Compliance officer neprehráva pri prvej otázke o AI. Prehráva pri druhej: keď sa ukáže, že odpoveď na prvú otázku bola neúplná. "Aké AI systémy vaša organizácia využíva" sa dá zodpovedať zoznamom z IT portfólia. Otázka, ktorá prichádza potom — "je to úplný zoznam" — je otázka, na ktorej stroskotáva väčšina compliance dokumentácie.
Nie: aké AI nástroje organizácia nadobudla. Ale: aké AI systémy sa skutočne používajú, kto ich používa, na aké rozhodnutia, a na základe akého posúdenia rizika. To sú štyri otázky, nie jedna. Prvá je nákupný zoznam. Ostatné tri vyžadujú, aby ľudia povedali, čo robia, vrátane toho, čo si nedali schváliť. Compliance officer, ktorý má len nákupný zoznam, má falošný pocit pokrytia — a to je rizikovejšie ako žiadne pokrytie, pretože sa to reportuje ako úplné.
Zamestnanci, ktorí používajú jazykový alebo analytický nástroj bez toho, aby ho zakúpili prostredníctvom IT, po sebe nezanechávajú stopu v registri aktív. Zanechávajú však stopu v tom, čo produkujú: v reportoch, komunikácii s klientmi, odporúčaniach. Rozdiel medzi tým, čo je zaregistrované, a tým, čo sa používa, zvyčajne nie je úmyselné porušenie. Je to výsledok organizácie, ktorá nájde nástroj rýchlejšie, než absolvuje proces schvaľovania. Compliance tento rozdiel nemôže zaplátať prísnejším zákazom — to len presunie používanie ešte viac mimo dohľadu. Rozdiel sa zaplátava tak, že sa pýtate bez toho, aby na odpoveď nasledovala sankcia. Kto sa bojí záznamu vo svojom dokumente, nepovie, čo používa; povie, čo si myslí, že chcete počuť.
Riskmanažér chce vedieť, aký veľký je rozsah expozície. Compliance officer chce to isté, plus niečo navyše: môžem preukázať, že sme dodržali proces, aj keď sa výsledok dodatočne ukáže ako sporný. To je iný druh dôkazného bremena. Nejde len o klasifikáciu systému, ale o stopu: kto to posúdil, v akom momente, s akými informáciami, a bolo toto posúdenie zopakované, keď sa systém zmenil. AI systémy sa aktualizujú bez upozornenia; klasifikácia z polroka dozadu vypovedá málo o dnešnom systéme. Compliance musí teda vedieť ukázať nielen výsledok, ale proces, ktorý stále beží.
"Máme AI politiku" nie je odpoveď na otázku, či táto politika niečo pokrýva. Dokument politiky, ktorý nikdy nebol overený voči tomu, čo sa skutočne používa, je vyhlásením zámeru, nie vyhlásením o skutočnom stave. Čo compliance officer potrebuje, je inventár, ktorý zapadá do existujúcich rizikových kategórií — rovnaké rozdelenie, ktoré sa už používa pre iné operačné riziká — aby AI nestála ako samostatná, exotická téma vedľa zvyšku rizikového rámca, ale v ňom.
Compliance officer toto málokedy rieši sám. Otázka, aké systémy sa považujú za vysokorizikové a aké dôkazné bremeno k tomu patrí, sa dotýka toho, čo by mal vedieť General Counsel o AI riziku z hľadiska zodpovednosti a zmluvných povinností. Otázka, či organizácia je technicky schopná sledovať, aké systémy sú v prevádzke, patrí k tomu, čo by mal vedieť CIO o AI riziku. A otázka, či sa táto téma dostane na úroveň vedenia predtým, než eskaluje, patrí k tomu, čo by mal vedieť člen vedenia o AI riziku. Compliance je často stranou, ktorá musí tieto tri línie spojiť dohromady, bez toho, aby sama vlastnila techniku alebo zmluvu.
Obsah predpisov — aké povinnosti presne platia, podľa rizikovej kategórie, s akými termínmi — je uvedený inde a mení sa. Táto stránka popisuje mechanizmus: ako zistíte, čo je v prevádzke, ako to klasifikujete a ako preukážete, že proces bol dodržaný. Compliance officer, ktorý hľadá aktuálne znenie zákona, ho tu nenájde.
Koľko tzv. shadow AI organizácia má, závisí od sektora, kultúry a od toho, ako striktne sa presadzovali predchádzajúce zákazy. Prísnejší zákaz často koreluje s väčším skrytým používaním, nie s menším. Tento vzorec nie je všade rovnaký: v stavebníctve je ťažisko pri kalkulácii projektov a plánovaní, zatiaľ čo v montážnom odvetví sa jedná častejšie o diagnostiku údržby a analýzu poruch. Inventarizácia sa teda musí robiť podľa jednotlivej organizácie; celoštátny priemer vypovedá málo o vašej vlastnej expozícii.
Responsible AI Scan mapuje, čo sa skutočne používa, klasifikuje to podľa role a úrovne rizika a poskytuje súbor governance nástrojov, ktorý zapadá do existujúcej rizikovej štruktúry — bez toho, aby predbiehal to, čo je už inde stanovené. Tento scan je v štádiu vývoja. Kto na tom má záujem, môže sa prihlásiť na čakaciu listinu; nič sa neponúka, čo ešte nie je hotové.
Kto raz zistí, aké AI systémy sú v prevádzke, často naráža na nadväzujúcu otázku: čo to znamená pre personálne obsadenie a rozdelenie úloh. To je iný výpočet než klasifikácia rizika, a ten robí FTE TO AI pomocou pracovného skenu, ktorý pre každú úlohu vypočíta, akú časť práce môže prevziať AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.