Responsible AI Governance
O scan resulta num dossier: um registo de aplicações de IA, uma classificação de função e nível de risco, um relatório de lacunas e obrigações, e um conjunto de modelos de governança com relatório para o board. O que acontece depois não depende da ferramenta. Isso depende de si, e há três formas de o fazer.
A ordem abaixo é intencional. Fazer sozinho está em primeiro lugar, não porque seja sempre a melhor escolha, mas porque é a situação de partida. Tudo o que transfere para um parceiro, transfere-o depois de o dossier estar pronto, não em vez do dossier.
O que recebe: o dossier completo do scan, mais os modelos para preencher você mesmo. O registo, a classificação e a linha do tempo com o que é urgente e o que pode esperar, estão lá. Os modelos de governança encaixam na estrutura de risco existente, para que não surja um segundo processo ao lado do primeiro. Para o conhecimento subjacente sobre a AI Act, registo e literacia, existe aiacta.eu, onde essa base já está estabelecida.
Quando isto se adequa: se já existir uma função de risco ou compliance capaz de converter classificações, obrigações e cronogramas em política e atribuição de responsabilidade. Se a organização for pequena ou suficientemente clara para gerir sozinha o número de aplicações e os respetivos acordos.
O que precisa de conseguir fazer sozinho: preencher os modelos sem que alguém os interprete por si. Atribuir efetivamente accountability a um nome, não a uma equipa. Implementar e acompanhar o human oversight (supervisão humana), mesmo sem pressão direta de um supervisor. Quem não tiver isso internamente, corre o risco de o dossier ficar arquivado precisamente quando o scan o tinha posto em movimento.
Onde isto não se adequa: se não houver capacidade alguma para traduzir o relatório de lacunas em acordos internos, ou se o número de aplicações e departamentos envolvidos for demasiado grande para manter uma visão de conjunto sozinho.
O que recebe: o mesmo dossier, complementado por um parceiro que elabora consigo o desenho da oversight e o integra na estrutura de risco existente. O parceiro trabalha depois do relatório, fora da ferramenta. O scan permanece o dossier no qual esse acompanhamento se baseia; não surge um processo separado e paralelo.
Quando isto se adequa: se a classificação e as obrigações estiverem claras, mas o desenho de quem é responsável por quê, e como decorre a monitorização, exigir mais trabalho de reflexão do que o disponível internamente. Também adequado se existir uma estrutura de risco, mas não for claro como a oversight específica de IA se encaixa nela sem duplicação de trabalho.
O que precisa de conseguir fazer sozinho: fornecer e explicar ao parceiro os resultados do relatório de lacunas, e decidir sozinho sobre o conteúdo da política. O parceiro colabora no desenho, mas a organização mantém-se proprietária das decisões sobre função, risco e responsabilidade.
Onde isto não se adequa: se houver necessidade de alguém que assuma todo o processo do início ao fim, incluindo execução e monitorização. Isso é a rota 3, não esta.
O que recebe: o processo completo de governança junto de um parceiro, com o scan como dossier estabelecido. O parceiro executa o que o relatório de lacunas indica, implementa a oversight, e acompanha o horizon-scanner para alterações. A ferramenta continua a ser o ponto de partida e o registo; a execução fica noutro lugar.
Quando isto se adequa: se não houver capacidade interna para traduzir classificação, oversight e monitorização em política corrente, ou se a dimensão e a velocidade do uso de IA na organização forem mais rápidas do que o que é possível acompanhar internamente.
O que precisa de conseguir fazer sozinho: definir com precisão o âmbito e a atribuição ao parceiro com base no dossier, e continuar a acompanhar o progresso. Terceirizar a execução não é terceirizar a titularidade: a organização mantém-se responsável pelo que acontece com as aplicações de IA, mesmo que um parceiro conduza o processo.
Onde isto não se adequa: se a ideia for que um parceiro também assuma a decisão sobre aceitação de risco. Essa decisão pertence à própria organização, independentemente de como o processo esteja organizado.
Em nenhuma das três rotas está uma parte deste scan envolvida na execução. A ferramenta fornece o dossier; o que acontece depois é uma escolha feita após o relatório, não incorporada nele. A forma exata como esse levantamento, classificação e estrutura de modelos são elaborados está descrita em como funciona, e quem procura mais contexto sobre função, risco e obrigações encontra-o em a base de conhecimento.
Seja qual for a rota adequada, nenhuma das três diz algo sobre quanto tempo demora ou que funções afeta. Isso só se torna concreto quando a governança é traduzida em tarefas, horas e sistemas, e para isso o werkscan da FTE TO AI (ftetoai.com) é o passo seguinte. É um instrumento diferente para uma questão diferente, depois desta.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.