Uma direção recebe periodicamente relatórios: financeiros, operacionais, sobre riscos que já têm um lugar na estrutura existente. Um relatório sobre IA que fica isolado ao lado desses, com um ritmo próprio e um formato próprio, é na prática ignorado. Não porque o tema seja irrelevante, mas porque um segundo processo ao lado de um processo já existente exige um esforço separado que concorre com tudo o que já está na agenda. O que efetivamente é lido é o que se encaixa na linha de relato já existente: o mesmo ritmo, a mesma extensão, o mesmo lugar na reunião.
Um relatório ao board sobre IA não precisa de um inventário técnico completo. A direção precisa de uma resposta a um número limitado de perguntas: quais aplicações de IA existem, em que categoria de risco se enquadram, o que mudou desde o relatório anterior e se houve escalonamentos. Este último ponto é onde a maioria dos relatórios permanece em branco — não porque nada aconteça, mas porque não existe um percurso através do qual um sinal chegue até à direção. Sem caminhos de escalonamento que funcionam, um relatório é uma fotografia sem história: mostra o que existe agora, não o que correu mal ou quase correu mal pelo caminho.
O relatório apoia-se no que já está registado. Uma lista de decisões de supervisão com quem aprovou o quê é a fonte a partir da qual a página é resumida, não um documento separado que existe isolado ao lado. O que consta na página é uma condensação de decisões já tomadas; não é uma nova avaliação que a direção tenha de fazer por si própria a partir de dados brutos.
As organizações já têm uma estrutura de risco: uma comissão de auditoria, uma comissão de risco, um lugar fixo na agenda da direção para riscos operacionais. Um relatório de IA que introduz uma comissão própria, um calendário próprio ou um modelo próprio exige de todos os que já participam nesses processos que façam algo extra além do que já fazem. Esse trabalho extra é adiado assim que a agenda fica cheia, e a agenda fica sempre cheia. O resultado é que o relatório desaparece depois de algumas vezes, não porque alguém decidiu que o risco de IA não é importante, mas porque ninguém decidiu que era mais importante do que o que já existia.
A solução não está em dar mais destaque ao tema, mas em reduzir a fricção da sua inclusão. Uma página que aparece no mesmo ritmo trimestral que os outros relatórios de risco, que usa o mesmo layout e ocupa o mesmo lugar no conjunto de documentos, é lida porque lê-la não exige uma ação separada. O que não funciona é um ciclo próprio de governação de IA que funciona à parte do ciclo existente — esse é ignorado logo que surge o primeiro mês de agenda apertada.
Um relatório de uma página só pode ser curto se a estrutura subjacente estiver completa. Pressupõe um panorama do tipo o que um administrador precisa de saber sobre risco de IA sobre papéis e responsabilidades, para que a página não tenha de explicar sempre de novo quem é responsável por quê. Pressupõe um inventário que não contém apenas o que o departamento de TI aprovou, mas também o que os próprios departamentos começaram a usar sem o comunicar — IA sombra que só se torna visível quando as pessoas podem relatar sem consequências o que realmente utilizam. Um relatório que mostra apenas a lista aprovada relata uma ficção.
A página também pressupõe que algo acontece entre os relatórios: monitorização que produz resultados em vez de um registo que ninguém consulta. Sem essa camada intermédia, a página trimestral é uma surpresa em cada edição, em vez de um resumo de algo que já foi acompanhado durante todo o trimestre. E pressupõe que a política subjacente não é documentação de fachada, mas uma política de IA que é lida pelas pessoas que utilizam os sistemas diariamente — porque um relatório sobre o cumprimento de uma política que ninguém conhece relata sobretudo sobre si mesmo.
A página da direção é uma condensação; a fundamentação está uma camada mais abaixo, junto de quem conhece os sistemas. O que um CIO contribui para isso está descrito em o que um CIO precisa de saber sobre risco de IA, e essas duas camadas — visão de direção e conhecimento operacional — têm de estar alinhadas antes de a página de quinze minutos de leitura dizer efetivamente algo sobre o que se passa na organização.
Esta estrutura está a ser construída, não é oferecida como um produto acabado. Quem quiser o scan que produz este inventário, classificação e estrutura de relato entra numa lista de espera; está em construção e não é vendido como instrumento pronto a usar antes de o ser efetivamente.
Uma vez claro qual a IA em funcionamento e em que categoria de risco se enquadra, segue-se outra pergunta, que não é sobre risco mas sobre a organização do próprio trabalho: que parte das tarefas atualmente executadas se presta a ser assumida pela IA. Esse é um cálculo separado, construído não sobre risco mas sobre tarefas. O scan de trabalho da FTE TO AI calcula, por tarefa, que parte do trabalho é elegível para ser assumida, como passo seguinte assim que estiver claro o que já existe de IA na organização.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.