Un General Counsel nu este tras la răspundere pentru ceea ce merge greșit cu AI. Este tras la răspundere în momentul în care se constată că organizația nu a putut demonstra că a știut, sau mai grav, că ar fi putut să știe și nu a făcut nimic. Aceasta este diferența dintre un incident și o deficiență. Primul se întâmplă unei organizații. A doua îi este imputată.
Întrebarea juridică — ce este permis, ce este obligatoriu, ce termen se aplică — este importantă, dar vine după o altă întrebare. Aceea este: ce folosim noi de fapt. Nu ce a fost achiziționat, nu ce se află pe lista de furnizori a departamentului IT, ci ce lasă oamenii, în practică, să contribuie la decizii, la redactare sau la evaluări. Fără un răspuns la această întrebare, orice sfat juridic este un sfat despre o situație pe care nu o cunoașteți.
Aceasta face poziția General Counsel-ului incomodă. Se așteaptă de la dumneavoastră să evaluați riscuri pe baza unui inventar care de obicei nu există, sau care constă doar din ceea ce a fost aprobat — ceea ce, prin definiție, nu este ceea ce cineva a început să folosească fără permisiune.
„Nu avem nevoie de o politică privind AI, pentru că nu folosim AI” nu este un răspuns care rezistă. Este o presupunere, iar presupunerile sunt exact ceea ce un organism de supraveghere, un judecător sau un jurnalist nu acceptă ulterior. De asemenea, nu acceptați o listă de instrumente aprobate ca o imagine completă: acea listă spune ceva despre ce a fost achiziționat, nimic despre ce se folosește efectiv.
Ce aveți nevoie, de fapt, este o distincție între tipurile de utilizare. Un model lingvistic care rezumă notițe interne comportă un risc diferit față de un sistem care contribuie la o decizie de angajare sau la o evaluare de credit. Fără o clasificare pe rol și nivel de risc, orice discuție despre riscul AI este o discuție în general, iar discuțiile generale nu conduc la poziții defendabile.
AI din umbră — utilizarea care apare în afara oricărei aprobări — nu este ceva ce un departament IT detectează printr-o scanare a rețelei. Oamenii folosesc AI pe propriul laptop, în propriul browser, cu propriul cont. Această utilizare lasă puține urme într-un sistem care nu caută acolo.
Ce funcționează, în schimb, este să întrebați. Dar numai dacă răspunsul nu are consecințe pentru cel care îl dă. Cineva care folosește AI pentru a pregăti un proiect de contract, sau pentru a rezuma o analiză de risc, nu va raporta acest lucru dacă raportarea poate duce la o mustrare. Inventarul de care aveți nevoie apare doar dacă a pune întrebări nu echivalează cu a pedepsi.
Aceasta este un echilibru precar pentru o funcție juridică. Sunteți obișnuit să evaluați riscul pe baza a ceea ce poate merge greșit. Aici trebuie mai întâi să vă asigurați că oamenii au curajul să spună ce fac deja, înainte de a putea evalua dacă acesta este un risc.
Esența poziției dumneavoastră nu este prevenirea oricărui risc — acest lucru nu este realist și nici nu se așteaptă de la dumneavoastră. Esența este demonstrabilitatea: puteți arăta că organizația a știut ce folosea, a evaluat ce risc era asociat cu aceasta și a avut o structură pentru a face ceva în privința asta. Aceasta este o misiune diferită de controlul rezultatelor. Este controlul procesului prin care rezultatele sunt monitorizate.
Această demonstrabilitate nu trebuie să se bazeze pe un cadru nou. Majoritatea organizațiilor au deja o structură de risc — pentru riscul financiar, riscul operațional, conformitate. Riscul AI trebuie să se integreze în aceasta, nu să stea separat, ca un traseu aparte pe care nimeni nu îl cunoaște și nimeni nu îl întreține. Un set de guvernanță care se conectează la ceea ce există deja este folosit. O structură separată este uitată după primul trimestru.
Această poziție descrie mecanismul: inventariere, clasificare, conectare la structura existentă, demonstrabilitate. Nu descrie ce legislație sau reglementare se aplică organizației dumneavoastră, ce termene se aplică sau ce obligație intervine în ce moment. Acel conținut se schimbă, este completat, este explicat de cei specializați în domeniu. Ce contează aici este structura în care acel conținut se poate integra atunci când aveți nevoie de el.
Întrebările pe care le puneți se suprapun cu ceea ce trebuie să știe un manager de risc despre riscul AI și cu poziția unui responsabil de conformitate care trebuie să poată demonstra utilizarea AI. De asemenea, administratorul care răspunde în fața consiliului de supraveghere beneficiază de același inventar pe care vă bazați propria evaluare — este aceeași bază factuală, privită dintr-o altă responsabilitate.
Responsible AI Scan care execută acest mecanism — inventariere, clasificare, conectare la structura de risc existentă — este în curs de dezvoltare. Cei care au nevoie de acest lucru chiar acum se pot înscrie pe lista de așteptare. Nu există încă un serviciu de livrat; există o direcție în care se construiește acest lucru, și aceasta este direcția.
În momentul în care este clar ce AI funcționează și ce risc este asociat cu aceasta, urmează o altă întrebare, care se află în afara propriei dumneavoastră responsabilități, dar se conectează la aceasta: ce parte din munca de bază este de fapt preluată de acel AI. Aceasta este o întrebare care nu se referă la risc, ci la organizarea muncii, și la care răspunde scanul de muncă al FTE TO AI, care calculează pentru fiecare sarcină ce parte este eligibilă pentru preluare.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.