O listă de decizii de supraveghere nu este un formular nou și nici o nouă ședință. Este un loc fix unde se înregistrează care aplicație de AI a fost evaluată, de către cine, pe baza cărei evaluări de risc și cu ce decizie. Aprobată, respinsă, cu condiții, sau permisă temporar în așteptarea unei investigații ulterioare. Fără această listă, o decizie există doar în memoria celor care au fost de față și dispare de îndată ce cineva își schimbă funcția sau discuția nu a fost consemnată în scris.
Lista conține, pentru fiecare aplicație, o scurtă descriere a sarcinii, clasificarea în funcție de rol și nivel de risc, numele proprietarului procesului, data evaluării, decizia luată și motivul acesteia. Nicio specificație tehnică, nicio documentație de furnizor: acestea aparțin dosarului aplicației în sine, nu listei de decizii. Lista este o privire de ansamblu la un nivel mai înalt — cine a decis ce și când a fost reconfirmată ultima dată decizia respectivă. O aplicație aprobată în urmă cu un an pentru o sarcină cu risc limitat poate fi folosită în prezent pentru altceva. Fără o reconfirmare periodică, o decizie veche rămâne valabilă pentru o situație care nu mai există.
Motivul pentru care registrele separate de AI rămân adesea goale nu este reaua-voință, ci ordinea. Fiecare organizație are deja un loc unde riscurile sunt discutate și înregistrate: un comitet de risc, o comisie de audit, o ședință de conducere cu un punct fix pe ordinea de zi despre riscul operațional. Cine înființează, în plus, un jurnal separat pentru AI le cere oamenilor să țină o a doua evidență pentru ceva care, ca conținut, aparține primei. Acel al doilea proces pierde, în mod structural, în fața agitației zilnice. Lista de decizii de supraveghere funcționează numai dacă este integrată în ceea ce există deja — ca element fix al unei ședințe existente, cu un loc fix pe ordinea de zi, în locul unei obligații noi adăugate separat.
Aceasta înseamnă și că lista folosește aceeași scală și același limbaj ca restul structurii de risc. O aplicație cu un nivel de risc ridicat primește același tip de atenție ca un alt dosar cu un nivel de risc ridicat: frecvență fixă de raportare, proprietar fix, linie de escaladare fixă. Modul în care se realizează această legătură în practică depinde de guvernanța existentă a organizației și este descris pe pagina despre alinierea la structura de risc existentă.
O listă de decizii este inutilă fără o traseu clar pentru ce se întâmplă atunci când cineva nu este de acord cu ea, sau când o aplicație se modifică fără ca nimeni să anunțe. Acest traseu nu face parte din listă în sine, dar trebuie să se conecteze la ea: cine dorește să contesteze o respingere, cine trebuie să prelungească o autorizație temporară și la cine ajunge o problemă atunci când proprietarul procesului și funcția de risc nu sunt de acord. Cum se desfășoară aceste linii fără ca fiecare întrebare să ajungă în vârful organizației este descris la căi de escaladare care funcționează.
Lista de decizii este memoria; consiliul de administrație are, în plus, nevoie de un rezumat care nu trebuie recompus în fiecare trimestru din procese-verbale separate. Ce trebuie să conțină acest rezumat — și ce anume nu, pentru că se află deja în lista de decizii — este descris pe pagina despre un raport de o pagină pentru consiliul de administrație. Fără acest pas, lista de decizii rămâne un document citit doar de proprietarii procesului, în timp ce consiliul de administrație rămâne responsabil juridic pentru ceea ce se decide.
A înregistra o decizie nu este același lucru cu a ști dacă decizia este respectată. O aplicație respinsă poate rămâne totuși în uz dacă nimeni nu verifică dacă respingerea a fost efectiv aplicată. De aceea o listă de decizii fără continuare produce puține rezultate: documentează intenții, nu comportament. Ce este necesar pentru a vedea dacă o decizie rezistă în timp, și ce semnale sunt relevante pentru aceasta, este descris pe pagina despre monitorizare care produce rezultate.
O listă de decizii poate conține numai ceea ce a fost raportat. Cine depinde de notificările primite prin departamentul IT vede doar o fracțiune din ceea ce se folosește de fapt: cea mai mare parte a utilizării AI într-o organizație apare în afara traseelor formale de achiziție, în echipe care încearcă un instrument pentru că funcționează. Dacă acele aplicații ajung vreodată pe lista de decizii depinde de faptul dacă angajații au curajul să spună ce folosesc — și acest lucru se întâmplă numai dacă întrebările în acest sens nu par un preambul pentru o sancțiune.
Prima întrebare care ajută în acest sens nu este „ce AI este aprobat”, ci „ce parte din această activitate este deja realizată, sau ar putea fi realizată, de AI”. Acesta este un alt punct de intrare decât o listă de decizii, și un punct de plecare mai complet: scanul de activitate al FTE TO AI calculează, pentru fiecare sarcină, ce parte din activitate poate fi transferată către AI, stabilind astfel o bază care nu depinde de ceea ce a fost raportat din întâmplare. Din acest rezultat devine vizibil ce aplicații funcționează deja, de fapt, înainte ca lista de decizii să afle vreodată de ele.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.