Politika AI, ki se naveže na tisto, kar že obstaja

Politika AI, ki je kot ločen dokument postavljena poleg obstoječe politike, se v praksi ne bere. Ne zato, ker bi bili zaposleni nevoljni, temveč ker drugi proces poleg obstoječega procesa skoraj vedno izgubi. Kdor že ima okvir za obvladovanje tveganj, kodeks ravnanja in eskalacijsko linijo, ne bo za eno specifično tehnologijo posegal po vzporednem sistemu. Politika AI, ki dejansko deluje, je politika, ki vidno uporablja isti okvir, kot ga preostanek organizacije že poznа.

Zakaj se nov dokument navadno prezre

Vsaka organizacija z nekaj obsega že ima okvire za tveganje, nabavo, informacijsko varnost in ravnanje. Politika AI, ki stoji ločeno poleg tega, uvaja nov jezik, nove vloge in novo mesto za iskanje. To je natanko razlog, zakaj se po uvedbi odloži na stran. Zaposleni sledijo poti najmanjšega upora, in ta pot poteka skozi strukturo, ki jo že poznajo. Politika, ki zahteva nov način dela poleg starega, to tekmovanje redko dobi.

Rešitev ni bolje napisan dokument. Je dokument, ki ne zahteva novega mesta, temveč uporablja obstoječe mesto. Tveganje AI se potem obravnava kot tveganje, z istim lastnikom, isto eskalacijsko linijo in isto obliko poročanja kot vsako drugo tveganje. Kdor želi to podkrepiti, najde utemeljitev na strani o navezavi na obstoječo strukturo obvladovanja tveganj namesto novega okvira poleg nje.

Kaj sodi v dokument

Politika AI, ki deluje, ne vsebuje naštevanja, kaj je dovoljeno in kaj ni po posameznem sistemu. To se spreminja preveč hitro in zastara v enem letu. Namesto tega vsebuje nekaj stalnih elementov, ki niso odvisni od tega, kateri model ali kateri ponudnik se uporablja:

Klasifikacijo AI po vlogi in stopnji tveganja, tako da nove uporabe dobijo fiksno mesto, brez da bi bilo treba politiko na novo napisati.
Strukturo nadzora, ki določa, kdo sprejema katero odločitev in na podlagi katerih informacij, podrobno razdelano na strani o seznamu odločitev nadzora, ki navaja, kdo o čem odloča.
Eskalacijske poti, ki se navežejo na obstoječo strukturo prijavljanja, tako da signal o tveganju AI ne konča na novi, neznani poti. Ta del je opisan na strani o eskalacijskih poteh, ki se navežejo na obstoječo strukturo prijavljanja.
Obliko spremljanja, ki ne le zapisuje, temveč tudi nekaj dostavi tistim, ki to potrebujejo, kot je razloženo na strani o spremljanju, ki prinaša izhodne rezultate namesto da le zbira podatke.

Ti štirje deli skupaj ne tvorijo ločenega sistema upravljanja AI, temveč specifikacijo sistema obvladovanja tveganj, ki že obstaja. To je razlika med politiko, ki se bere, in politiko, ki obleži v mapi.

Inventura, ki temu predhaja

Vgraditev politike ima malo smisla, če ni znano, kaj natanko je treba vgraditi. Seznam IT odobrenih sistemov za to ne zadošča: opisuje, kaj je bilo nabavljeno, ne kaj se dejansko uporablja. Senčni AI, orodja, ki so jih zaposleni sami začeli uporabljati brez formalne odobritve, s tem ni zajet, medtem ko tveganje zato ni nič manjše.

Edini način, da to postane vidno, je vprašati. In to deluje samo, če vprašanje ne vodi v obračun. Kdor že pri prvi inventuri takoj poveže sankcije z odgovorom, ne bo več dobil odgovora. Politika AI, ki išče vgraditev v obstoječo strukturo, se torej začne z inventuro, ločeno od presoje, in šele nato s klasifikacijo po vlogi in stopnji tveganja.

Kaj potrebuje uprava

Uprava ni zainteresirana za obsežen dokument politike, temveč za strnjen pregled, kje se nahajajo tveganja in kaj se glede njih počne. Ta pregled naj bo v isti obliki kot druga poročila o tveganjih, ki jih uprava že prejema, tako da se ne bere kot ločeno poročilo o AI, temveč kot del običajne slike tveganj. Kako naj bo takšno poročilo videti, je opisano na strani o poročilu za upravo na eni strani, ki se naveže na obstoječa poročila o tveganjih. Za tiste, ki najprej želijo vedeti, kaj mora upravni član na splošno vedeti o tveganju AI, preden se politika sprejme, je na voljo stran o tem, kaj mora upravni član vedeti o tveganju AI, preden se politika sprejme.

Naslednje vprašanje