Kennisbank

Classificar não é um exercício único

Uma classificação de uma aplicação de IA descreve uma situação num determinado momento: qual modelo, qual aplicação, quais utilizadores, qual risco. Essa situação muda. Um fornecedor ajusta um modelo, uma equipa utiliza uma ferramenta para algo diferente daquilo para que foi adquirida, um fornecedor adiciona uma funcionalidade sem que ninguém peça autorização para isso. A classificação que fez no ano passado não descreve, por isso, automaticamente ainda a situação de hoje.

A pergunta "com que frequência" não tem uma resposta fixa que se aplique a todas as organizações. Depende de quantas aplicações de IA existem, com que rapidez estas mudam, quão diversas são as equipas que trabalham com elas, e quão rigorosa é a supervisão no setor em que opera. Um momento fixo anual é um ponto de partida, não uma garantia de que nada lhe escapa entretanto.

O que um intervalo fixo não resolve

Uma reavaliação anual ou semestral funciona bem para aplicações que já conhece e que entraram através de um percurso formal. Para aplicações que ninguém registou, um intervalo fixo não funciona, simplesmente porque não há nada para reavaliar numa data fixa. O que fazer com colaboradores que utilizam uma ferramenta que ninguém aprovou descreve por que razão essa questão não se resolve com um compromisso recorrente na agenda, mas sim com uma forma diferente de questionar a organização.

Além disso, o risco não muda apenas em função daquilo que uma aplicação faz, mas também em função daquilo com que é alimentada. Uma janela de chat que hoje é usada para resumir texto público pode amanhã ser usada para resumir um contrato. O que fazer com dados empresariais numa janela de chat gratuita mostra que o nível de risco de uma mesma ferramenta pode mudar sem que a ferramenta em si mude.

Sinais que exigem reavaliação, independentemente da data

Além de um momento fixo, existem acontecimentos que exigem uma reavaliação intermédia. Uma alteração na função de uma aplicação, uma expansão do grupo de utilizadores, um incidente ou quase-incidente, uma alteração nas condições do fornecedor, ou um sinal de um colaborador de que algo está a ser usado de forma diferente do previsto. Esses sinais não têm todos o mesmo peso, e nem todas as organizações os notarão com a mesma rapidez.

A questão de quem reage a esses sinais, e quem detém a responsabilidade sobre a própria reavaliação, é uma questão distinta. Quem é responsável quando uma aplicação de IA comete um erro descreve que a responsabilidade só é muitas vezes determinada no momento em que algo corre mal, quando na verdade essa questão já deveria ter sido respondida na primeira classificação.

Por que um segundo processo desaparece geralmente mais rápido do que o processo já existente

Um ritmo de reavaliação colocado ao lado dos processos de risco existentes, sem se integrar neles, perde geralmente prioridade dentro de um ano. É um passo extra que ninguém pede até algo correr mal, e é precisamente por isso que fica esquecido. Por que um segundo processo ao lado do existente é ignorado explica por que a reavaliação funciona de forma mais eficaz quando está integrada na gestão de risco existente, em vez de ser um percurso isolado que compete pela atenção com o resto da organização.

O que o método não consegue fazer

Um método de classificação pode oferecer uma estrutura para avaliar aplicações de IA de forma consistente quanto ao papel e ao nível de risco, e essa estrutura pode ser aplicada de forma repetível. O que o método não consegue fazer é garantir que vê tudo. Uma classificação é tão boa quanto a informação em que se baseia, e essa informação vem em parte de pessoas que podem ter motivos para não a reportar. Um colaborador que utiliza uma ferramenta não aprovada não o comunica espontaneamente se a expectativa for que se siga uma sanção.

O método também não consegue prever quando um fornecedor altera um modelo, ou quando uma aplicação que hoje tem baixo risco passa a ser utilizada de forma diferente amanhã. A reavaliação continua, por isso, a ser uma questão de repetição e de organizar abertura, não de um sistema que se configura uma única vez e depois se mantém atualizado por si próprio. Como manter esse registo atualizado sem que fique desatualizado após alguns meses está descrito em como manter um registo de IA atualizado, onde a distinção entre um inventário pontual e um processo contínuo é o ponto central.

A isto acresce a questão do que significa, na prática, a supervisão sobre a IA entre os momentos de reavaliação: quem acompanha, com que frequência, e com base em que sinais. O que é a supervisão humana na prática estabelece essa distinção entre a supervisão como uma formalidade a assinalar e a supervisão como algo que acompanha continuamente a utilização.

A próxima questão, uma vez estabelecida a classificação

Uma classificação indica-lhe quais são as aplicações existentes, que papel desempenham e que nível de risco lhes corresponde. Essa classificação não lhe indica quanto do trabalho é efetivamente realizado pela IA, e quanta margem ainda resta por tarefa. Quem quiser responder a essa questão não se pode limitar a um inventário de riscos; isso exige um olhar sobre o próprio trabalho, tarefa a tarefa. O werkscan da FTE TO AI calcula, por tarefa, que parte desta pode ser assumida pela IA, como complemento à imagem que uma classificação proporciona.