Toda organização com alguma dimensão já possui uma estrutura de risco. Uma comissão de risco, um comité de auditoria, uma linha de funções de controlo, um formato em que os riscos são registados, discutidos e encerrados. Esse processo tem um ritmo, uma linguagem e responsáveis que sabem o que esperar.
Se a governança de IA for criada em paralelo — uma comissão própria, uma linha de relato própria, um calendário próprio — surge um segundo processo. E um segundo processo ao lado de um processo existente não é executado. Não porque as pessoas sejam relutantes, mas porque a capacidade já está atribuída ao processo que existe. Quem trata o risco de IA como um tema separado está a pedir tempo extra, reuniões extra e relatórios extra além de tudo o que já está em curso. Isso perde, sempre.
O inventário e a classificação dos sistemas de IA não geram um novo quadro de risco. Geram input para o quadro que já existe. Isso significa, concretamente:
O conjunto de governança que resulta da análise não é, portanto, um documento autónomo. É um conjunto escrito para se encaixar no que já existe: a matriz de risco, a estrutura de relato, as linhas de escalada. Onde essas coisas ainda não funcionam como deveriam, aplica-se a mesma lógica que para a IA: trata-se de incorporação, não de um novo sistema. A forma como isso se concretiza numa componente específica está descrita em como uma política de IA é incorporada na tomada de decisão existente em vez de ficar isolada ao lado, em como uma lista de decisões de supervisão é incorporada na reunião já existente e em como os percursos de escalada para IA são incorporados na linha de incidentes existente.
Um quadro de risco de IA separado parece cuidadoso, mas cria um circuito paralelo. Surgem duas verdades: o relatório de risco que o administrador já conhece, e um relatório de IA que existe ao lado, com definições próprias de nível de risco e responsáveis próprios. No momento em que esses dois circuitos não se alinham — e isso acontece, tarde ou cedo — não fica claro qual circuito tem autoridade. É precisamente esse o cenário em que a supervisão existe no papel, mas na prática ninguém pode ser responsabilizado.
O conjunto de governança resultante do inventário destina-se, por isso, a desaparecer dentro do processo existente. Nenhum painel novo, nenhuma reunião nova, nenhum formulário de aprovação novo — mas uma extensão do formato que a comissão de risco já utiliza, com a IA como componente fixa. É também assim que um administrador tira proveito disso: não como um relatório de IA separado que se percorre por alto, mas como uma linha no relatório que já é lido. A forma como esse relatório se apresenta quando é suficientemente compacto para ser efetivamente lido está descrita em a estrutura de um relatório para o conselho que cabe numa página.
A razão pela qual o alinhamento com a estrutura existente é também, juridicamente e organizacionalmente, a escolha mais forte reside na demonstrabilidade. Um supervisor ou auditor que pergunte como o risco de IA é gerido prefere a resposta "através do processo de risco que já seguimos, com a IA como componente fixa" a "através de um trajeto de IA separado que corre ao lado do processo regular". A primeira resposta mostra uma organização que gere o risco de forma integrada. A segunda mostra uma organização que trata a IA como um caso excecional — com o risco de que essa excepção, assim que a atenção se desloca, seja abandonada.
A mesma lógica aplica-se à monitorização. Um painel de IA isolado que ninguém consulta não gera nenhum resultado. A monitorização incorporada no panorama que os gestores de risco e o administrador já utilizam é vista porque já está no local onde se olha. O que é necessário para isso está explicado em como a monitorização dos sistemas de IA é incorporada no panorama já utilizado e, de forma mais abrangente, em como o alinhamento com a estrutura de risco existente é construído na prática.
Uma estrutura de risco que incorporou a IA responde à questão do que está em funcionamento e quem é responsável por isso. Essa é uma resposta diferente da questão de o que a IA poderia assumir no trabalho diário. Essa segunda questão é respondida pela análise de trabalho da FTE TO AI, que calcula por tarefa qual parte do trabalho é elegível para ser assumida. Ambas as respostas estão ligadas: a estrutura de risco determina em que condições a IA pode ser utilizada, a análise de trabalho mostra onde essa utilização altera efetivamente o trabalho.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.