Kennisbank

Monitoring, który działa, to monitoring, który wpisuje się w to, co już istnieje

Wiele form monitorowania wykorzystania AI powstaje jako odrębna inicjatywa: nowy formularz, nowe spotkanie, nowy dashboard. Wygląda kompletnie w momencie uruchomienia. Rok później jest już zwietrzałe. Nie dlatego, że treść była słaba, ale dlatego, że stało obok istniejącej struktury, a nie wewnątrz niej.

Pytanie zatem nie brzmi tylko, co należy monitorować, ale gdzie ten monitoring ma swoje miejsce. Proces, którego nikt nie musi pamiętać, ponieważ jest już częścią rutyny, która i tak funkcjonuje, przetrwa. Proces, który wymaga dodatkowego kroku od ludzi, którzy już są przeciążeni, z czasem zostanie pominięty. To nie jest niechęć. To przewidywalny skutek tego, jak organizacje gospodarują czasem i uwagą.

Dlaczego drugi proces przegrywa

Każda organizacja ma już swój rytm: raportowanie kwartalne, komitety ryzyka, cykle audytowe, spotkania zespołów. Jeśli monitorowanie wykorzystania AI wprowadza nowy rytm, konkuruje z tym, co już istnieje — i zwykle przegrywa. Nie ma dla niego punktu w agendzie, nie ma właściciela, który postrzega je jako kluczowy element swojej funkcji, nie ma momentu, w którym samo się nasuwa.

Jeśli natomiast monitorowanie staje się pytaniem, które już jest zadawane — w istniejącym komitecie ryzyka, w istniejącej kontroli wewnętrznej, w istniejącej linii raportowania do zarządu — to nikt nie musi pamiętać niczego nowego. Pytanie „jakie zastosowania AI zostały dodane lub zmienione” staje się wtedy tak naturalne, jak „czy są nowi dostawcy” czy „czy wystąpiły incydenty”. Jak dokładnie wygląda to wpisanie się w istniejącą strukturę, zależy od tego, jak u Państwa jest już zorganizowane wpisanie się w istniejącą strukturę ryzyka — ta struktura jest punktem zaczepienia, a nie czymś obok.

Co powinno się znaleźć w dokumencie

Działający dokument monitoringowy jest wystarczająco krótki, aby był używany wielokrotnie, i wystarczająco konkretny, aby zgłosić coś, gdy coś się zmienia. Zawiera przynajmniej:

• Aktualną listę zastosowań AI, w tym te zgłoszone przez IT oraz te używane poza tym kanałem. Ta druga kategoria jest często największa i znika z każdego dokumentu, który opiera się wyłącznie na formalnej akceptacji.
• Klasyfikację ryzyka dla każdego zastosowania, aby nie każda zmiana wymagała tej samej uwagi. Generator tekstu do wewnętrznych notatek wymaga czegoś innego niż model, który współdecyduje o akceptacji klientów.
• Właściciela dla każdego zastosowania, imię i nazwisko, nie dział. Bez właściciela zmiana nigdzie nie zostanie zauważona.
• Stały interwał przeglądu listy, powiązany z momentem, który już istnieje — nie nowy moment, który trzeba osobno zaplanować.
• Miejsce, w którym odstępstwa staną się widoczne, aby nowe zastosowanie lub zmieniony sposób wykorzystania nie zostały zauważone dopiero po miesiącach.

Wartość dokumentu nie polega na kompletności pierwszego dnia. Ta jest rzadko osiągalna, a i niepotrzebna. Wartość leży w tym, że dokument jest aktualizowany, i że aktualizowanie nie wymaga odrębnego wysiłku poza tym, co już się dzieje.

Dlaczego rozliczanie zatrzymuje przepływ informacji

Monitoring zależy od tego, co ludzie są skłonni zgłaszać. Gdy zgłaszanie zaczyna oznaczać ryzyko bycia z czegoś rozliczonym, informacja się zatrzymuje. Osoba, która wykonuje zadanie z pomocą narzędzia AI szybciej niż oczekiwano, nie zgłosi tego, jeśli konsekwencją jest wycofanie budżetu lub trudna rozmowa. Lista pozostaje wtedy formalnie kompletna, a merytorycznie pusta — dokładnie ten problem, który utrwala tzw. shadow AI.

Konsekwencją jest to, że monitoring działa tylko wtedy, gdy pytania są zadawane bez rozliczania. Nie dlatego, że wykorzystanie nie powinno mieć żadnych konsekwencji, ale dlatego, że pierwszy krok — wiedzieć, co się dzieje — wymaga innej postawy niż drugi krok — ocenić, czy jest to właściwe. Kto pozwoli, aby te dwa kroki się połączyły, nie otrzyma szczerej odpowiedzi na żaden z nich.

To rozróżnienie jest też miejscem, w którym governance i odpowiedzialność się stykają. Widoczność dla zarządu nie musi oznaczać, że każde pojedyncze zastosowanie trafia na stół; chodzi o poziom raportowania, który umożliwia wydanie oceny bez zagłębiania się w szczegóły, jak opisano przy raportowaniu do zarządu, które mieści się na jednej stronie. To, co znajduje się poniżej — zapis decyzji dotyczących konkretnych zastosowań — ma raczej swoje miejsce w rejestrze decyzji nadzorczych niż w dokumencie, który trafia na wyższy poziom.

Czy dokument polityki sam w sobie jest czytany, to podobne pytanie: tekst, do którego nikt nie zagląda, daje tak samo mało oparcia, jak proces monitoringowy, którego nikt nie wypełnia. Zob. polityka AI, którą się czyta. A dla tych, którzy zastanawiają się, jaka część tej odpowiedzialności leży po stronie zarządu, a jaka po stronie governance IT, istnieje rozróżnienie między tym, co powinien wiedzieć o ryzyku AI członek zarządu i tym, co powinien wiedzieć o ryzyku AI CIO — obie kwestie wymagają innego poziomu szczegółowości w ramach tego samego procesu monitorowania.

Od wiedzy, co funkcjonuje, do wiedzy, co to daje

Struktura monitoringu, która wpisuje się w to, co już istnieje, w pewnym momencie daje wiarygodny obraz tego, jakie zastosowania AI są w użyciu i do czego. Ta inwentaryzacja to inne pytanie niż to, jaka część leżącej pod nią pracy jest faktycznie wykonywana przez AI i z jakim efektem. Kto chce to obliczyć na poziomie zadań — jaka część funkcji lub procesu może zostać przekazana AI, na podstawie zadań tak, jak są obecnie wykonywane — znajdzie to w skanie pracy FTE TO AI.