Como administrador, você não verifica pessoalmente qual modelo de IA produz qual resultado. Coloca uma pergunta diferente: se isto correr mal, consigo mostrar que sabíamos, que analisámos e que fizemos algo. Essa pergunta é de natureza administrativa, não técnica. E a resposta que não aceita é uma lista de aplicações aprovadas pelo departamento de TI. Não porque essa lista esteja incorreta, mas porque está incompleta. Descreve o que foi solicitado, não o que é efetivamente utilizado.
O risco para um administrador não é que um colaborador utilize uma IA de linguagem para escrever um rascunho. O risco é não conseguir dizer nada sobre isso no momento em que importa: num incidente, numa questão de supervisão, numa questão de responsabilidade. Nesse momento, a capacidade de demonstrar é a única coisa que conta. Não se poderia ter sabido na altura, mas se consegue mostrar que existia uma estrutura para o saber. Um administrador que diz "não tínhamos visibilidade sobre isso" está numa posição diferente de um administrador que diz "isso pertencia a uma categoria que tratámos deliberadamente dessa forma". A diferença entre estas duas frases é o que este scan proporciona.
A intenção não é proibir ou atrasar todo o uso de IA. A maior parte do que os colaboradores começaram a usar por sua própria iniciativa é funcional e traz benefícios. O ganho para um administrador não está em travar isso, mas em conseguir distinguir: isto é de baixo risco e pode continuar, isto envolve dados pessoais ou decisões sobre pessoas e deve ser tratado de forma diferente, isto é incerto e precisa de ser esclarecido. Sem essa distinção, trata tudo da mesma forma — e isso costuma ser demasiado rígido para a maioria e demasiado permissivo para a excepção que realmente importa.
A IA-sombra não surge por má vontade. Surge porque um colaborador tinha um problema e encontrou uma ferramenta que o resolvia, sem que existisse um processo de pedido mais rápido do que a própria ferramenta. Essas ferramentas não aparecem numa lista de compras. Só aparecem quando alguém pergunta sobre elas — e apenas se perguntar não implicar de imediato uma sanção. Uma organização que quer detetar a IA-sombra tem primeiro de deixar claro que comunicá-la não é um risco. Essa é uma escolha administrativa, não técnica.
O Responsible AI Scan começa por um inventário do que é realmente utilizado, independentemente do que foi aprovado em algum momento. A seguir, cada uso é classificado por função — quem o utiliza, para quê — e por nível de risco. Essa classificação leva a um conjunto de governança: uma forma de lidar com cada categoria que se articula com a estrutura de risco que a sua organização já possui, em vez de um novo quadro paralelo. O conteúdo das regras em si — quais obrigações se aplicam exatamente, dentro de que prazos — está definido noutro lugar; não é nisso que este scan se foca. Este scan foca-se no mecanismo: saber o que está a funcionar, conseguir classificá-lo e conseguir demonstrar que isso foi feito.
Com uma classificação por função e nível de risco, pode mostrar a um regulador, a um auditor ou a um conselho fiscal uma estrutura em vez de uma promessa. Pode indicar quais categorias precisam de atenção e quais não precisam. Pode relatar sobre isso sem ter de explicar repetidamente por que razão não sabia de algo. Essa é uma posição diferente de explicar reativamente por que razão uma ferramenta entrou sem ser detetada.
A pergunta sobre o risco de IA apresenta-se de forma diferente segundo a função. O que um CIO deve saber sobre o risco de IA trata de sistemas e infraestrutura; o que um General Counsel deve saber sobre o risco de IA trata de responsabilidade e prova; o que um gestor de risco deve saber sobre o risco de IA trata de como o risco de IA se encaixa na taxonomia de risco existente. Como administrador, lida com os três, mas não é você quem realiza a classificação — é você quem deve conseguir ver que ela foi feita.
O Responsible AI Scan está em desenvolvimento. Não existe atualmente uma ferramenta que possa iniciar e da qual resulte imediatamente um relatório. Quem tiver interesse pode inscrever-se na lista de espera; não é oferecido nada que ainda não exista, e não é feita qualquer promessa sobre quando ou com que resultado.
Antes de poder determinar se o uso de IA é arriscado, é muitas vezes mais útil saber o que a IA significa no próprio trabalho: que parte de uma tarefa pode ser assumida e que parte não pode. Essa pergunta está próxima da pergunta sobre o risco, mas não é igual a ela — uma tarefa que pode ser largamente assumida pela IA não é automaticamente arriscada, e uma tarefa que não pode não é automaticamente segura. O scan de trabalho da FTE TO AI calcula, por tarefa, que parte do trabalho pode ser assumida pela IA, fornecendo assim uma base a partir da qual a pergunta sobre o risco pode ser colocada com mais precisão do que apenas com base numa lista de aplicações aprovadas.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.