Kaj je na strani, ki jo bere upravni odbor

Vprašanje, ki mu poročilo sledi

Upravni odbor, ki uvrsti AI na dnevni red, običajno prejme dve vrsti dokumentov: debel dosje, ki ga nihče ne prebere pred sejo, ali povzetek, ki pove tako malo, da iz njega ne sledi noben sklep. Poročilo za upravni odbor na eni strani ni povzetek dosjeja. Gre za drugo vprašanje: kaj mora vodstvo vedeti, da lahko prevzame odgovornost, in kaj je šum.

To razlikovanje ni trivialno. Večina poročil o AI, ki jih vidimo, seštevajo sisteme. Stran, ki samo šteje, koliko je uporab AI, upravnemu odboru ne pove nič o tem, kje je tveganje. Štetje je vprašanje za IT. Governance je drugo vprašanje: katere uporabe vplivajo na odločitve o ljudeh, katere so bile uvedene brez nadzora in katere spadajo v razred tveganja, ki zahteva podpis.

Kaj sodi na stran

Stran, ki deluje, vsebuje omejeno število elementov, vsak z razlogom, da je vključen:

Stanje inventarja. Ne seznam sistemov, temveč izjava o pokritosti: kaj je zajeto, kaj je domnevno prisotno, vendar ni potrjeno, in kaj je zavestno izpuščeno.
Razvrstitev tveganja na glavni ravni. Koliko uporab spada v kategorijo, ki zahteva pozornost upravnega odbora, ne da bi bil vsak sistem posebej izpisan.
Odprte odločitve. Ne operativno izvajanje, temveč vprašanje, ki je pred upravnim odborom: naložba, sprejem tveganja, izbira med nadaljevanjem in ustavitvijo.
Kaj se je spremenilo od prejšnjega poročila. Upravnemu odboru fotografija malo koristi; koristi mu razlika.

Preostalo — kdo je usposobil kateri model, kateri ponudnik uporablja katere pogoje, kakšna tehnična ublažitev je bila uporabljena — sodi v plast pod tem. Ta plast obstaja, se vzdržuje in je dostopna na zahtevo. Vendar ne sodi na stran, ki jo bere upravni odbor, ker je potem upravni odbor ne bo bral.

Zakaj se drugi proces prezre

Razlog, da tolikšna governance AI zastane, ni, da procesa ni. Je, da obstaja drugi proces, poleg obstoječega. Upravni odbor že ima odbor za tveganja, že ima koledar revizij, že ima obrazec za poročanje o operativnem tveganju, o skladnosti, o informacijski varnosti. Kdor poleg tega postavi ločen proces za AI — s lastno pogostostjo, lastno predlogo, lastnim lastnikom — prosi za nekaj, kar bo prvo izpuščeno, ko je dnevni red preveč poln. To se ne zgodi iz nevoljnosti. Zgodi se, ker drugi proces po definiciji prejme manj pozornosti kot prvi.

Poročilo, ki se dejansko prebere, je poročilo, ki teče v obstoječem ritmu: ista seja, isti obrazec, isti način stopnjevanja, ki že obstaja za druga tveganja. Kako se to navezovanje v praksi oblikuje, je opisano na strani o navezovanju na obstoječo strukturo tveganja, način, kako se odločitve po tem zapisujejo, pa se vrne na strani o seznamu odločitev za nadzor, ki teče v obstoječem ritmu.

Kaj stran predpostavlja

Poročilo na eni strani je uporabno le, če je inventar, na katerem temelji, pravilen. To je del, ki se najpogosteje izpusti: vodstvo prejme stran z razvrstitvijo tveganja, brez da bi kdo preveril, ali je osnovni seznam uporab AI popoln. Senčni AI — uporaba, ki je nastala mimo seznama IT — tako tiho izgine iz slike, ne ker ni pomembna, temveč ker nihče ni vprašal. Zaposleni, ki uporablja orodje AI brez odobritve, tega ne prijavi sam, če preti obračun. Prijavi šele, ko se postavljajo vprašanja brez posledic.

Stran z ene strani je torej vrh procesa, ki se začne pri inventarju in stopnjuje po poteh, ki že obstajajo. Kako to stopnjevanje deluje, ne da bi ustvarilo novo hierarhijo, je opisano na strani o poteh stopnjevanja, ki se dejansko uporabljajo. In kaj je treba strukturno vzdrževati, da se stran vsakič znova napolni, ne da bi to postalo rekonstrukcija, je opisano na strani o spremljanju, ki dejansko prispeva k poročanju.

Kaj to še ni

Responsible AI Scan zagotovi inventar, razvrstitev in strukturo governance, ki se navezuje na to, kar že obstaja — vključno z obrazcem za poročilo, ki ga upravni odbor dejansko bere. Sam pregled je še v izdelavi; kdor želi zdaj že nekaj s tem, se lahko uvrsti na seznam čakajočih.