Uma política de IA colocada como documento isolado ao lado da política existente, na prática, não é lida. Não porque os funcionários sejam avessos, mas porque um segundo processo ao lado de um processo existente quase sempre perde. Quem já tem um quadro de risco, um código de conduta e uma linha de escalonamento, não vai consultar um sistema paralelo para uma tecnologia específica. A política de IA que efetivamente funciona é a que visivelmente usa o mesmo quadro que o resto da organização já conhece.
Toda organização com alguma dimensão já tem quadros para risco, compras, segurança da informação e conduta. Uma política de IA que fica solta ao lado disso introduz uma linguagem nova, funções novas e um novo lugar para procurar. É exatamente por isso que, após o lançamento, ela é deixada de lado. Os funcionários seguem o caminho de menor resistência, e esse caminho passa pela estrutura que já conhecem. Uma política que exige uma nova forma de trabalhar ao lado da antiga raramente ganha essa concorrência.
A solução não é um documento melhor escrito. É um documento que não reivindica um novo lugar, mas usa o lugar existente. Um risco de IA passa então a ser tratado como risco, com o mesmo responsável, a mesma linha de escalonamento e o mesmo formato de relatório que qualquer outro risco. Quem quiser fundamentar isso encontra o raciocínio na página sobre conectar-se à estrutura de risco existente em vez de um novo quadro ao lado.
Uma política de IA que funciona não contém uma enumeração do que é permitido e do que não é por sistema. Isso muda rápido demais e fica desatualizado dentro de um ano. Em vez disso, contém alguns elementos fixos que não dependem de qual modelo ou qual fornecedor é usado:
Esses quatro elementos juntos não formam um sistema de governança de IA separado, mas uma especificação do sistema de risco que já existe. Essa é a diferença entre uma política que é lida e uma política que fica arquivada numa pasta.
Incorporar uma política tem pouco sentido se não se sabe exatamente o que precisa ser incorporado. A lista de TI de sistemas aprovados é insuficiente para isso: ela descreve o que foi adquirido, não o que é usado. A IA-sombra, ferramentas que os funcionários passaram a usar por conta própria sem aprovação formal, fica fora disso, embora o risco não seja menor por isso.
A única forma de ter uma visão disso é perguntar. E isso só funciona se perguntar não resultar em punição. Quem vincula sanções à resposta já no primeiro levantamento deixa de receber respostas. Uma política de IA que busca incorporação na estrutura existente começa, portanto, com um levantamento independente de avaliação, e só depois com classificação por função e nível de risco.
A diretoria não tem interesse num documento de política extenso, mas sim num panorama compacto de onde estão os riscos e o que está sendo feito a respeito. Esse panorama deve ter o mesmo formato de outros relatórios de risco que a diretoria já recebe, para que não seja lido como um relatório de IA separado, mas como parte do panorama de risco habitual. Como esse relatório se apresenta está descrito na página sobre um relatório à diretoria de uma página que se conecta a relatórios de risco existentes. Para quem quiser primeiro saber, em termos gerais, o que um administrador deve saber sobre risco de IA antes que a política seja estabelecida, há a página sobre o que um administrador deve saber sobre risco de IA antes de a política ser estabelecida.
Uma política que se conecta à estrutura existente responde à pergunta de quem decide sobre o quê e como o risco é monitorado. Não responde à pergunta de qual parte do trabalho de fato pode ser assumida pela IA e qual parte não pode. Essa pergunta está no nível das tarefas, e é sobre isso que trata o scan de trabalho da FTE TO AI: ele calcula, por tarefa, qual parte do trabalho pode ser assumida, para que a política e a prática se baseiem na mesma visão da organização.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.