A maioria das organizações já tem algo a que chama monitorização. Um painel de controlo, um formato de relatório, uma reunião periódica onde se discutem riscos. O problema não é que isto não exista. O problema é que a monitorização de IA é colocada ao lado como um elemento à parte, com o seu próprio ritmo, o seu próprio responsável e o seu próprio modelo. Quem já tem três processos para acompanhar risco não vai preencher fielmente um quarto processo. Torna-se uma obrigação que é despachada apressadamente uma vez por trimestre, ou nem isso.
Essa é a razão pela qual a monitorização do uso de IA tão frequentemente não traz nada. Não porque as perguntas estejam erradas, mas porque o próprio processo continua a ser um corpo estranho dentro de uma organização que já tem processos para risco, conformidade e controlo interno.
Uma monitorização que traz resultados não começa com um formato, mas com uma pergunta: o que está a mudar, e quem é o primeiro a notar? Para sistemas de IA, isto significa três camadas.
A primeira camada é o uso: um sistema ainda está a ser utilizado conforme previsto, ou a aplicação mudou sem que ninguém o tenha comunicado? Uma ferramenta que começou como verificação de texto e agora é utilizada para formular propostas de decisão representa um risco diferente do que foi determinado no início.
A segunda camada é a origem: o sistema ainda é o mesmo que foi classificado inicialmente? Os modelos subjacentes são substituídos, os fornecedores alteram as suas condições, uma ferramenta isolada é integrada numa plataforma maior. Cada alteração pode invalidar a avaliação de risco feita na altura, sem que ninguém a reavalie.
A terceira camada é o sinal: existem queixas, mensagens de erro ou desvios que indicam que algo não está a funcionar como previsto? Esta é a camada que mais frequentemente falta, porque ninguém tem interesse em comunicar um problema com um sistema que oficialmente não existe.
Uma organização que já tem um ciclo de risco para riscos operacionais, riscos financeiros ou proteção de dados não vai iniciar um novo ciclo para a IA. Isto não é falta de vontade; é uma questão de capacidade. Quem tenta fazê-lo vê duas coisas a acontecer. Ou a nova monitorização fica vazia, porque ninguém encontra tempo para alimentar um sistema que ninguém pede. Ou a nova monitorização é assumida pelas mesmas pessoas que já gerem o ciclo existente, e nesse caso a distinção desaparece por si só.
A questão não é, portanto, se deve haver um processo de monitorização de IA separado. A questão é como os sinais de IA chegam ao ciclo existente, de modo a serem discutidos na mesma reunião, com o mesmo responsável e no mesmo ritmo que os outros riscos. A forma exata como isso se organiza depende de como esse ciclo existente já funciona: algumas organizações têm um relatório trimestral à comissão de auditoria, outras uma reunião mensal de risco ao nível da direção, outras ainda um registo contínuo atualizado por incidente. Mais informação sobre como incorporar a monitorização no que já está em funcionamento em vez de a colocar ao lado encontra-se numa página separada, porque esse mecanismo é preenchido de forma diferente em cada organização.
O que se encaixa universalmente é uma forma fixa em que se regista o estado dos sistemas de IA: o que está em funcionamento, em que papel, com que nível de risco, e quando isso foi confirmado pela última vez. Não como um documento de IA isolado, mas como anexo ou parte fixa do relatório que já existe. Isto pode ligar-se a um relatório de uma página para a direção que resume riscos sem os disfarçar, de modo a que a monitorização não se torne um fluxo separado de informação, mas uma linha numa tabela que o administrador já lê.
Esta forma só funciona se a classificação subjacente se mantiver atualizada, e essa classificação, por sua vez, tem de estar ligada à estrutura de risco que já existe. Sem essa ligação, a monitorização continua a ser uma segunda linguagem ao lado da primeira, e essa segunda linguagem é esquecida quando a pressão aumenta. A forma como essa ligação se concretiza depende de como a estrutura de risco e a classificação de IA se conjugam no que uma organização já utiliza, e não pode ser descrita em termos gerais sem conhecer a estrutura existente.
Uma monitorização que funciona bem não sinaliza apenas risco, mas também mudança: sistemas que são utilizados de forma diferente da prevista, ou tarefas que foram silenciosamente assumidas sem que ninguém o tenha registado. Esses mesmos sinais são também informação sobre onde as pessoas realmente gastam o seu tempo, e onde a IA já está de facto a assumir trabalho sem que isso esteja registado em algum lugar. Quem quiser tornar essa questão mais concreta do que uma classificação de risco permite pode consultar, no scan de trabalho da FTE TO AI, que parte do trabalho por tarefa é elegível para IA, independentemente da questão de saber se isso já acontece ou ainda está por decidir. Esse scan não calcula em termos de risco, mas em tarefas e horas, e assim liga-se ao que a monitorização sinaliza sem o explicar.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.