Cele mai multe organizații au deja ceva care se numește monitorizare. Un tablou de bord, un format de raportare, o ședință periodică în care se discută riscurile. Problema nu este că aceasta lipsește. Problema este că monitorizarea AI este plasată alături ca o componentă separată, cu propriul ritm, propriul proprietar și propriul șablon. Cine are deja trei procese pentru a urmări riscul nu va completa cu conștiinciozitate un al patrulea proces. Acesta devine o obligație care este bifată în grabă o dată pe trimestru, sau deloc.
Acesta este motivul pentru care monitorizarea utilizării AI atât de des nu produce niciun rezultat. Nu pentru că întrebările ar fi greșite, ci pentru că procesul în sine rămâne un corp străin într-o organizație care are deja procese pentru risc, conformitate și control intern.
Monitorizarea care aduce ceva concret nu începe cu un format, ci cu o întrebare: ce se schimbă, și cine observă asta primul? Pentru sistemele AI, aceasta înseamnă trei straturi.
Primul strat este utilizarea: este un sistem încă folosit conform destinației sale, sau aplicația s-a deplasat fără ca cineva să raporteze asta? Un instrument care a început ca verificare de text și acum este folosit pentru a formula decizii preliminare reprezintă un risc diferit de cel stabilit la momentul lansării.
Al doilea strat este proveniența: este sistemul încă identic cu cel care a fost clasificat inițial? Modelele subiacente sunt înlocuite, furnizorii își modifică condițiile, un instrument izolat este integrat într-o platformă mai mare. Fiecare modificare poate invalida evaluarea de risc de la momentul respectiv, fără ca cineva să o reevalueze.
Al treilea strat este semnalul: există reclamații, erori sau abateri care indică faptul că ceva nu funcționează conform presupunerilor? Acesta este stratul care lipsește cel mai frecvent, pentru că nimeni nu are interesul de a raporta o problemă cu un sistem care oficial nu există.
O organizație care are deja un ciclu de risc pentru riscuri operaționale, riscuri financiare sau protecția datelor nu va iniția un ciclu nou pentru AI. Aceasta nu este o reticență; este o problemă de capacitate. Cine încearcă vede două lucruri petrecându-se. Fie noua monitorizare rămâne goală, pentru că nimeni nu găsește timp să alimenteze un sistem pe care nimeni nu îl cere. Fie noua monitorizare este preluată de aceiași oameni care conduc deja ciclul existent, și atunci distincția dispare de la sine.
Întrebarea nu este, așadar, dacă trebuie creat un proces separat de monitorizare AI. Întrebarea este cum ajung semnalele AI în ciclul existent, astfel încât să fie discutate în aceeași ședință, cu același proprietar și în același ritm ca celelalte riscuri. Modul exact în care se organizează acest lucru depinde de modul în care funcționează deja ciclul existent: unele organizații au o raportare trimestrială către comitetul de audit, altele o ședință lunară de risc la nivel de conducere, altele un jurnal continuu actualizat pe fiecare incident. Mai multe despre cum integrați monitorizarea care aduce ceva concret în ceea ce funcționează deja, în loc să adăugați ceva separat se găsesc pe o pagină separată, pentru că acest mecanism este configurat diferit pentru fiecare organizație.
Ceea ce se aplică universal este o formă fixă în care este consemnat statusul sistemelor AI: ce rulează, în ce rol, cu ce nivel de risc, și când a fost confirmat ultima dată acest lucru. Nu ca document AI separat, ci ca anexă sau componentă fixă a raportării care există deja. Acest lucru se poate integra cu o raportare de o pagină către consiliu care sintetizează riscurile fără a le ascunde, astfel încât monitorizarea să nu devină un flux separat de informații, ci un rând într-un tabel pe care administratorul îl citește deja.
Această formă funcționează doar dacă clasificarea subiacentă rămâne ea însăși actuală, iar acea clasificare trebuie, la rândul ei, să se conecteze cu structura de risc care există deja. Fără această conectare, monitorizarea rămâne o a doua limbă alături de prima, și acea a doua limbă este uitată de îndată ce presiunea crește. Modul în care se prezintă această conectare depinde de cum se îmbină structura de risc și clasificarea AI în ceea ce o organizație folosește deja, și nu poate fi descris în termeni generali fără a cunoaște structura existentă.
Monitorizarea care funcționează bine nu semnalează doar riscul, ci și deplasarea: sisteme care sunt utilizate diferit de intenția inițială, sau sarcini care au fost preluate în tăcere fără ca cineva să consemneze asta. Aceleași semnale sunt, de asemenea, informații despre unde își petrec efectiv oamenii timpul, și unde AI preia deja efectiv munca fără ca acest lucru să fie scris undeva. Cine dorește să concretizeze această întrebare mai mult decât permite o clasificare de risc poate consulta scanarea de lucru a FTE TO AI pentru a vedea ce parte din muncă, pe sarcină, se califică pentru AI, indiferent de întrebarea dacă acest lucru se întâmplă deja sau trebuie încă decis. Această scanare nu calculează în risc, ci în sarcini și ore, și se conectează astfel cu ceea ce semnalează monitorizarea fără a o explica.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.