Orice organizație cu o anumită dimensiune are deja o structură de risc. Un comitet de risc, o funcție de audit, o linie de raportare către consiliu, un format în care riscurile sunt clasificate și urmărite. Cine pune un proces nou pe lângă asta, specific pentru AI, cu un comitet propriu, un calendar propriu și un limbaj propriu, obține în decurs de un an un proces pe care nimeni nu mai completează. Nu pentru că AI nu este considerat important, ci pentru că o a doua structură concurează cu prima pentru timp, atenție și mandat. Structura existentă câștigă aproape întotdeauna, pentru că este integrată în evaluări, cicluri de funcționare și agende ale consiliului. Structura nouă rămâne în afara acesteia.
Întrebarea nu este deci cum construiți o structură de guvernanță AI. Întrebarea este cum obține AI un loc în structura care există deja.
Majoritatea structurilor de risc cunosc deja o serie de componente fixe: un inventar de riscuri actualizat periodic, o clasificare după gravitate și probabilitate, un proprietar pentru fiecare risc, o linie de escaladare către un nivel superior atunci când o limită este depășită, și o raportare către consiliu la momente fixe. Aceasta este structura în care AI trebuie să se încadreze, nu pe lângă ea.
Asta înseamnă că o aplicație AI nu trebuie să figureze într-un registru AI separat, ci ca element de risc în registrul existent, cu aceleași câmpuri ca orice alt risc: proprietar, gravitate, probabilitate, măsură de mitigare, dată de statut. Clasificarea pe nivel de risc care aparține unui inventar de utilizare a AI trebuie să se alinieze la scala deja folosită pentru riscul operațional, nu la o scală nouă inventată exclusiv pentru AI. Cine citește ce trebuie să știe un cio despre riscul ai vede că exact această aliniere este locul unde lucrurile merg des greșit: un scor de risc AI corect din punct de vedere tehnic pe care nimeni nu îl poate compara cu restul registrului de riscuri.
Două lucruri fac integrarea dificilă. Primul este limbajul. Managerii de risc lucrează cu concepte precum impact, probabilitate și măsură de mitigare. Furnizorii de AI și echipele tehnice lucrează cu versiuni de model, date de instruire și metrici de performanță. Un set de guvernanță scris doar în limbajul tehnic nu este citit de comitetul de risc. Un set de guvernanță scris doar în limbajul de risc nu este completat de proprietarul tehnic. Setul trebuie să fie lizibil în ambele direcții: suficient de tehnic pentru a fi corect, suficient de instituțional pentru a fi adoptat. Acest principiu reapare la o politică ai care este citită: un document care se aliniază la modul în care oamenii deja citesc și decid, în loc să impună un mod nou de citire.
Al doilea este ritmul. Un comitet de risc se reunește pe un ciclu fix, adesea trimestrial sau lunar. Utilizarea AI se schimbă mai rapid: o echipă începe săptămâna aceasta cu un instrument nou, fără să existe o ședință în prealabil. Setul de guvernanță nu trebuie, prin urmare, să depindă de ciclul de ședințe pentru a funcționa. Trebuie să existe un mecanism mai ușor care să gestioneze abaterile între momentele fixe și care să fie confirmat formal doar la ciclul următor. Cum funcționează acest mecanism în practică este descris la căi de escaladare care funcționează: o rută suficient de scurtă pentru a fi folosită înainte ca următorul comitet trimestrial să se reunească.
Un set de guvernanță care se aliniază la o structură de risc existentă conține, în linii mari: un element de inventar pentru fiecare aplicație AI cu proprietar și clasă de risc, o legătură cu calea de escaladare existentă astfel încât o abatere să nu se pierdă într-un canal separat, și un loc fix în raportarea periodică către consiliu. Nu ca un capitol separat despre AI, ci ca o linie în tabelul pe care consiliul îl cunoaște deja. Cum poate să pară această raportare fără a introduce un format nou este descris la cum obțineți o raportare de consiliu de o pagină integrată în ceea ce circulă deja.
Conținutul propriu-zis al regulilor, exact ce se încadrează sub care nivel de risc și ce termene sunt asociate, este stabilit în altă parte și se schimbă; această pagină se referă la mecanismul care dă acelui conținut un loc în structura existentă, nu la textul acelor reguli.
Integrarea funcționează doar dacă inventarul este corect de la început. Și acesta este corect doar dacă oamenii au curajul să spună ce folosesc. Cine, la completarea elementului de risc, simte că un răspuns sincer duce la o notă în evaluare, nu îl va completa sincer. Setul de guvernanță trebuie, prin urmare, să facă clar de la prima versiune că scopul este imaginea de ansamblu, nu sancțiunea. Fără acest angajament, o parte din utilizare rămâne invizibilă, iar alinierea la structura de risc este construită pe o listă incompletă. Ce trebuie să știe un administrator despre asta înainte de a începe primul inventar este descris la ce trebuie să știe un administrator despre riscul ai.
Această integrare se referă la risc, proprietate și raportare: asigură că ceea ce face AI este vizibil și controlabil în cadrul structurii care există deja. O altă întrebare, care urmează logic de aici de îndată ce imaginea de ansamblu este clară, este ce poate AI să preia efectiv din acea muncă. Scanul de muncă al FTE TO AI calculează, pe fiecare sarcină, ce parte din muncă poate fi preluată de AI, ca pas următor după ce partea de guvernanță este în ordine.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.