Dostawcy usług finansowych znają zarządzanie ryzykiem jako swój fach. Istnieją już ramy dla ryzyka kredytowego, ryzyka operacyjnego, ryzyka modelowego i compliance. Właśnie dlatego AI-governance wygląda tu inaczej niż w sektorach zaczynających od czystej karty: pytanie nie brzmi, czy istnieje struktura ryzyka, lecz czy AI została w niej już uwzględniona, czy wyrosła obok niej. Modele do scoringu kredytowego, wykrywania oszustw czy segmentacji klientów istnieją często dłużej, niż przyklejono do nich etykietę „AI”. Pytanie governance nie brzmi więc: budujemy coś nowego, ale: czy istniejący nadzór wciąż pasuje do tego, co obecnie działa.
Relacja między tym, co jest znane komisji ryzyka modelowego lub działowi compliance, a tym, co jest faktycznie w użyciu, różni się znacznie między instytucjami. U jednej praktycznie wszystko przeszło kiedyś przez proces walidacji, u innej oprócz zatwierdzonych modeli działają też narzędzia, które poszczególni pracownicy lub zespoły zaczęli używać samodzielnie, bez poddania ich ocenie. Jaka relacja obowiązuje w konkretnej organizacji, nie da się wskazać bez przeprowadzenia analizy.
Instytucja z dojrzałymi ramami ryzyka modelowego zakłada czasem, że AI jest tym już objęta. Zarządzanie ryzykiem modelowym zbudowano na modelach statystycznych o ustalonych danych wejściowych i wyjściowych. Model językowy, który podsumowuje pytania klientów, narzędzie generujące wersję roboczą listu z porady, czy system przeszukujący umowy, nie zawsze wpisuje się w tę definicję i przez to przemyka przez istniejące oczko sieci. Pytanie governance nie dotyczy więc tylko tego, jakie modele istnieją, ale też które narzędzia są rozpoznawane jako AI, a które nie.
Oprócz tego decydująca jest rola AI w procesie. Narzędzie wspierające doradcę w tworzeniu porady to co innego niż narzędzie, które samo generuje poradę lub wpływa na decyzję o akceptacji. Ta sama technologia może w jednym zastosowaniu być pomocą, a w innym ogniwem bezpośrednio wpływającym na decyzję wobec klienta. Klasyfikacja według roli i poziomu ryzyka jest więc niezbędna, zanim instytucja może określić, jaki poziom nadzoru odpowiada danemu zastosowaniu.
Lista IT zatwierdzonych aplikacji nie jest tym, co faktycznie jest używane. Pracownicy usług finansowych pracują z dokumentacją klientów, danymi transakcyjnymi i poufnymi informacjami doradczymi, i właśnie ta grupa nie jest odporna na wklejanie tekstu w darmowe okno czatu, by szybciej otrzymać podsumowanie lub wersję roboczą odpowiedzi. Jak to ryzyko się konkretnie objawia i co da się z nim zrobić, opisano w podejściu przeciwdziałającym trafianiu danych firmowych do darmowego okna czatu.
Powodem, dla którego to użycie pozostaje niewidoczne, rzadko jest niechęć. Częściej wynika to z niejasności co do tego, co jest dozwolone, w połączeniu z presją czasu. Kto chce wiedzieć, co jest faktycznie używane, musi zapytać o to bezpośrednio, a to działa tylko wtedy, gdy pracownicy nie obawiają się sankcji za odpowiedź. Podejście uwzględniające ten aspekt opisano na stronie o ujawnianiu narzędzi, których nikt nie zatwierdził.
Co dodatkowo wyróżnia usługi finansowe, to zwyczaj składania sprawozdań. Menedżer ryzyka lub dyrektor prawny w tym sektorze jest przyzwyczajony do tego, że musi móc wykazać organowi nadzoru lub radzie nadzorczej, jak oceniono ryzyko i jakie środki z tego wynikają. Dla AI oznacza to, że inwentaryzacja nie może stać osobno od istniejących ram ryzyka; musi się w nie wpisywać, z tym samym podziałem na klasy ryzyka i tymi samymi liniami raportowania, które obowiązują już dla innych kategorii ryzyka. Zestaw governance ułożony obok istniejących ram, a nie w nich zawarty, przy następnej rundzie audytu przynosi dodatkową pracę, a nie oparcie.
Treść przepisów dotyczących AI zmienia się i jest aktualizowana gdzie indziej. Ta strona opisuje mechanizm: inwentaryzację tego, co działa, klasyfikację według roli i ryzyka oraz wbudowanie wyniku w istniejące struktury governance, tak by instytucja przy pytaniu ze strony organu nadzoru lub zarządu miała odpowiedź zgodną z tym, jak ryzyko jest już zarządzane.
Napięcie między istniejącym nadzorem a nowym użyciem AI nie jest unikalne dla usług finansowych. Podobne wzorce widać w sposobie, w jaki organizuje się governance wokół AI w sektorze energetycznym, w tym, jak budownictwo radzi sobie z zastosowaniami AI na budowie i w procesie projektowania, oraz w tym, jak sektor nieruchomości patrzy na AI w wycenie i zarządzaniu. To, co się różni, to nie mechanizm, lecz miejsce, w którym ryzyko się lokuje: w banku czy firmie ubezpieczeniowej jest to często decyzja, która bezpośrednio dotyka klienta.
Inwentaryzacja użycia AI i związana z nią klasyfikacja ryzyka pokazują, co działa i pod jaki nadzór powinno to podlegać. Nie pokazują, co to użycie oznacza dla podziału samej pracy: która część zadania, na przykład tworzenie raportu doradczego, przegląd dokumentacji czy podsumowanie rozmowy z klientem, kwalifikuje się do przejęcia przez AI, a która część pozostaje przy pracowniku. Ta kwestia wykracza poza zakres skanu governance i odpowiada na nią skan pracy FTE TO AI, który dla każdego zadania obliczana, jaka część pracy może zostać przekazana AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.