Wiele inicjatyw governance zaczyna się od nowego procesu: formularza, kroku zatwierdzania, komitetu, który musi ocenić wykorzystanie AI przed jego rozpoczęciem. Zakłada się, że pracownicy będą stosować się do tego procesu, bo istnieje. W praktyce dzieje się to rzadko. Kto może wykonać zadanie szybciej za pomocą narzędzia, które sam znalazł, nie pyta o zgodę komitetu, którego agendy nie zna i czasu realizacji nie może oszacować. Używa narzędzia i milczy o tym.
To nie jest niechęć. To racjonalna reakcja na proces, który stoi obok pracy, a nie w niej. Drugi proces wymaga czasu, wiąże się z niepewnością co do wyniku i nie daje widocznej korzyści temu, kto go stosuje. Wtedy szansa, że zostanie zignorowany, jest większa niż szansa, że zostanie przestrzegany.
Skutkiem nie jest to, że AI nie jest używane. Skutkiem jest to, że AI jest używane poza polem widzenia osoby odpowiedzialnej. Lista IT z zatwierdzonymi narzędziami pozostaje wtedy opisem tego, co kiedyś zostało zgłoszone, a nie tego, co jest faktycznie używane. Między tymi dwiema listami może istnieć znaczna różnica, a nikt, kto patrzy tylko na zatwierdzoną listę, nie może zobaczyć tej różnicy.
Dotyczy to bezpośrednio pytania kto jest odpowiedzialny, gdy zastosowanie AI popełnia błąd. Osoba zarządzająca, która chce móc przypisać odpowiedzialność, musi wiedzieć, jaki system wpłynął na decyzję. Jeśli ten system nigdy nie został zarejestrowany, bo procedura rejestracji została pominięta, ta podstawa nie jest dostępna w momencie, gdy jest potrzebna.
Metoda, którą stosujemy, nie zaczyna się od procesu zatwierdzania, lecz od inwentaryzacji, która pyta, a nie kontroluje. Różnica jest niewielka w formie i duża w skutkach. Pracownik, którego pytają, co używa i do czego, bez konsekwencji dla niego samego, nie ma powodu, by zataić odpowiedź. Pracownik, który wie, że szczera odpowiedź może prowadzić do zakazu lub korekty, ma wszelkie powody, by odpowiedź dostosować.
To słaby punkt tej metody i wolimy go nazwać, niż przemilczeć. Inwentaryzacja bez rozliczania daje uczciwszy obraz niż audyt z konsekwencjami, ale nie daje gwarancji, że każde użycie zostanie zgłoszone. Kto używa narzędzia, o którym podejrzewa, że jest problematyczne, może wciąż milczeć, nawet bez bezpośredniej groźby. Inwentaryzacja obniża próg zgłoszenia; nie usuwa go całkowicie. Co metoda faktycznie daje, to większą szansę na pełny obraz niż proces, który już z wyprzedzeniem sugeruje karę.
Drugi proces jest ignorowany. Uzupełnienie istniejącego procesu ma większą szansę na przetrwanie. Dlatego klasyfikujemy wykorzystanie AI według roli i poziomu ryzyka w ramach struktury ryzyka, którą organizacja już stosuje, a nie stawiamy obok niej nową strukturę. To, co zostaje sklasyfikowane jako wysokie ryzyko, trafia w to samo miejsce, co inne wysokie ryzyka w istniejącym rejestrze ryzyk. Oznacza to również, że pytanie jak często należy dokonywać ponownej klasyfikacji nie wymaga nowego kalendarza, lecz łączy się z istniejącym cyklem oceny ryzyka.
To połączenie nie rozwiązuje wszystkiego. Rejestr AI, który został utworzony jednorazowo, starzeje się, gdy tylko ktoś zacznie używać nowego narzędzia bez zgłoszenia tego. Dlatego pytanie jak utrzymać rejestr AI aktualnym jest równie ważne jak pierwsza inwentaryzacja. Rejestr, który nie jest utrzymywany, po pewnym czasie staje się na nowo opisem przeszłości.
Nadzór nad wykorzystaniem AI jest często przedstawiany jako kwestia techniczna: system, który monitoruje, panel, który zgłasza. Ale nadzór, który działa, zaczyna się od ludzi, którzy rozumieją, dlaczego zgłaszanie ma sens i którzy wiedzą, co się dzieje z ich odpowiedzią. To pytanie o zachowanie, nie tylko o technikę, i wiąże się z tym, co nadzór ludzki w praktyce oznacza na stanowisku pracy, oraz z tym, co kompetencje AI pracowników konkretnie oznaczają. Bez tego zrozumienia każdy proces, niezależnie od tego, jak dobrze zaprojektowany, pozostaje formularzem, który ludzie wypełniają, bo muszą, a nie bo coś to daje.
To podejście nie daje pełnej pewności, że wszystkie zastosowania AI zostaną znalezione. Obniża próg zgłaszania i łączy się z istniejącymi strukturami, ale organizacja, która przeprowadza inwentaryzację po raz pierwszy, musi liczyć się z tym, że część użycia pozostanie niewidoczna, choć po dokładnej inwentaryzacji ta część jest zwykle mniejsza niż przed nią.
Inwentaryzacja wykorzystania AI pokazuje, co działa i kto to używa, ale nie mówi jeszcze, jaka część leżącej pod tym pracy może faktycznie zostać przejęta przez AI. To pytanie idzie o krok dalej i odpowiada na nie skan pracy FTE TO AI, który dla każdego zadania obliczą, jaką część pracy można przejąć. Kto już wie, jakie narzędzia są używane w organizacji, może za pomocą tego skanu zbadać, co to wykorzystanie oznacza dla organizacji samej pracy.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.