jakie zastosowania AI istnieją, do jakiej kategorii ryzyka należą, co zmieniło się od poprzedniego raportu i czy miały miejsce eskalacje. Ten ostatni punkt to miejsce, w którym większość raportów pozostaje pusta — nie dlatego, że nic się nie dzieje, lecz dlatego, że nie istnieje droga, którą sygnał mógłby dotrzeć do zarządu. Bez działających ścieżek eskalacji, które działają raport jest migawką bez historii: pokazuje, co jest teraz, a nie to, co po drodze poszło nie tak lub prawie poszło nie tak.
Raport opiera się na tym, co już zostało ustalone. Lista decyzji nadzorczych z informacją, kto co zatwierdził, jest źródłem, z którego strona zostaje podsumowana, a nie osobnym dokumentem istniejącym obok niej. To, co znajduje się na stronie, jest zagęszczeniem decyzji, które już zostały podjęte; nie jest to nowa ocena, którą zarząd musi sam wykonać na podstawie surowych danych.
Organizacje mają już strukturę ryzyka: komitet audytu, komitet ryzyka, stałe miejsce w agendzie zarządu na ryzyka operacyjne. Raport o AI, który wprowadza własny komitet, własny kalendarz lub własny szablon, wymaga od wszystkich, którzy już w tym uczestniczą, zrobienia czegoś dodatkowego ponad to, co już robią. Ta dodatkowa praca zostaje odłożona, gdy tylko agenda się zapełnia, a agenda zawsze się zapełnia. Skutkiem jest to, że raport po kilku razach zanika, nie dlatego, że ktoś zdecydował, iż ryzyko AI nie jest ważne, lecz dlatego, że nikt nie zdecydował, że jest ważniejsze niż to, co już istniało.
Rozwiązanie nie polega na większym nacisku na temat, lecz na mniejszym tarciu przy jego włączaniu. Strona, która pojawia się w tym samym kwartalnym rytmie co inne raporty o ryzyku, która używa tego samego układu i znajduje się w tym samym miejscu w pakiecie, zostaje przeczytana, ponieważ jej czytanie nie wymaga osobnej czynności. To, co nie działa, to osobny cykl zarządzania AI, prowadzony niezależnie od istniejącego cyklu — taki cykl zostaje zignorowany, gdy tylko nadejdzie pierwszy pracowity miesiąc.
Raport na jednej stronie może być krótki tylko wtedy, gdy leżąca u jego podstaw struktura jest kompletna. Zakłada ona przegląd ról i odpowiedzialności w stylu co powinien wiedzieć członek zarządu o ryzyku AI, tak aby strona nie musiała za każdym razem od nowa wyjaśniać, kto za co odpowiada. Zakłada ona inwentaryzację, która zawiera nie tylko to, co zatwierdził dział IT, lecz także to, co poszczególne działy zaczęły same wykorzystywać, nie zgłaszając tego — cień AI, który staje się widoczny dopiero wtedy, gdy ludzie mogą bez konsekwencji powiedzieć, czego faktycznie używają. Raport pokazujący jedynie zatwierdzoną listę raportuje fikcję.
Strona zakłada również, że coś dzieje się pomiędzy raportami: monitorowanie, które coś przynosi, zamiast dziennika, do którego nikt nie zagląda. Bez tej pośredniej warstwy kwartalna strona jest niespodzianką przy każdym wydaniu, zamiast podsumowania czegoś, co było śledzone przez cały kwartał. Zakłada też, że leżąca u podstaw polityka nie jest dokumentacją dla pozoru, lecz polityką AI, która jest czytana przez ludzi, którzy codziennie korzystają z systemów — ponieważ raport o przestrzeganiu polityki, której nikt nie zna, raportuje głównie o sobie samym.
Strona dla zarządu jest zagęszczeniem; uzasadnienie znajduje się warstwę głębiej, u osoby, która zna systemy. To, co wnosi do tego CIO, opisano na stronie co powinien wiedzieć CIO o ryzyku AI, a te dwie warstwy — przegląd zarządczy i wiedza operacyjna — muszą do siebie pasować, zanim strona wymagająca kwadransa lektury faktycznie powie coś o tym, co dzieje się w organizacji.
Ta struktura jest budowana, a nie oferowana jako gotowy produkt. Kto chce skanu, który dostarcza tę inwentaryzację, klasyfikację i strukturę raportowania, trafia na listę oczekujących; jest to w budowie i nie jest sprzedawane jako gotowe narzędzie, zanim faktycznie takie się stanie.
Gdy już jasne jest, jakie AI działa i do jakiej kategorii ryzyka należy, pojawia się inne pytanie, które nie dotyczy ryzyka, lecz organizacji samej pracy: jaka część zadań wykonywanych obecnie nadaje się do przejęcia przez AI. To osobna kalkulacja, zbudowana nie na ryzyku, lecz na zadaniach. Skan pracy FTE TO AI oblicza dla każdego zadania, jaka część pracy kwalifikuje się do przejęcia, jako kolejny krok, gdy już jasne jest, co AI w organizacji już funkcjonuje.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.