Vsaka organizacija z nekim obsegom že ima strukturo tveganj. Odbor za tveganja, funkcijo revizije, linijo poročanja upravnemu odboru, format v katerem se tveganja razvršča po stopnji in spremlja. Kdor poleg tega postavi nov proces, specifično za AI, s svojim odborom, svojim koledarjem in svojim jezikom, ima čez leto dni proces, ki ga nihče več ne izpolnjuje. Ne zato, ker se AI ne bi štel za pomembnega, temveč ker druga struktura tekmuje s prvo za čas, pozornost in mandat. Obstoječa struktura skoraj vedno zmaga, saj je vgrajena v ocenjevanja, cikle uspešnosti in agende upravnega odbora. Nova struktura stoji zunaj tega.
Vprašanje torej ni, kako zgraditi strukturo upravljanja AI. Vprašanje je, kako AI dobi mesto v strukturi, ki že obstaja.
Večina struktur tveganj že vsebuje več stalnih elementov: inventar tveganj, ki se periodično posodablja, razvrstitev po resnosti in verjetnosti, lastnika za vsako tveganje, linijo eskalacije na višjo raven, če je meja presežena, ter poročanje upravnemu odboru ob stalnih trenutkih. To je struktura, v katero se mora AI umestiti, ne poleg nje.
To pomeni, da AI-aplikacija ne sodi v ločen register AI, temveč kot postavka tveganja v obstoječi register, z enakimi polji kot vsako drugo tveganje: lastnik, resnost, verjetnost, ukrep za zmanjšanje, datum statusa. Razvrstitev po stopnji tveganja, ki spada k inventarju uporabe AI, se mora ujemati z lestvico, ki se že uporablja za operativno tveganje, ne z novo lestvico, izumljeno samo za AI. Kdor prebere kaj mora vedeti cio o tveganju ai, vidi, da je prav to ujemanje pogosto tisto, kar zaostaja: tehnično pravilna ocena tveganja AI, ki je nihče ne more primerjati s preostalim registrom tveganj.
Dve stvari otežujeta vgradnjo. Prva je jezik. Upravljavci tveganj delajo s pojmi kot vpliv, verjetnost in blažilni ukrep. Ponudniki AI in tehnične ekipe delajo z različicami modelov, podatki za učenje in metrikami uspešnosti. Nabor pravil upravljanja, napisan samo v tehničnem jeziku, odbor za tveganja ne bo prebral. Nabor pravil upravljanja, napisan samo v jeziku tveganj, tehnični lastnik ne bo izpolnil. Nabor mora biti berljiv v obe smeri: tehnično dovolj natančen, da drži, in dovolj razumljiv za vodstvo, da obvelja. Ta princip se ponovi pri ai politiki, ki se bere: dokument, ki se navezuje na to, kako ljudje že berejo in odločajo, namesto da bi zahteval nov način branja.
Drugo je tempo. Odbor za tveganja se sestaja po fiksnem ciklu, pogosto četrtletno ali mesečno. Uporaba AI se spreminja hitreje: ekipa lahko ta teden začne z novim orodjem, brez sestanka pred tem. Nabor pravil upravljanja zato ne sme biti odvisen od cikla sestankov, da bi deloval. Potreben je lažji mehanizem, ki zajame odstopanja med fiksnimi trenutki in se šele na naslednjem ciklu formalno potrdi. Kako ta mehanizem deluje v praksi, je opisano pri poteh eskalacije, ki delujejo: pot, ki je dovolj kratka, da se uporabi še pred naslednjim četrtletnim sestankom odbora.
Nabor pravil upravljanja, ki se navezuje na obstoječo strukturo tveganj, na splošno vsebuje: postavko v inventarju za vsako AI-aplikacijo z lastnikom in razredom tveganja, povezavo z obstoječo potjo eskalacije, tako da odstopanje ne izgine v ločenem kanalu, ter stalno mesto v periodičnem poročanju upravnemu odboru. Ne kot ločeno poglavje o AI, temveč kot vrstico v tabeli, ki jo upravni odbor že pozna. Kako je lahko takšno poročanje videti, brez uvajanja novega formata, je opisano pri kako pridete do poročila za upravni odbor na eni strani, vgrajenega v tisto, kar že kroži.
Vsebina samih pravil, kaj natančno spada pod katero stopnjo tveganja in kateri roki k temu spadajo, je določena drugje in se spreminja; ta stran govori o mehanizmu, ki tej vsebini daje mesto v obstoječi strukturi, ne o besedilu teh pravil.
Vgradnja uspe le, če inventar najprej ustreza resnici. In ta ustreza resnici le, če si ljudje upajo povedati, kaj uporabljajo. Kdor pri izpolnjevanju postavke tveganja čuti, da bo iskren odgovor pripeljal do zaznamka pri ocenjevanju, ga ne bo izpolnil iskreno. Nabor pravil upravljanja mora zato že od prve različice naprej jasno povedati, da je namen pregled, ne sankcija. Brez te zaveze del uporabe ostane skrit, in navezava na strukturo tveganj je zgrajena na nepopolnem seznamu. Kaj mora o tem vedeti član upravnega odbora, preden se začne prvi inventar, je opisano pri kaj mora vedeti član upravnega odbora o tveganju ai.
Ta vgradnja govori o tveganju, lastništvu in poročanju: poskrbi, da je to, kar AI počne, vidno in obvladljivo znotraj strukture, ki že obstaja. Drugo vprašanje, ki logično sledi, ko je pregled vzpostavljen, je, kaj lahko AI znotraj tega dela dejansko prevzame. Delovni sken FTE TO AI za vsako nalogo izračuna, kateri del dela je mogoče prepustiti AI, kot naslednji korak, ko je stran upravljanja urejena.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.