Jako członek zarządu nie sprawdzacie sami, jaki model AI produkuje jakie wyniki. Stawiacie inne pytanie: jeśli coś pójdzie nie tak, czy mogę wykazać, że wiedzieliśmy o tym, że przyjrzeliśmy się temu i że coś z tym zrobiliśmy. To pytanie jest zarządcze, nie techniczne. A odpowiedzią, której nie akceptujecie, jest lista zatwierdzonych aplikacji od IT. Nie dlatego, że ta lista jest nieprawidłowa, ale dlatego, że jest niekompletna. Opisuje to, co zostało zgłoszone, nie to, co jest faktycznie używane.
Ryzyko dla członka zarządu nie polega na tym, że pracownik używa AI językowego do napisania koncepcji. Ryzyko polega na tym, że nie możecie na ten temat nic powiedzieć w momencie, kiedy to ma znaczenie: przy incydencie, pytaniu ze strony organu nadzoru, kwestii odpowiedzialności. Wtedy liczy się tylko możliwość udowodnienia. Nie to, czy mogliście to wtedy wiedzieć, ale czy możecie wykazać, że istniała struktura pozwalająca to wiedzieć. Członek zarządu, który mówi „nie mieliśmy na to wglądu”, znajduje się w innej sytuacji niż ten, który mówi „to należało do kategorii, którą świadomie traktowaliśmy w ten sposób”. Różnica między tymi dwoma zdaniami jest tym, co daje ten skan.
Celem nie jest zakazanie lub wstrzymanie każdego użycia AI. Większość tego, co pracownicy samodzielnie zaczęli wykorzystywać, jest funkcjonalna i przynosi coś wartościowego. Zysk dla członka zarządu nie polega na tym, żeby to spowalniać, ale na tym, żeby móc rozróżniać: to jest niskie ryzyko i może być kontynuowane, to dotyka danych osobowych lub podejmowania decyzji o ludziach i musi być traktowane inaczej, to jest niejasne i musi zostać sprawdzone. Bez tego rozróżnienia traktujecie wszystko tak samo — a to zwykle jest zbyt surowe dla większości i zbyt łagodne dla wyjątku, który ma znaczenie.
Cień-AI nie powstaje z niechęci. Powstaje, ponieważ pracownik miał problem i znalazł narzędzie, które go rozwiązało, bez procesu zgłoszenia, który byłby szybszy niż samo narzędzie. Te narzędzia nie pojawiają się na liście zakupów. Pojawiają się dopiero wtedy, kiedy ktoś o nie zapyta — i wtedy tylko, jeśli zadanie pytania nie prowadzi natychmiast do sankcji. Organizacja, która chce zobaczyć cień-AI, musi najpierw wyjaśnić, że zgłoszenie nie jest ryzykiem. To jest decyzja zarządcza, nie techniczna.
Responsible AI Scan zaczyna się od inwentaryzacji tego, co jest rzeczywiście używane, niezależnie od tego, co kiedyś zostało zatwierdzone. Następnie każde użycie jest klasyfikowane według roli — kto to używa, do czego — oraz według poziomu ryzyka. Ta klasyfikacja prowadzi do zestawu zasad zarządzania: sposobu postępowania z każdą kategorią, który wpisuje się w strukturę ryzyka, którą wasza organizacja już posiada, a nie do nowych ram obok niej. Treść samych przepisów — jakie konkretnie obowiązki obowiązują, w jakich terminach — jest omówiona gdzie indziej; to nie jest to, na czym skupia się ten skan. Ten skan skupia się na mechanizmie: wiedzieć, co działa, móc to sklasyfikować i móc wykazać, że to zostało zrobione.
Z klasyfikacją według roli i poziomu ryzyka możecie przedstawić organowi nadzoru, audytorowi lub radzie nadzorczej strukturę, a nie obietnicę. Możecie wskazać, które kategorie wymagają uwagi, a które nie. Możecie na ten temat raportować bez konieczności każdorazowego wyjaśniania, dlaczego czegoś nie wiedzieliście. To jest inna pozycja niż reaktywne wyjaśnianie, dlaczego jakieś narzędzie weszło do użytku niezauważone.
Pytanie o ryzyko AI wygląda inaczej w zależności od funkcji. To, co CIO powinien wiedzieć o ryzyku AI, dotyczy systemów i infrastruktury; to, co General Counsel powinien wiedzieć o ryzyku AI, dotyczy odpowiedzialności i dowodów; to, co risk manager powinien wiedzieć o ryzyku AI, dotyczy tego, jak ryzyko AI wpisuje się w istniejącą taksonomię ryzyka. Jako członek zarządu macie do czynienia ze wszystkimi trzema, ale nie jesteście osobą, która wykonuje klasyfikację — jesteście osobą, która musi móc zobaczyć, że zostało to zrobione.
Responsible AI Scan jest w trakcie budowy. Nie ma obecnie narzędzia, które można uruchomić i z którego natychmiast wypada raport. Kto jest tym zainteresowany, może wpisać się na listę oczekujących; nie jest oferowane nic, czego jeszcze nie ma, i nie są składane żadne obietnice co do tego, kiedy i z jakim wynikiem.
Zanim będziecie mogli ustalić, czy użycie AI jest ryzykowne, często przydatniejsze jest wiedzieć, co AI właściwie oznacza w samej pracy: jaką część zadania można przejąć, a jaką nie. To pytanie jest bliskie pytaniu o ryzyko, ale nie jest z nim identyczne — zadanie, które w dużej mierze może zostać przejęte przez AI, nie jest automatycznie ryzykowne, a zadanie, które tego nie może, nie jest automatycznie bezpieczne. Skan pracy FTE TO AI wylicza dla każdego zadania, jaka część pracy może zostać przejęta przez AI, dając w ten sposób podstawę, na której pytanie o ryzyko można postawić precyzyjniej niż na podstawie samej listy zatwierdzonych aplikacji.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.