Ako štatutár sami neskúmate, ktorý AI-model produkuje aký výstup. Kladiete si inú otázku: ak sa niečo pokazí, môžem preukázať, že sme o tom vedeli, že sme sa tým zaoberali a že sme niečo urobili. Táto otázka je riadiaca, nie technická. A odpoveď, ktorú neprijímate, je zoznam schválených aplikácií od IT oddelenia. Nie preto, že by bol tento zoznam nesprávny, ale preto, že je neúplný. Popisuje to, o čo bolo požiadané, nie to, čo sa skutočne používa.
Riziko pre štatutára nespočíva v tom, že zamestnanec používa jazykové AI na napísanie konceptu. Riziko spočíva v tom, že v momente, keď na tom záleží — pri incidente, otázke dozorného orgánu, otázke zodpovednosti — o tom nemôžete povedať nič. V tom momente sa počíta jedine preukázateľnosť. Nie to, či ste to mohli v danom čase vedieť, ale to, či môžete preukázať, že existovala štruktúra na to, aby ste to vedeli. Štatutár, ktorý povie „nemali sme na to prehľad“, je v inej pozícii ako štatutár, ktorý povie „to spadalo do kategórie, ktorú sme vedome takto riešili“. Rozdiel medzi týmito dvoma vetami je to, čo tento skenovanie prináša.
Cieľom nie je zakázať alebo brzdiť každé použitie AI. Väčšina toho, čo zamestnanci sami začali používať, je funkčná a niečo prináša. Prínos pre štatutára nespočíva v brzdení tohto vývoja, ale v schopnosti rozlišovať: toto je nízke riziko a môže pokračovať, toto sa dotýka osobných údajov alebo rozhodovania o ľuďoch a musí sa riešiť inak, toto je nejasné a treba to preskúmať. Bez tohto rozlíšenia zaobchádzate so všetkým rovnako — a to je väčšinou príliš striktné pre väčšinu prípadov a príliš voľné pre výnimku, na ktorej to záleží.
Stínová AI nevzniká z nevôle. Vzniká preto, že zamestnanec mal problém a našiel nástroj, ktorý ho vyriešil, bez toho, aby existoval proces schvaľovania, ktorý by bol rýchlejší než samotný nástroj. Tieto nástroje sa neobjavujú v zoznamoch nákupov. Objavia sa až vtedy, keď sa na ne niekto spýta — a to len v prípade, že pýtanie sa okamžite nevedie k sankcii. Organizácia, ktorá chce vidieť stínovú AI, musí najprv jasne dať najavo, že nahlásenie nie je riziko. Je to riadiace rozhodnutie, nie technické.
Responsible AI Scan začína inventarizáciou toho, čo sa skutočne používa, bez ohľadu na to, čo bolo kedysi schválené. Následne sa každé použitie klasifikuje podľa role — kto to používa, na čo — a podľa úrovne rizika. Táto klasifikácia vedie k súboru pravidiel riadenia: spôsobu zaobchádzania s každou kategóriou, ktorý zapadá do existujúcej rizikovej štruktúry vašej organizácie, namiesto vytvárania nového rámca vedľa nej. Obsah samotných pravidiel — presne aké povinnosti platia, v akých lehotách — je uvedený inde; na to sa toto skenovanie nezameriava. Toto skenovanie sa zameriava na mechanizmus: vedieť, čo sa používa, byť schopný to zaradiť a byť schopný preukázať, že sa to urobilo.
S klasifikáciou podľa role a úrovne rizika môžete dozornému orgánu, audítorovi alebo dozornej rade ukázať štruktúru namiesto sľubu. Môžete uviesť, ktoré kategórie potrebujú pozornosť a ktoré nie. Môžete o tom podávať správy bez toho, aby ste každý raz znova musel vysvetľovať, prečo ste niečo nevedeli. To je iná pozícia než reaktívne vysvetľovanie, prečo sa nástroj dostal do organizácie nepovšimnuto.
Otázka AI-rizika vyzerá inak podľa funkcie. To, čo by mal CIO vedieť o AI-riziku, sa týka systémov a infraštruktúry; to, čo by mal General Counsel vedieť o AI-riziku, sa týka zodpovednosti a preukazovania; to, čo by mal risk manažér vedieť o AI-riziku, sa týka toho, ako AI-riziko zapadá do existujúcej taxonómie rizík. Ako štatutár máte do činenia so všetkými tromi, ale nie vy vykonávate klasifikáciu — vy musíte byť schopný vidieť, že bola vykonaná.
Responsible AI Scan sa vyvíja. Momentálne neexistuje nástroj, ktorý by ste mohli spustiť a z ktorého by ihneď vyšla správa. Kto má o toto záujem, môže sa zapísať na čakaciu listinu; nenponúka sa nič, čo ešte neexistuje, a nesľubuje sa nič o tom, kedy alebo s akým výsledkom.
Skôr než môžete zistiť, či je použitie AI rizikové, je často užitočnejšie vedieť, čo AI znamená pre samotnú prácu: akú časť úlohy môže prevziať a akú nie. Táto otázka je blízka otázke rizika, ale nie je s ňou totožná — úloha, ktorú AI môže vo veľkej miere prevziať, nie je automaticky rizikovejšia, a úloha, ktorá to nie je, nie je automaticky bezpečná. Pracovný skener FTE TO AI vypočíta pre každú úlohu, akú časť práce môže prevziať AI, a poskytuje tak základ, na ktorom je možné otázku rizika formulovať presnejšie než len na základe zoznamu schválených aplikácií.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.