Întrebarea dacă o aplicație de AI este considerată cu risc ridicat sună ca o calificare tehnică. În practică, este o clasificare care depinde de o serie de factori concreți, iar această clasificare determină apoi câtă supraveghere, documentație și demonstrabilitate se așteaptă de la dumneavoastră. Definițiile și pragurile legale actuale nu se găsesc pe această pagină; acestea le puteți găsi în altă parte. Aici explicăm de ce depinde clasificarea și ce se schimbă în organizația dumneavoastră atunci când aceasta se modifică.
Nu există o singură caracteristică care face ca o aplicație să fie considerată cu risc ridicat. Este o combinație de factori care, împreună, formează imaginea de ansamblu: domeniul în care este utilizată aplicația, măsura în care o decizie are consecințe directe pentru o persoană, și întrebarea dacă există un om care poate evalua efectiv sfatul sau rezultatul AI și, dacă este necesar, îl poate corecta înainte ca acesta să aibă efect. O aplicație care doar rezumă text se situează, în general, altfel în această clasificare decât o aplicație care contribuie la o decizie privind un individ. Contează, de asemenea, contextul în care este utilizată o aplicație: aceeași tehnologie de bază poate fi considerată risc scăzut într-un domeniu și risc ridicat în altul, în funcție de ceea ce se face cu rezultatul.
Aceasta este unul dintre motivele pentru care o listă de software aprobat nu este suficientă. Clasificarea nu depinde de eticheta de pe pachet, ci de modul în care este utilizată efectiv și de locul pe care îl ocupă în procesul de decizie.
Dacă o aplicație este evaluată ca având un risc mai ridicat, se schimbă ceva în ceea ce se așteaptă de la organizație: mai multă documentație despre modul în care funcționează și a fost testată aplicația, un mecanism de supraveghere mai clar asupra rezultatelor și o modalitate de a putea demonstra, ulterior, cine a acordat atenție la ce. Aceasta nu este o acțiune unică, ci o obligație continuă: documentația și supravegherea trebuie să rămână actuale atât timp cât aplicația este în uz.
Clasificarea nu este nici statică. O aplicație care astăzi este considerată risc limitat poate fi utilizată diferit mâine — într-un alt domeniu, cu un impact mai mare asupra indivizilor, sau cu o intervenție umană mai redusă decât înainte. Cei care stabilesc clasificarea o singură dată și nu o mai revizuiesc riscă ca aceasta să nu mai corespundă utilizării efective. Acest lucru este valabil și pentru aplicațiile care sunt modificate după ce au fost achiziționate; ceea ce se schimbă exact atunci când modificați dumneavoastră înșivă un model depinde de natura acelei modificări, așa cum este descris pe pagina despre modificările aduse unui model.
Clasificarea unei aplicații are sens doar dacă este aplicată la ceea ce se utilizează cu adevărat. O mare parte din utilizarea din cadrul unei organizații se desfășoară în afara inventarului oficial: echipe care folosesc un model de limbaj pentru un e-mail conceptual, un analist care utilizează un model extern pentru o primă versiune a unui raport, un departament care a achiziționat un instrument fără să îl raporteze. Această utilizare nu apare din rea-voință. Apare pentru că traseul oficial este mai lent decât nevoia, sau pentru că nimeni nu știa că trebuia urmat un traseu.
Consecința este că lista IT rareori oferă o imagine completă. Cei care doresc să cunoască ce este cu adevărat necesar în privința clasificării riscurilor trebuie să cartografieze ei înșiși utilizarea — iar acest lucru necesită să pui întrebări persoanelor care efectuează munca, fără ca acest lucru să fie urmat de vreo sancțiune. Cei care simt, deja de la prima conversație, că un răspuns sincer va avea consecințe, nu vor răspunde sincer. Acest lucru face inventarul inutilizabil încă înainte de a fi finalizat.
Nu orice aplicație de AI se încadrează în cadrul în care clasificarea riscurilor este relevantă. Unele aplicații nu intră, prin natura sau scopul lor, în sfera de aplicare a reglementării, și este înțelept să faceți această distincție din timp, înainte de a investi timp în clasificări care nu sunt necesare; care aplicații sunt vizate este descris pe pagina despre aplicațiile care nu se încadrează în domeniul de aplicare al obligațiilor. De asemenea, rolul pe care organizația dumneavoastră îl joacă — ca furnizor al unui sistem sau ca utilizator al acestuia — influențează ce obligații sunt legate de o clasificare a riscurilor, iar acest rol nu este întotdeauna clar dinainte; ce anume este decisiv în acest sens puteți citi pe pagina despre distincția dintre furnizor și utilizator. Același rol se poate, de asemenea, schimba de îndată ce modificați un sistem sau îl oferiți sub propriul nume, aspect explicat în detaliu pe pagina despre circumstanțele în care rolul dumneavoastră se schimbă.
O clasificare pe niveluri de risc generează aproape întotdeauna întrebarea următoare: ce este urgent din toate acestea și ce poate fi încă planificat. Această distincție nu este identică pentru fiecare organizație și depinde de ce aplicații sunt deja în producție și care sunt încă în dezvoltare. Un rezumat al aspectelor care necesită, în general, atenție mai întâi și al celor care pot urma mai târziu se găsește pe pagina despre ce trebuie făcut acum și ce poate fi planificat.
Odată ce este clar ce aplicații din organizația dumneavoastră sunt considerate cu risc ridicat, apare firesc o altă întrebare: cât de mult din munca de bază este efectuată efectiv de AI și cât de mult de către oameni care verifică sau completează rezultatul. Această întrebare se află în afara domeniului acestei scanări, dar este răspunsă de scanarea de muncă a FTE TO AI, care calculează, pe sarcină, ce parte a muncii poate fi în mod rezonabil preluată de AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.