Pytanie, czy zastosowanie AI kwalifikuje się jako wysokiego ryzyka, brzmi jak techniczna kwalifikacja. W praktyce jest to klasyfikacja, która zależy od kilku konkretnych czynników, a ta klasyfikacja z kolei determinuje, ile nadzoru, dokumentacji i możliwości wykazania oczekuje się od Państwa. Aktualne definicje prawne i progi nie znajdują się na tej stronie; te można znaleźć gdzie indziej. Tutaj wyjaśniamy, od czego zależy klasyfikacja i co zmienia się w Państwa organizacji, gdy ta klasyfikacja się zmienia.
Nie istnieje jedna cecha, która sprawia, że zastosowanie staje się wysokiego ryzyka. To kombinacja czynników, które razem tworzą obraz: dziedzina, w której zastosowanie jest wykorzystywane, stopień, w jakim decyzja ma bezpośrednie konsekwencje dla osoby, oraz pytanie, czy istnieje człowiek, który może faktycznie ocenić i w razie potrzeby poprawić rekomendację lub wynik AI, zanim ten wywoła skutek. Zastosowanie, które tylko podsumowuje tekst, znajduje się na ogół w innym miejscu tej klasyfikacji niż zastosowanie, które ma wpływ na decyzję dotyczącą konkretnej osoby. Liczy się również kontekst, w którym zastosowanie jest używane: ta sama technologia bazowa może w jednej dziedzinie być uznana za niskiego ryzyka, a w innej za wysokiego ryzyka, w zależności od tego, co dzieje się z wynikiem.
Jest to jeden z powodów, dla których lista zatwierdzonego oprogramowania nie jest wystarczająca. Klasyfikacja nie zależy od etykiety na pakiecie, lecz od tego, jak jest ono faktycznie używane i jakie miejsce zajmuje w procesie decyzyjnym.
Jeśli zastosowanie zostanie ocenione jako wyższego ryzyka, zmienia się coś w tym, czego oczekuje się od organizacji: więcej dokumentacji na temat tego, jak zastosowanie działa i jak zostało przetestowane, wyraźniejszy mechanizm nadzoru nad wynikami oraz sposób, aby móc później wykazać, kto na co zwracał uwagę. Nie jest to działanie jednorazowe, lecz obowiązek ciągły: dokumentacja i nadzór muszą być aktualne przez cały okres użytkowania zastosowania.
Klasyfikacja nie jest też statyczna. Zastosowanie, które dziś uznawane jest za ograniczonego ryzyka, może jutro być wykorzystywane inaczej — w innej dziedzinie, z większym wpływem na osoby, lub z mniejszą ingerencją człowieka niż wcześniej. Kto ustala klasyfikację jednorazowo i nigdy jej nie weryfikuje, ryzykuje, że klasyfikacja nie będzie już odpowiadać faktycznemu użyciu. Dotyczy to również zastosowań, które są modyfikowane po ich zakupie; co dokładnie się zmienia, gdy Państwo samodzielnie modyfikują model, zależy od charakteru tej modyfikacji, jak opisano na stronie o modyfikacjach modelu.
Klasyfikacja zastosowania ma sens tylko wtedy, gdy jest zastosowana do tego, co faktycznie jest używane. Duża część użycia w organizacji odbywa się poza formalną inwentaryzacją: zespoły korzystające z modelu językowego do napisania wersji roboczej e-maila, analityk używający zewnętrznego modelu do pierwszej wersji raportu, dział, który zakupił narzędzie bez jego zgłoszenia. Takie użycie nie wynika ze złej woli. Powstaje, ponieważ formalna droga jest wolniejsza niż potrzeba, albo ponieważ nikt nie wiedział, że trzeba tę drogę przejść.
Konsekwencją jest to, że lista IT rzadko daje pełny obraz. Kto chce wiedzieć, co rzeczywiście jest potrzebne w zakresie klasyfikacji ryzyka, musi samodzielnie zmapować użycie — a to wymaga zadawania pytań osobom wykonującym pracę, bez konsekwencji w postaci rozliczenia. Kto już podczas pierwszej rozmowy czuje, że szczera odpowiedź będzie miała konsekwencje, nie odpowiada szczerze. To czyni inwentaryzację bezużyteczną, jeszcze przed jej zakończeniem.
Nie każde zastosowanie AI wchodzi w zakres, w którym klasyfikacja ryzyka jest istotna. Niektóre zastosowania ze względu na swój charakter lub cel wykraczają poza zakres regulacji, i rozsądnie jest wcześnie dokonać tego rozróżnienia, zanim poświęci się czas na klasyfikację, która nie jest potrzebna; które zastosowania to dotyczy, opisano na stronie o zastosowaniach wykraczających poza zakres obowiązków. Także rola, jaką odgrywa Państwa organizacja — jako dostawca systemu lub jako jego użytkownik — wpływa na to, jakie obowiązki są związane z klasyfikacją ryzyka, a ta rola nie jest zawsze z góry jasna; co w tej sprawie ma decydujące znaczenie, można przeczytać na stronie o rozróżnieniu między dostawcą a użytkownikiem. Ta sama rola może zresztą się zmienić, gdy Państwo modyfikują system lub oferują go pod własną nazwą, co szerzej wyjaśniono na stronie o okolicznościach, w których zmienia się Państwa rola.
Klasyfikacja według poziomu ryzyka praktycznie zawsze prowadzi do kolejnego pytania: co z tego jest pilne, a co można jeszcze zaplanować. Rozróżnienie to nie jest takie samo dla każdej organizacji i zależy od tego, jakie zastosowania są już w produkcji, a jakie wciąż w fazie rozwoju. Przegląd tego, co zazwyczaj wymaga uwagi najpierw, a co może nastąpić później, znajduje się na stronie o tym, co jest potrzebne już teraz, a co można zaplanować.
Gdy już wiadomo, jakie zastosowania w Państwa organizacji uznaje się za wysokiego ryzyka, naturalnie pojawia się kolejne pytanie: jaka część pracy bazowej jest faktycznie wykonywana przez AI, a jaka przez ludzi, którzy kontrolują lub uzupełniają wynik. To pytanie wykracza poza zakres tego skanu, ale odpowiedź na nie daje skan pracy FTE TO AI, który dla każdego zadania obliczają, jaką część pracy można w uzasadniony sposób przekazać AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.