Pytanie, czy zastosowanie AI w Państwa organizacji kwalifikuje się jako wysokie ryzyko, nie jest pytaniem, na które odpowiada się jednorazowo, po czym zaznacza się je jako zakończone. Jest to wynik kilku czynników, które łącznie determinują, jak duże znaczenie ma dane zastosowanie. Jeśli zmieni się jeden z tych czynników, może zmienić się także klasyfikacja. To sprawia, że klasyfikacja ryzyka jest w mniejszym stopniu kwestią wypełnienia formularza, a w większym kwestią stałego monitorowania.
Niniejsza strona opisuje mechanizm stojący za tą klasyfikacją: od czego ona zależy i co się dzieje, gdy sytuacja się zmienia. Aktualne definicje prawne i progi znajdują się gdzie indziej; tutaj chodzi o to, co Państwo powinni być w stanie zaobserwować i wykazać w swojej organizacji.
Kilka czynników odgrywa strukturalną rolę w ocenie, czy dane zastosowanie ma istotne znaczenie.
Pierwszym jest dziedzina, w której zastosowanie jest wdrażane. Niektóre dziedziny — jak decyzje dotyczące ludzi, ich szans lub praw — mają większe znaczenie niż zastosowania, które są wyłącznie wewnętrzne i wspierające. To, co dokładnie robi dane zastosowanie w ramach tej dziedziny, ma tu znaczenie: system, który udziela porad, waży inaczej niż system, który podejmuje decyzje automatycznie.
Drugim czynnikiem jest rola, jaką odgrywa Państwa organizacja w odniesieniu do systemu. Czy budują go Państwo samodzielnie, kupują, czy korzystają z usługi, w której AI jest zintegrowana, bez tego, że została zakupiona jako taka? Rola, którą Państwo odgrywają — dostawca czy użytkownik — częściowo determinuje, jakie obowiązki spadają na Państwa, a jaka część odpowiedzialności pozostaje u dostawcy.
Trzecim czynnikiem jest to, co się dzieje z modelem po pierwszym wdrożeniu. System, który jest używany bez zmian, tak jak został dostarczony, to inna sytuacja niż system, który Państwo dostrajają, przekonfigurowują lub uczą na własnych danych. Co się zmienia, gdy samodzielnie dostosowują Państwo model jest więc pytaniem, na które trzeba odpowiedzieć osobno — dostosowanie może spowodować przejście systemu do innej kategorii.
Czwartym czynnikiem jest zakres: ile osób jest objętych działaniem, z jaką częstotliwością i jak odwracalny jest błąd. Zastosowanie, które jest używane sporadycznie przez mały zespół, waży inaczej niż zastosowanie, które codziennie wpływa na decyzje dotyczące tysięcy klientów.
Te czynniki nie są statyczne. Zastosowanie, które dziś kwalifikuje się jako ograniczone ryzyko, może już nie być takim jutro — nie dlatego, że zmieniły się przepisy, ale dlatego, że zmieniło się samo zastosowanie. Pilotaż, który skaluje się na całą organizację, wewnętrzne narzędzie, które zaczyna wpływać na proces obsługi klienta, model, który jest douczany na nowych danych: każdy z tych kroków może spowodować zmianę klasyfikacji.
Oznacza to, że klasyfikacja nie jest jednorazowym działaniem. Jest to pytanie, które trzeba stawiać na nowo każdy raz, gdy zmienia się coś w tym, co system robi, kogo dotyczy lub kto go zarządza. Struktura zarządzania (governance), która nie śledzi tego procesu, zostaje w tyle za praktyką.
Nie każde zastosowanie AI musi przechodzić przez cały ten proces. Część tego, co funkcjonuje w organizacji, znajduje się poza zakresem klasyfikacji ryzyka — na przykład ponieważ nie dotyczy decyzji dotyczących ludzi lub ma wyłącznie funkcję wspierającą, a nie decydującą. Gdzie precyzyjnie przebiega ta granica i jakie zastosowania znajdują się poza zakresem zależy od tych samych czynników, które opisano powyżej: dziedziny, roli, dostosowania i zakresu. Nie jest to więc odrębna lista, lecz druga strona tej samej oceny.
Sama klasyfikacja niczego nie zmienia. Determinuje ona jedynie, jakie kolejne kroki są aktualne i z jaką pilnością. Niektóre działania są potrzebne od razu, inne można zaplanować — a co musi się stać teraz, a co można zaplanować zależy z kolei od tego, jak duże znaczenie ma dane zastosowanie i ile osób ono dotyczy.
Aby te kroki były widoczne i możliwe do odtworzenia, decyzje dotyczące klasyfikacji i działań następczych muszą być gdzieś zapisane — nie jako pojedyncze notatki, ale jako część listy decyzji nadzorczych, która pokazuje, kto co zdecydował i na podstawie jakich informacji. Bez takiej dokumentacji klasyfikacja jest jedynie zdjęciem chwili, którego nikt nie jest w stanie później zrekonstruować.
Na to pytanie klasyfikacyjne można dobrze odpowiedzieć tylko wtedy, gdy wiadomo, co faktycznie działa. Lista narzędzi zatwierdzonych przez IT nie jest do tego wystarczająca: duża część użycia powstaje poza tą listą, w zespołach, które zaczęły korzystać z narzędzia, nie zgłaszając tego nigdzie. Kto chce zmapować to użycie, musi o nie zapytać — i zrobić to bez towarzyszących konsekwencji, w przeciwnym razie odpowiedź nie nadejdzie.
Gdy już wiadomo, jakie zastosowania istnieją i jak duże mają znaczenie, powstaje pytanie następcze, które nie dotyczy już ryzyka, lecz pracy: jaką część zadania może przejąć system AI, a jaka część pozostaje pracą ludzką. Na to pytanie odpowiada skan pracy FTE TO AI, który dla każdego zadania obliczy, jaką część pracy można przejąć — inne podejście niż klasyfikacja ryzyka, ale takie, które opiera się na tej samej inwentaryzacji.
Niniejsza strona opisuje mechanizm stojący za klasyfikacją. Sam Responsible AI Scan jest w trakcie opracowywania; kto chce skorzystać z jego wyników, gdy będą dostępne, może zapisać się na listę oczekujących.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.