Aveți o listă cu instrumente AI aprobate. Întrebarea nu este dacă lista este corectă, ci dacă mai înseamnă ceva. Un angajat care accelerează o sarcină cu un chatbot care nu se află pe listă nu raportează asta ca incident. Nu o raportează pentru că nu simte că e un incident. Răspunsul pe care nu îl acceptați este deci „avem o politică AI și o listă aprobată” — pentru că această frază nu spune nimic despre ce se întâmplă în afara acelei liste, iar aceasta este probabil cea mai mare parte.
Ca CIO, sunteți persoana care trebuie să explice de ce un incident AI nu a fost cunoscut mai devreme, în timp ce restul organizației presupune că IT are o imagine de ansamblu. Această imagine de ansamblu există pentru sistemele achiziționate. Nu există pentru extensia pe care o echipă a instalat-o singură, versiunea de probă pe care cineva a activat-o sau modelul care a venit împreună cu un instrument de servicii pentru clienți. Riscul pentru dumneavoastră nu este că se folosește AI — asta se întâmplă în orice caz — ci că sunteți ultimul care află, în momentul în care lucrurile au mers deja rău.
Un inventar corect vă schimbă poziția. În loc să reacționați la incidente pe care nu le-ați văzut venind, puteți indica din timp unde se află riscurile și de ce. Aceasta este și baza pentru a purta discuția în cadrul organizației cu General Counsel, care privește aceeași AI din umbră dintr-o altă perspectivă, și cu managerul de risc, care dorește să o încadreze în structura de risc existentă în loc să creeze un traseu separat pentru ea.
Lista IT înregistrează ce a fost achiziționat și aprobat. AI-ul din umbră apare acolo unde acești doi pași sunt omiși: un angajat găsește un instrument, îl folosește și nu raportează nimic pentru că nu pare să fie nimic de raportat. Nu este neglijență — este consecința unui proces de achiziție care nu a fost conceput pentru a urmări ce își procură oamenii singuri. Cu cât organizația este mai mare și cu cât mai multe echipe lucrează independent, cu atât mai mare poate fi diferența dintre listă și realitate. Cât de mică este această diferență depinde de câtă libertate au echipele de a-și alege propriile instrumente și de cât de vizibil este deja acest comportament — nu există o cifră despre asta, doar direcția.
Singurul mod de a afla ce se folosește cu adevărat este să întrebați oamenii care îl folosesc. Asta funcționează doar dacă răspunsul nu duce la o consecință pentru cel care îl dă. Dacă întrebați „folosești instrumente AI care nu sunt aprobate” pe un ton care miroase a evaluare de performanță, veți primi răspunsul pe care lista IT l-a dat deja: nu. Dacă întrebați fără legătură cu vreo consecință, cu scopul de a înțelege în loc de a corecta, se formează o imagine care corespunde realmente practicii. Această distincție — a întreba fără consecințe versus a întreba cu consecințe — este diferența dintre un inventar care are valoare și un exercițiu care nu spune nimănui nimic.
O listă de instrumente folosite este un punct de plecare, nu un punct final. Nu fiecare aplicație AI prezintă același risc. Un instrument care rescrie text pentru uz intern este diferit de un instrument care participă la decizia privind acceptarea unui client sau evaluarea unui angajat. Clasificarea după rol — ce face sistemul — și după nivel de risc — care este impactul dacă lucrurile merg rău — este necesară pentru a ști unde trebuie să vă concentrați atenția. Fără clasificare, fiecare aplicație AI pare identică într-un raport, și aceasta este exact imaginea care nu ajută un consiliu de administrație să se implice.
Ca CIO, aveți probabil deja un cadru de risc pentru sistemele IT, securitatea informației și furnizori. Guvernanța AI funcționează mai bine dacă se racordează la această structură decât dacă devine un cadru separat, în plus. Aceasta este și problema cu care se confruntă responsabilul de conformitate și liderul programului AI: prea multe inițiative AI separate care nu comunică între ele, în timp ce consiliul de administrație se așteaptă tocmai la un singur răspuns coerent la întrebarea ce se întâmplă și ce se face în privința asta.
Ce înseamnă AI-ul din umbră diferă de la un sector la altul. În construcții funcționează diferit decât în sectorul instalațiilor, și merită să vedeți cum prinde formă guvernanța AI în construcții sau cum se prezintă aceasta în sectorul instalațiilor înainte de a presupune că o singură abordare se aplică pretutindeni.
Responsible AI Scan care produce acest rezultat — inventar, clasificare, un set de guvernanță racordat la structura dumneavoastră existentă — este în construcție. Cei care doresc deja să înceapă cu asta se pot înscrie pe lista de așteptare; nu există încă un produs finit de oferit, și preferăm să scriem asta cinstit decât să promitem ceva ce încă nu există.
În momentul în care știți ce AI se folosește și cu ce risc, urmează firesc întrebarea următoare: care parte din muncă ar putea fi ea însăși o sarcină pentru AI, și care parte nu. Aceasta este o întrebare diferită de gestionarea riscului — este vorba despre capacitate, nu despre expunere — și scanul de lucru al FTE TO AI calculează asta pentru fiecare sarcină, astfel încât să nu știți doar ce funcționează deja, ci și unde AI ar putea prelua ea însăși munca.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.