Uma lista com nomes de ferramentas de IA não é um inventário. Um inventário só surge quando regista o mesmo conjunto de dados para cada aplicação, de modo a poder compará-las entre si, classificá-las e, mais tarde, demonstrá-las. Sem essa estrutura fixa, fica apenas com uma coleção de factos isolados que já ninguém consegue comparar.
Por aplicação, trata-se de um número limitado de campos que se repetem sempre.
Nome e forma. Trata-se de uma subscrição isolada, uma funcionalidade dentro de software já existente, um modelo desenvolvido internamente, ou uma função de IA que veio incluída através de um fornecedor sem que ninguém a tenha identificado como "IA".
Quem a utiliza. Uma equipa, um departamento, um colaborador individual. Isto determina não só a dimensão, mas também com quem terá de falar mais tarde se surgirem perguntas.
Para que é utilizada. Não o texto de marketing do fornecedor, mas a tarefa real: redigir texto, resumir dados, escrever código, responder a perguntas de clientes, preparar decisões. Este campo determina o papel que a aplicação desempenha e, com isso, o nível de risco.
Que dados são introduzidos. Dados pessoais, dados de clientes, informação financeira, documentos internos, ou nenhum dado sensível. Isto determina que requisitos de governação se tornam relevantes.
Como foi adquirida. Através de um processo formal, através de uma subscrição que alguém contratou por sua conta, através de um fornecedor que a inclui juntamente com outro produto. A via de aquisição diz-lhe imediatamente algo sobre o nível de supervisão que já existia.
Quem é responsável por ela. Não quem por acaso a utiliza, mas quem pode ser interpelado se algo correr mal ou se quiser saber se ainda está em uso.
Desde quando e há quanto tempo. Uma aplicação que funciona há três anos sem ser notada exige uma abordagem diferente de um projeto-piloto do mês passado.
Estes não são listas de verificação burocráticas. São os dados de que precisa para poder dizer, por aplicação: isto está sujeito a um nível de risco mais elevado, isto não, e esta é a fundamentação.
Nenhum destes campos está completo numa única fonte. Constrói o inventário a partir de vários canais que se complementam.
O departamento de TI fornece um ponto de partida, mas não um quadro completo: porque é que a lista de TI não está correta explica que uma parte significativa da utilização de IA fica fora dos sistemas geridos pelas TI. Ainda assim, os sinais que as TI têm são úteis como filtro: que sinais de TI são utilizáveis mostra que indicações técnicas são suficientemente fiáveis para investigar mais a fundo.
As compras e as finanças complementam outra parte. Faturas, subscrições e licenças mostram que ferramentas foram efetivamente pagas, mesmo que o utilizador nunca o tenha comunicado. O que os dados de compras e licenças revelam descreve que campos desta fonte se encaixam diretamente no inventário.
A última parte, e a mais determinante, vem dos próprios colaboradores. Quem executa a tarefa sabe que ferramenta é usada nesse âmbito, mesmo que nunca tenha sido solicitada ou aprovada. Só obtém essa informação se fazer a pergunta não tiver consequências para quem responde: como perguntar sem que haja repercussões descreve como essa pergunta é feita sem que pareça um controlo.
Um inventário que tenha de estar completo de uma só vez nunca se materializa. As aplicações mudam, surgem novas ferramentas, as antigas desaparecem. O que permanece é a estrutura: os mesmos campos, as mesmas perguntas, a mesma forma de registo. Essa estrutura permite adicionar amanhã uma aplicação que hoje falta, sem ter de recomeçar do zero.
É também por isso que a ordem pela qual preenche os campos importa menos do que a consistência com que os preenche. Uma organização com várias localizações, departamentos ou empresas subsidiárias enfrenta aqui uma camada adicional de complexidade, porque a mesma aplicação é utilizada de forma diferente num local em comparação com outro: como construir um inventário de IA numa organização com várias unidades aborda como manter essas diferenças visíveis sem perder a comparabilidade. Quem, nessa estrutura, quer saber especificamente que campos devem ser preenchidos separadamente por localização, encontra essa informação em o que regista por aplicação numa organização com várias unidades.
Uma vez preenchidos os campos por aplicação, surge a possibilidade de classificar: que papel desempenha esta aplicação, que nível de risco lhe corresponde, e que medidas de governação se ajustam logicamente a esse nível. Esse passo é feito com base no que foi registado, não com base numa estimativa posterior.
Este inventário descreve que aplicações de IA existem e quem as utiliza. Não descreve que parte do trabalho subjacente é efetivamente assumida por essa aplicação. Essa é uma pergunta diferente, com um instrumento diferente: o werkscan da FTE TO AI calcula, por tarefa, que parte do trabalho pode ser assumida pela IA, com base nas tarefas que regista, não com base na ferramenta utilizada para tal.
A AI-scan aqui ainda está em construção. Quem quiser utilizar um destes instrumentos assim que estiverem disponíveis pode inscrever-se na lista de espera.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.