Um General Counsel não é avaliado pelo que corre mal com a IA. É avaliado no momento em que se revela que a organização não conseguiu demonstrar que sabia, ou pior, que poderia ter sabido e nada fez. Essa é a diferença entre um incidente e uma falha. O primeiro acontece a uma organização. A segunda é-lhe imputada.
A questão jurídica — o que é permitido, o que é obrigatório, que prazo se aplica — é importante, mas surge depois de outra pergunta. Essa pergunta é: o que estamos efetivamente a usar. Não o que foi adquirido, não o que consta na lista de fornecedores de TI, mas o que as pessoas, na prática, deixam contribuir para decisões, para a redação ou para avaliações. Sem resposta a essa pergunta, todo o aconselhamento jurídico é um aconselhamento sobre uma situação que não conhece.
Isso torna a posição do General Counsel incómoda. Espera-se que avalie riscos com base num inventário que geralmente não existe, ou que consiste apenas naquilo que foi aprovado — o que, por definição, não é o que alguém começou a usar sem autorização.
"Não precisamos de uma política de IA, porque não temos IA" não é uma resposta que se sustenta. É uma suposição, e as suposições são exatamente o que um supervisor, um juiz ou um jornalista não aceitam depois dos factos. Da mesma forma, não aceita uma lista de ferramentas aprovadas como um quadro completo: essa lista diz algo sobre o que foi adquirido, nada sobre o que é efetivamente utilizado.
O que realmente precisa é de uma distinção entre tipos de utilização. Um modelo de linguagem que resume notas internas comporta um risco diferente de um sistema que pesa numa decisão de contratação ou numa avaliação de crédito. Sem uma classificação por função e nível de risco, qualquer discussão sobre risco de IA é uma discussão em abstrato, e discussões abstratas não conduzem a posições defensáveis.
A IA sombra — a utilização que surge fora de qualquer aprovação — não é algo que um departamento de TI deteta com uma verificação de rede. As pessoas usam IA no seu próprio computador, no seu navegador, com a sua própria conta. Essa utilização deixa poucos vestígios num sistema que não a procura.
O que funciona é perguntar. Mas só se a resposta não tiver consequências para quem a dá. Alguém que usa IA para preparar um rascunho de contrato, ou para resumir uma análise de risco, não o comunica se essa comunicação puder levar a uma repreensão. O inventário de que precisa só surge se fazer perguntas não equivaler a penalizar.
É um equilíbrio precário para uma função jurídica. Está habituado a avaliar o risco com base no que pode correr mal. Aqui, primeiro tem de garantir que as pessoas se sentem seguras para contar o que já fazem, antes de poder avaliar se isso constitui um risco.
O cerne da sua posição não é evitar todos os riscos — isso não é realista nem é o que se espera de si. O cerne é a demonstrabilidade: conseguir mostrar que a organização sabia o que estava a usar, tinha avaliado que risco isso comportava, e tinha uma estrutura para agir em conformidade. Essa é uma missão diferente de controlar resultados. É controlar o processo através do qual os resultados são vigiados.
Essa demonstrabilidade não precisa de assentar num quadro novo. A maioria das organizações já tem uma estrutura de risco — para risco financeiro, risco operacional, conformidade. O risco de IA deve integrar-se aí, não existir ao lado como um percurso separado que ninguém conhece e ninguém mantém. Um conjunto de governação que se alinha com o que já existe é utilizado. Uma estrutura separada é esquecida após o primeiro trimestre.
Esta posição descreve o mecanismo: inventariar, classificar, integrar na estrutura existente, tornar demonstrável. Não descreve que legislação ou regulamentação se aplica à sua organização, que prazos se aplicam, ou que obrigação entra em vigor em que momento. Esse conteúdo muda, é complementado, é explicado por quem tem especialização nessa área. O que aqui importa é a estrutura dentro da qual esse conteúdo pode ser integrado quando precisar dele.
As perguntas que faz sobrepõem-se ao que um gestor de risco deve saber sobre risco de IA e à posição de um responsável de conformidade que deve conseguir demonstrar a utilização de IA. Também o administrador que responde perante o conselho fiscal beneficia do mesmo inventário em que baseia a sua própria avaliação — é a mesma base factual, vista de uma responsabilidade diferente.
O Responsible AI Scan que executa este mecanismo — inventariar, classificar, integrar na estrutura de risco existente — está em desenvolvimento. Quem já precisa disto agora pode inscrever-se na lista de espera. Ainda não há um serviço a fornecer; há uma direção em que isto está a ser construído, e essa direção é esta.
Uma vez esclarecido que IA está em funcionamento e que risco lhe está associado, segue-se outra pergunta, que está fora da sua própria responsabilidade mas com ela se articula: que parte do trabalho subjacente essa IA está efetivamente a assumir. Essa é uma pergunta que não é sobre risco, mas sobre a organização do trabalho, e é respondida pelo scan de trabalho da FTE TO AI, que calcula, por tarefa, que parte é elegível para ser assumida.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.