O que consta na página que a administração lê

A pergunta que precede um relatório

Uma administração que coloca a IA na agenda recebe geralmente dois tipos de documentos: um dossiê espesso que ninguém lê antes da reunião, ou um resumo que diz tão pouco que dele não resulta nenhuma decisão. Um relatório de gestão de uma página não é um resumo do dossiê. É uma pergunta diferente: o que precisa um administrador de saber para poder assumir responsabilidade, e o que é ruído.

Essa distinção não é trivial. A maioria dos relatórios de IA que vemos conta sistemas. Uma página que apenas conta quantas aplicações de IA existem não diz nada à administração sobre onde está o risco. A contagem é uma questão de TI. A governança é outra questão: quais aplicações afetam decisões sobre pessoas, quais foram colocadas em uso sem supervisão, e quais se enquadram numa classe de risco que exige uma assinatura.

O que deve constar

Uma página que funciona contém um número limitado de elementos, cada um com uma razão para ser incluído:

O estado do inventário. Não uma lista de sistemas, mas uma declaração sobre a cobertura: o que está mapeado, o que se presume existir mas não está confirmado, e o que foi deliberadamente deixado fora do âmbito.
A classificação de risco em linhas gerais. Quantas aplicações se enquadram numa categoria que exige atenção da administração, sem que cada sistema seja detalhado.
Decisões pendentes. Não o tratamento operacional, mas a questão que cabe à administração: um investimento, uma aceitação de risco, uma escolha entre continuar e parar.
O que mudou desde o relatório anterior. Uma administração pouco aproveita de uma fotografia; aproveita de uma diferença.

O restante — quem treinou qual modelo, que fornecedor aplica que condições, que mitigação técnica foi aplicada — pertence à camada abaixo. Essa camada existe, é mantida e pode ser consultada. Mas não pertence à página que a administração lê, pois nesse caso a administração não a lerá.

Por que um segundo processo é ignorado

A razão pela qual tanta governança de IA emperra não é a falta de um processo. É que existe um segundo processo, ao lado do existente. Uma administração já tem um comité de risco, já tem um calendário de auditoria, já tem um formato para relatar sobre risco operacional, sobre compliance, sobre segurança da informação. Quem coloca ao lado disso um processo de IA separado — com frequência própria, modelo próprio, proprietário próprio — está a pedir algo que será o primeiro a ser ignorado quando a agenda estiver demasiado cheia. Isso não acontece por falta de vontade. Acontece porque um segundo processo recebe, por definição, menos atenção do que o primeiro.

O relatório que de facto é lido é o que acompanha o ritmo existente: a mesma reunião, o mesmo formato, a mesma forma de escalar que já existe para outros riscos. A forma como essa integração ganha forma na prática está descrita na página sobre alinhamento com a estrutura de risco existente, e a maneira como as decisões são depois registadas volta a aparecer na página sobre uma lista de decisões de supervisão que acompanha o ritmo existente.

O que a página pressupõe

Um relatório de uma página só é útil se o inventário por trás dele estiver correto. É essa a parte mais frequentemente ignorada: os administradores recebem uma página com uma classificação de risco, sem que ninguém tenha verificado se a lista subjacente de aplicações de IA está completa. A IA-sombra — o uso que surgiu à margem da lista de TI — desaparece então silenciosamente do quadro, não porque seja irrelevante, mas porque ninguém perguntou por ela. Um colaborador que usa uma ferramenta de IA sem que esta tenha sido aprovada não o comunica por iniciativa própria se houver ameaça de responsabilização. Só o comunica quando as perguntas forem feitas sem consequências.

A página, de um lado, é assim a ponta de um processo que começa no inventário e escala através de caminhos que já existem. A forma como essa escalada funciona sem criar uma nova hierarquia está descrita na página sobre caminhos de escalada que são efetivamente utilizados. E o que deve ser mantido de forma estrutural para poder preencher a página de novo a cada vez sem que se torne uma reconstrução está descrito na página sobre monitorização que efetivamente contribui para o relatório.

O que isto ainda não é

O Responsible AI Scan fornece o inventário, a classificação e a estrutura de governança que se alinha com o que já existe — incluindo o formato para um relatório que a administração efetivamente lê. O scan em si está em desenvolvimento; quem já quiser algo disto agora pode inscrever-se na lista de espera.