General Counsel nie jest rozliczany za to, co idzie nie tak z AI. Jest rozliczany w momencie, gdy okazuje się, że organizacja nie mogła wykazać, że o tym wiedziała, albo gorzej, że mogła to wiedzieć i nic nie zrobiła. To jest różnica między incydentem a zaniedbaniem. Pierwsze przytrafia się organizacji. Drugie jest jej przypisywane.
Pytanie prawne — co jest dozwolone, co jest obowiązkowe, jaki termin obowiązuje — jest ważne, ale pojawia się po innym pytaniu. To pytanie brzmi: co właściwie używamy. Nie to, co zostało zakupione, nie to, co znajduje się na liście dostawców IT, ale to, co ludzie w praktyce pozwalają współdecydować, współpisać lub współoceniać. Bez odpowiedzi na to pytanie każda porada prawna jest poradą dotyczącą sytuacji, której pan/pani nie zna.
To sprawia, że pozycja General Counsel jest niewygodna. Oczekuje się, że pan/pani oceni ryzyka na podstawie inwentaryzacji, która zazwyczaj nie istnieje, albo która składa się z tego, co zostało zatwierdzone — co z definicji nie jest tym, co ktoś zaczął używać bez zgody.
"Nie potrzebujemy polityki AI, ponieważ nie mamy AI" nie jest odpowiedzią, która się utrzyma. To jest założenie, a założenia są dokładnie tym, czego organ nadzoru, sąd czy dziennikarz nie zaakceptuje później. Podobnie nie akceptuje pan/pani listy zatwierdzonych narzędzi jako pełnego obrazu: ta lista mówi coś o tym, co zostało zakupione, nic o tym, co jest używane.
Czego pan/pani faktycznie potrzebuje, to rozróżnienie między rodzajami użycia. Model językowy, który podsumowuje wewnętrzne notatki, niesie inne ryzyko niż system, który współdecyduje o decyzji rekrutacyjnej lub ocenie kredytowej. Bez klasyfikacji według roli i poziomu ryzyka każda dyskusja o ryzyku AI jest dyskusją ogólną, a ogólne dyskusje nie prowadzą do stanowisk, które można obronić.
Cień-AI — użycie, które powstaje poza wszelką zgodą — nie jest czymś, co dział IT wykryje za pomocą skanu sieci. Ludzie używają AI na swoim laptopie, w swoim przeglądarce, na swoim koncie. Takie użycie pozostawia niewiele śladów w systemie, który tego nie szuka.
Co działa, to zadawanie pytań. Ale tylko wtedy, gdy odpowiedź nie ma konsekwencji dla osoby, która ją udziela. Ktoś, kto używa AI do przygotowania projektu umowy lub do podsumowania analizy ryzyka, nie zgłosi tego, jeśli zgłoszenie może prowadzić do nagany. Inwentaryzacja, której pan/pani potrzebuje, powstanie tylko wtedy, gdy zadawanie pytań nie będzie równoznaczne z rozliczaniem.
To jest delikatna równowaga dla funkcji prawnej. Pan/pani jest przyzwyczajony do oceny ryzyka na podstawie tego, co może pójść źle. Tutaj musi pan/pani najpierw zapewnić, że ludzie odważą się powiedzieć, co już robią, zanim będzie można ocenić, czy to stanowi ryzyko.
Istotą pana/pani pozycji nie jest zapobieganie każdemu ryzyku — to nie jest realistyczne i nie tego się od pana/pani oczekuje. Istotą jest wykazywalność: czy pan/pani może pokazać, że organizacja wiedziała, co używa, oceniła jakie ryzyko z tym się wiąże, i miała strukturę, aby coś z tym zrobić. To jest inne zadanie niż kontrolowanie wyników. To jest kontrolowanie procesu, za pomocą którego wyniki są monitorowane.
Ta wykazywalność nie musi opierać się na nowych ramach. Większość organizacji ma już strukturę ryzyka — dla ryzyka finansowego, operacyjnego, zgodności. Ryzyko AI powinno w niej się znaleźć, nie stać osobno jako odrębny tryb, którego nikt nie zna i nikt nie utrzymuje. Zestaw governance, który łączy się z tym, co już istnieje, jest używany. Osobna struktura zostaje zapomniana po pierwszym kwartale.
To stanowisko opisuje mechanizm: inwentaryzację, klasyfikację, połączenie z istniejącą strukturą, uczynienie wykazywalnym. Nie opisuje, które przepisy prawa lub regulacje dotyczą pana/pani organizacji, jakie terminy obowiązują, ani jaki obowiązek wchodzi w życie w jakim momencie. Ta treść zmienia się, jest uzupełniana, jest wyjaśniana przez tych, którzy się w tym specjalizują. Co tutaj się liczy, to struktura, w której ta treść może się osadzić, gdy pan/pani jej potrzebuje.
Pytania, które pan/pani stawia, pokrywają się z tym, co risk manager powinien wiedzieć o ryzyku AI oraz z pozycją compliance officera, który musi być w stanie wykazać użycie AI. Również członek zarządu, który odpowiada przed radą nadzorczą, czerpie korzyść z tej samej inwentaryzacji, na której pan/pani opiera swoją własną ocenę — to jest ta sama podstawa faktyczna, widziana z innej odpowiedzialności.
Responsible AI Scan, który realizuje ten mechanizm — inwentaryzację, klasyfikację, połączenie z istniejącą strukturą ryzyka — jest w fazie rozwoju. Kto już teraz tego potrzebuje, może zapisać się na listę oczekujących. Nie ma jeszcze usługi do dostarczenia; jest kierunek, w którym to jest budowane, i tym kierunkiem jest właśnie ten.
Gdy staje się jasne, jaka AI działa i jakie ryzyko się z nią wiąże, następuje inne pytanie, które leży poza pana/pani własną odpowiedzialnością, ale z nią się łączy: jaką część leżącej u podstaw pracy ta AI właściwie przejmuje. To jest pytanie, które nie dotyczy ryzyka, ale organizacji pracy, i odpowiada na nie skan pracy FTE TO AI, który dla każdego zadania wylicza, jaka część kwalifikuje się do przejęcia.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.