Zarządza Pan/Pani rejestrem ryzyka zbudowanym wokół ryzyk, które można zidentyfikować, zważyć i przypisać. Ryzyko operacyjne, ryzyko kredytowe, ryzyko zgodności: każde ma właściciela, środek kontrolny, linię raportowania. Ryzyko AI nie wpisuje się samo w ten wzorzec, ponieważ pierwszym problemem nie jest ważenie. Pierwszym problemem jest to, że nie wie Pan/Pani, co waży. Zespół, który używa modelu językowego do pisania szkiców porad, dział, który zawarł zewnętrzny abonament AI poza działem zakupów IT, makro w arkuszu kalkulacyjnym, które w międzyczasie stało się modelem predykcyjnym: to nie są przypadki graniczne, to jest miejsce, gdzie znajduje się ryzyko, i nigdzie nie jest ono odnotowane.
Pana/Pani pytanie nie brzmi "czy AI jest ryzykowne". Pana/Pani pytanie brzmi: co działa, kto za to odpowiada i na podstawie jakich informacji mogę to uzasadnić przed zarządem i organem nadzoru. Odpowiedź, której Pan/Pani nie akceptuje, to uspokojenie bez uzasadnienia. "Nic szczególnego się nie dzieje" nie jest odpowiedzią na pytanie o ryzyko, to nieobecność odpowiedzi. Risk manager, który przekazuje to zarządowi, przekazuje informację, że nie sprawdzono, a nie że nic nie ma.
Druga odpowiedź, której Pan/Pani nie akceptuje, to lista z zarządzania systemami IT jako pełny obraz. Ta lista pokazuje to, co zostało wnioskowane i zatwierdzone. Wykorzystanie AI w dużej mierze powstaje właśnie poza tym wnioskiem, ponieważ pojedynczy abonament, rozszerzenie przeglądarki lub wbudowana funkcja w istniejącym oprogramowaniu nie są rozpoznawane jako "nowy system". Kto chce znać to ryzyko, musi więc nie tylko sprawdzić krajobraz systemów, ale ludzi wykonujących pracę, a to wymaga innego podejścia niż audyt IT.
Jako risk manager znany jest Panu/Pani wzorzec niedostatecznego raportowania przy każdym temacie ryzyka, gdzie pracownik ma coś do stracenia przy uczciwej odpowiedzi. Wykorzystanie AI jest tego wyraźnym przykładem: jeśli zgłoszenie użytego narzędzia idzie w parze z odebraniem dostępu, nikt już nie zgłasza. Inwentaryzacja, która daje wyniki, to inwentaryzacja, która pyta bez łączenia konsekwencji z odpowiedzią. To inna umiejętność niż normalnie wymaga zarządzanie ryzykiem, i to jest powód, dla którego inwentaryzacja cienia AI nie jest tworzona jako kontrola, lecz jako sondaż.
Gdy wykorzystanie jest już widoczne, kolejnym krokiem nie jest ocena dostawcy czy modelu. Jest to ocena roli, jaką system odgrywa w procesie. Zastosowanie AI, które przeformułowuje tekst, niesie inne ryzyko niż zastosowanie, które współdecyduje o decyzji dotyczącej klienta, pracownika lub inwestycji. Ta sama technologia, zastosowana w innej roli, wpada w inną klasę ryzyka. To rozróżnienie jest właśnie tym, czego rejestr ryzyka potrzebuje, aby móc umiejscowić ryzyko AI obok ryzyk, które już się w nim znajdują, bez tworzenia osobnego, izolowanego rozdziału AI, do którego nikt nie zagląda.
Risk manager nie ma interesu w nowej strukturze ramowej obok istniejącej. Interes leży w zestawie zasad zarządzania, który wpisuje się w strukturę ryzyka już istniejącą: taka sama logika odpowiedzialności, takie same ścieżki eskalacji, taki sam cykl raportowania do zarządu. Ryzyko AI traktowane jako odrębny temat zanika między regularnymi raportami. Ryzyko AI wbudowane w istniejącą taksonomię ryzyka pozostaje widoczne w miejscu, w którym zarząd już patrzy.
W pewnym momencie zostanie Pan/Pani zapytany, co wie o wykorzystaniu AI w organizacji, przez organ nadzoru, audytora lub sam zarząd. Odpowiedź, która się utrzyma, nie brzmi "wszystko jest zmapowane", ponieważ dla dynamicznego wzorca użycia rzadko można to udowodnić. Odpowiedź, która się utrzyma, to wykazywalny proces: jak przeprowadzono inwentaryzację, jaką klasyfikację zastosowano, jakie ustalenia dotyczące zarządzania z tego wynikają i z jaką częstotliwością to się powtarza. To inna miara niż kompletność, i to jest miara, na podstawie której zarządzanie ryzykiem jest już normalnie oceniane.
To pytanie nie stawia się identycznie dla każdej roli w organizacji. Co potrzebuje compliance officer z tej inwentaryzacji, przeczyta Pan/Pani w co musi wiedzieć compliance officer o ryzyku AI, pytanie o kierowanie, kto prowadzi program, znajduje się w co musi wiedzieć lider programu AI o ryzyku AI, a jak ten temat trafia na poziom samego zarządu, opisano w co musi wiedzieć członek zarządu o ryzyku AI. Dla zarządzania ryzykiem w konkretnych sektorach, z własnymi łańcuchami i formami nadzoru, obraz został dodatkowo doprecyzowany w jak wygląda governance AI w budownictwie oraz w jak wygląda governance AI w branży instalacyjnej.
Treść obowiązujących przepisów, z ich precyzyjnymi definicjami i terminami, nie znajduje się na tej stronie i jest aktualizowana gdzie indziej. To, co tu opisano, to mechanizm: jak z nieznanego wzorca użycia dojść do klasyfikowalnego, raportowalnego ryzyka.
Inwentaryzacja ryzyka AI nieuchronnie ukazuje również coś innego: jaka część pracy jest już faktycznie wykonywana przez AI, i jaka część mogłaby być. To inne pytanie niż zarządzanie ryzykiem, ale dzieli ono to samo źródło. Skan pracy FTE TO AI wylicza dla każdego zadania, jaka część pracy może zostać przejęta przez AI, i w ten sposób wpisuje się właśnie w tę inwentaryzację, której zarządzanie ryzykiem już teraz potrzebuje.
Responsible AI Scan jest obecnie w fazie rozwoju. Kto chce z niego skorzystać, gdy będzie dostępny, może zapisać się na listę oczekujących.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.