Toda organização com alguma dimensão já tem uma estrutura de risco. Um comité de risco, uma função de auditoria, uma linha de relato ao conselho de administração, um formato em que os riscos são classificados e acompanhados. Quem coloca um novo processo ao lado disso, específico para IA, com o seu próprio comité, o seu próprio calendário e a sua própria linguagem, tem dentro de um ano um processo que já ninguém preenche. Não porque a IA não seja considerada importante, mas porque uma segunda estrutura compete com a primeira por tempo, atenção e mandato. A estrutura existente ganha quase sempre, pois está incorporada nas avaliações, nos ciclos de desempenho e nas agendas do conselho. A nova estrutura fica de fora.
A questão, portanto, não é como se constrói uma estrutura de governança de IA. A questão é como a IA obtém um lugar na estrutura que já existe.
A maioria das estruturas de risco já tem um conjunto de elementos fixos: um inventário de risco que é atualizado periodicamente, uma classificação por gravidade e probabilidade, um responsável por cada risco, uma linha de escalonamento para um nível superior quando um limite é excedido, e um relato ao conselho em momentos fixos. É essa a estrutura em que a IA deve encaixar, não ao lado dela.
Isso significa que uma aplicação de IA não deve constar num registo de IA separado, mas sim como item de risco no registo existente, com os mesmos campos que qualquer outro risco: responsável, gravidade, probabilidade, mitigação, data de estado. A classificação por nível de risco que acompanha um inventário de utilização de IA deve alinhar-se com a escala já utilizada para o risco operacional, e não com uma nova escala inventada apenas para a IA. Quem lê wat een cio moet weten over ai-risico vê que é precisamente nesse alinhamento que muitas vezes as coisas correm mal: uma pontuação de risco de IA tecnicamente correta que ninguém consegue comparar com o resto do registo de risco.
Duas coisas dificultam a incorporação. A primeira é a linguagem. Os gestores de risco trabalham com conceitos como impacto, probabilidade e medida de mitigação. Os fornecedores de IA e as equipas técnicas trabalham com versões de modelos, dados de treino e métricas de desempenho. Um conjunto de governança escrito apenas na linguagem técnica não é lido pelo comité de risco. Um conjunto de governança escrito apenas na linguagem de risco não é preenchido pelo responsável técnico. O conjunto tem de ser legível em ambas as direções: suficientemente técnico para estar correto, suficientemente institucional para ser compreendido. Esse princípio repete-se em een ai-beleid dat gelezen wordt: um documento que se alinha com a forma como as pessoas já leem e decidem, em vez de exigir uma nova forma de leitura.
A segunda é o ritmo. Um comité de risco reúne-se num ciclo fixo, muitas vezes trimestral ou mensal. A utilização de IA muda mais rapidamente: uma equipa começa esta semana a usar uma nova ferramenta, sem que isso seja precedido de uma reunião. O conjunto de governança não deve, por isso, depender do ciclo de reuniões para funcionar. Deve existir um mecanismo mais leve que capte desvios entre os momentos fixos, e que só seja formalmente confirmado no ciclo seguinte. A forma como esse mecanismo funciona na prática está descrita em escalatiepaden die werken: um percurso suficientemente curto para ser utilizado antes de o comité trimestral seguinte se reunir.
Um conjunto de governança que se alinha com uma estrutura de risco existente contém, em linhas gerais: um item de inventário por aplicação de IA com responsável e classe de risco, uma ligação ao percurso de escalonamento existente para que um desvio não desapareça num canal separado, e um lugar fixo no relato periódico ao conselho. Não como um capítulo separado sobre IA, mas como uma linha na tabela que o conselho já conhece. A forma como esse relato pode ser apresentado sem introduzir um novo formato está descrita em hoe krijgt u een board-rapportage van een pagina ingebed in o que já circula.
O conteúdo das próprias regras, o que exatamente se enquadra em cada nível de risco e que prazos lhe estão associados, está definido noutro lugar e sofre alterações; esta página trata do mecanismo que dá a esse conteúdo um lugar na estrutura existente, não do texto dessas regras.
A incorporação só funciona se o inventário estiver correto desde o início. E este só está correto se as pessoas se sentirem seguras para dizer o que utilizam. Quem, ao preencher o item de risco, sente que uma resposta honesta resulta numa anotação numa avaliação, não a preenche com honestidade. O conjunto de governança deve, por isso, deixar claro desde a primeira versão que o objetivo é ter visão de conjunto, não sancionar. Sem esse compromisso, parte da utilização permanece fora do radar, e o alinhamento com a estrutura de risco assenta numa lista incompleta. O que um administrador deve saber sobre isso antes de a primeira inventariação começar está descrito em wat moet een bestuurder weten over ai-risico.
Esta incorporação trata de risco, responsabilidade e relato: garante que o que a IA faz seja visível e controlável dentro da estrutura que já existe. Uma outra questão, que se segue logicamente a esta a partir do momento em que existe visão de conjunto, é o que a IA pode efetivamente assumir dentro desse trabalho. A werkscan da FTE TO AI calcula, por tarefa, que parte do trabalho pode ser assumida pela IA, como passo seguinte depois de a governança estar em ordem.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.