Zoznam rozhodnutí o dohľade nie je nový formulár ani nová schôdza. Je to pevné miesto, kde sa zaznamenáva, ktorá AI aplikácia bola posúdená, kým, na základe akého posúdenia rizika a s akým rozhodnutím. Schválené, zamietnuté, s podmienkami, alebo dočasne povolené do ukončenia ďalšieho preskúmania. Bez tohto zoznamu existuje rozhodnutie iba v pamäti tých, ktorí boli prítomní, a zmizne, keď niekto zmení funkciu alebo keď rozhovor nebol zaznamenaný do zápisnice.
Zoznam obsahuje pri každej aplikácii krátky popis úlohy, klasifikáciu podľa role a úrovne rizika, meno vlastníka procesu, dátum posúdenia, prijaté rozhodnutie a dôvod pre neho. Nie technickú špecifikáciu, nie dokumentáciu dodávateľa: to patrí do dokumentácie samotnej aplikácie, nie do zoznamu rozhodnutí. Zoznam je prehľad o jednu úroveň vyššie — kto o čom rozhodol a kedy bolo toto rozhodnutie naposledy potvrdené. Aplikácia, ktorá bola pred rokom schválená pre úlohu s obmedzeným rizikom, sa medzičasom môže používať na niečo iné. Bez periodického opätovného potvrdenia zostáva staré rozhodnutie platné pre situáciu, ktorá už neexistuje.
Dôvod, prečo samostatné registre AI zostávajú často prázdne, nie je neochota, ale poradie. Každá organizácia už má miesto, kde sa riziká prerokúvajú a zaznamenávajú: rizikový výbor, audítorský výbor, riadiace zasadnutie s pevným bodom programu o operačnom riziku. Kto k tomu zriadi samostatný denník AI, žiada ľudí, aby viedli druhú evidenciu niečoho, čo obsahovo patrí do prvej. Tento druhý proces to štrukturálne prehráva s naliehavosťou bežného dňa. Zoznam rozhodnutí o dohľade funguje iba vtedy, ak je zabudovaný do toho, čo už existuje — ako pevná súčasť existujúceho zasadnutia, s pevným miestom na programe, a nie ako nová povinnosť navyše.
To tiež znamená, že zoznam používa rovnakú mierku a jazyk ako zvyšok rizikovej štruktúry. Aplikácia s vysokou úrovňou rizika získava rovnaký druh pozornosti ako iná zložka s vysokou úrovňou rizika: pevnú frekvenciu vykazovania, pevného vlastníka, pevnú eskalačnú linku. Ako toto prepojenie vyzerá v praxi, závisí od existujúceho riadenia organizácie a je popísané na stránke o napojení na existujúcu rizikovú štruktúru.
Zoznam rozhodnutí je bezcenný bez postupu pre to, čo sa stane, keď s ním niekto nesúhlasí, alebo keď sa aplikácia zmení bez toho, aby to niekto nahlásil. Tento postup nepatrí do samotného zoznamu, ale musí naň nadväzovať: kto môže napadnúť zamietnutie, kto musí predĺžiť dočasné povolenie, a ku komu sa dostane vec, keď sa vlastník procesu a riziková funkcia nezhodnú. Ako tieto linky vedú bez toho, aby sa každá otázka dostala na najvyšší stupeň organizácie, je popísané pri eskalačných cestách, ktoré fungujú.
Zoznam rozhodnutí je pamäť; predstavenstvo potrebuje navyše súhrn, ktorý nemusí byť každý štvrťrok znova zostavovaný z jednotlivých zápisníc. Čo by na tomto súhrne malo byť — a čo naopak nie, pretože to už je v zozname rozhodnutí — je uvedené na stránke o reportáži pre predstavenstvo na jednej stránke. Bez tohto kroku zostáva zoznam rozhodnutí dokumentom, ktorý čítajú iba vlastníci procesov, hoci predstavenstvo zostáva právne zodpovedné za to, čo sa rozhoduje.
Zaznamenať rozhodnutie nie je to isté ako vedieť, či sa rozhodnutie dodržiava. Aplikácia, ktorá bola zamietnutá, môže zostať v používaní, keď nikto nekontroluje, či bolo zamietnutie skutočne uplatnené. To je dôvod, prečo zoznam rozhodnutí bez pokračovania prináša málo: dokumentuje zámery, nie správanie. Čo je potrebné na to, aby bolo vidieť, či rozhodnutie skutočne obstojí, a aké signály k tomu patria, je uvedené na stránke o monitoringu, ktorý niečo prináša.
Zoznam rozhodnutí môže obsahovať iba to, čo bolo nahlásené. Kto je závislý od hlásení cez IT oddelenie, vidí iba zlomok toho, čo sa skutočne používa: väčšia časť používania AI v organizácii vzniká mimo formálnych nákupných procesov, v tímoch, ktoré vyskúšajú nástroj, pretože funguje. Či sa tieto aplikácie niekedy dostanú do zoznamu rozhodnutí, závisí od toho, či sa zamestnanci odvážia povedať, čo používajú — a to sa stane iba vtedy, ak otázky na túto tému nepôsobia ako predsieň sankcie.
Prvá otázka, ktorá pri tom pomáha, nie je „ktoré AI je schválené“, ale „ktorá časť tejto práce už vlastne je, alebo by mohla byť, robená AI“. To je iný prístup než zoznam rozhodnutí, a úplnejší východiskový bod: pracovný skener FTE TO AI vypočíta pre každú úlohu, ktorú časť práce je možné prevziať AI, a tým vytvára základ, ktorý nezávisí od toho, čo náhodou bolo nahlásené. Z tohto výsledku sa stáva viditeľné, ktoré aplikácie sa vlastne už používajú, skôr než o nich zoznam rozhodnutí kedy vedel.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.