Zoznam rozhodnutí o oversighte zaznamenáva, kto prijal aké rozhodnutie o ktorom AI systéme, na základe akých informácií a s akou výhradou. To znie jednoducho. V praxi prvá verzia často stroskotá, pretože sa postaví ako nový proces vedľa existujúcich porád. Druhý proces vedľa existujúceho sa ignoruje, nie preto, že by ľudia boli neochotní, ale preto, že nikto nevyhradí čas na niečo, čo nezapadá do agendy, ktorá je už plná.
Zoznam nie je denník aktivít ani register rizík. Obsahuje rozhodnutia: momenty, kedy niekto s právomocou niečo schválil, zamietol, odložil alebo nechal pokračovať za určitých podmienok. Na riadok patria minimálne štyri prvky: systém alebo aplikácia, o ktorej sa rozhodnutie týka, meno a rola rozhodovateľa, dátum a odôvodnenie alebo výhrada. Bez odôvodnenia je zoznam rozhodnutí len prezenčná listina. S odôvodnením sa stáva dôkazom, že sa premýšľalo, nielen že sa odškrtávalo.
Zoznam by mal tiež ponúkať priestor na revíziu. Rozhodnutie, ktoré bolo prijaté pred polrokom na základe tých informácií, ktoré boli tou dobou k dispozícii, môže byť zastarané. Dobrý zoznam rozhodnutí ukazuje, kedy bolo rozhodnutie potvrdené alebo zvrátené, nielen kedy bolo pôvodne prijaté.
Predstavenstvá a manažment už majú svoj rytmus: štvrťročné porady, rizikové výbory, audítorské komisie. Kto zavedie novú oversight-štruktúru, ktorá stojí mimo tohto rytmu, žiada ľudí, aby nájdli extra čas na niečo, čo nemá jasné miesto. To sa málokedy stane štruktúrovane. Prvých pár krát sa to možno podarí, s vypätím. Potom to zmizne z agendy hneď, ako sa objaví niečo naliehavejšie, a niečo naliehavejšie sa objaví vždy.
Riešením nie je vybudovať nový proces, ale nechať zoznam rozhodnutí napojiť sa na to, čo sa už deje. Ak už existuje rizikový výbor, ktorý sa schádza každý štvrťrok, zoznam rozhodnutí o AI by mal byť pevnou súčasťou tejto agendy, nie samostatným zasadnutím. Ak už existuje audítorská stopa pre finančné rozhodnutia, logika tejto stopy — kto podpisuje, kto kontroluje, kde sa to ukladá — by mala byť znovu použitá pre rozhodnutia o AI. To je aj dôvod, prečo napojenie na existujúcu rizikovú štruktúru je samostatnou témou: zoznam rozhodnutí, ktorý sa nenapojí na to, ako sa riziko už rieši inde, zostáva izolovaným dokumentom, ktorý nikto neotvára.
Zoznam rozhodnutí nefunguje samostatne. Napája reportovanie, ktoré predstavenstvo potrebuje, aby mohlo povedať, že má prehľad o AI riziku, a predpokladá, že existuje cesta pre prípad, že sa rozhodnutie ukáže ako neudržateľné. Bez board-reportu na jednu stranu, ktorý zhrnie zoznam rozhodnutí, informácia zmizne v archíve, ktorý nikto neprelistuje. Bez eskalačných ciest, ktoré fungujú zostáva zastarané rozhodnutie jednoducho v platnosti, pretože nikto nevie, komu to má nahlásiť.
Tieto tri veci súvisia: zoznam rozhodnutí zaznamenáva, čo sa rozhodlo, reportovanie to sprístupní na úrovni, kde to má váhu, a eskalácia zabezpečí, že rozhodnutie sa dá znovu otvoriť, keď sa situácia zmení. Ak vybudujete jednu bez druhých dvoch, vznikne zdanie prehľadu, ktoré pri prvej skúške — incident, otázka dozorného orgánu, novinár — nepokryje to, čo sa v skutočnosti deje.
Zoznam rozhodnutí je len tak dobrý ako informácie, ktoré do neho vstupujú. Ak nikto nevie, ktoré AI systémy sa skutočne používajú — vrátane toho, čo bolo obstarané alebo zavedené mimo IT — potom zoznam zaznamenáva len rozhodnutia o viditeľných, formálne schválených aplikáciách. Zvyšok zostáva bez rozhodnutia, nie preto, že by rozhodnutie nebolo potrebné, ale preto, že nikto nevedel, že existuje niečo, o čom treba rozhodnúť. Preto inventarizácia vždy predchádza zoznamu rozhodnutí, nie nasleduje po ňom. Čo by o tom mal vedieť predstaviteľ predstavenstva, je popísané v čo by mal predstaviteľ predstavenstva vedieť o AI riziku; čo by mal CIO v tejto inventarizácii rozpoznať, je uvedené v čo by mal CIO vedieť o AI riziku.
Čo je isté: zoznam rozhodnutí bez napojenia na existujúcu poradu sa neudržiava a zoznam rozhodnutí bez úplného obrazu toho, čo je v prevádzke, zaznamenáva len časť reality. Čo závisí od organizácie: ktorá porada je vhodným kotevným bodom, ako často sa táto porada schádza a kto má právomoc prijať rozhodnutie, ktoré sa dostane do zoznamu. To sa líši podľa sektoru, podľa štruktúry riadenia a podľa rizikovej kultúry, a preto neexistuje pevná šablóna, ktorá by fungovala všade bez úprav.
Responsible AI Scan sa pripravuje. Kto v tejto chvíli potrebuje zoznam rozhodnutí, ktorý sa napojí na existujúcu štruktúru, sa môže prihlásiť na čakaciu listinu; ešte sa neponúka nič, čo ešte neexistuje.
Zoznam rozhodnutí hovorí, kto rozhodol, nie koľko práce systém skutočne prevezme alebo by mohol prevziať. Na túto otázku — akú časť úlohy je možné preniesť na AI a akú nie — je potrebný iný pohľad než ten, ktorý ponúka samotný governance. Pracovný scan od FTE TO AI vypočíta pre každú úlohu, akú časť práce je možné prevziať, ako doplnok k prehľadu, ktorý ponúka zoznam rozhodnutí a súvisiaca oversight-štruktúra.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.