Kennisbank

Spremljanje, ki deluje, je spremljanje, ki se navezuje na tisto, kar že obstaja

Veliko spremljanja uporabe AI nastane kot ločena pobuda: nov obrazec, nov sestanek, nova nadzorna plošča. Ob uvedbi je videti popolno. Leto pozneje je izpuhtelo. Ne zato, ker bi bila vsebina slaba, temveč zato, ker je stalo poleg obstoječe strukture, namesto znotraj nje.

Vprašanje torej ni le, kaj je treba spremljati, temveč kje se to spremljanje umesti. Proces, ki si ga nikomur ni treba posebej zapomniti, ker je že del rutine, ki tako ali tako teče, preživi. Proces, ki od že preobremenjenih ljudi zahteva dodaten korak, se čez čas izpušča. To ni malomarnost. Je predvidljiva posledica tega, kako organizacije ravnajo s časom in pozornostjo.

Zakaj drugi proces izgubi

Vsaka organizacija ima že svoj ritem: četrtletna poročanja, tveganjske komisije, cikle revizij, timske sestanke. Če spremljanje uporabe AI vpelje nov ritem, tekmuje z vsem, kar že obstaja — in praviloma izgubi. Zanj ni točke na dnevnem redu, nobenega lastnika, ki bi to videl kot osrednji del svoje vloge, nobenega trenutka, ko se vprašanje samo od sebe pojavi.

Če pa spremljanje postane vprašanje, ki se že postavlja — v obstoječi tveganjski komisiji, v obstoječi notranji kontroli, v obstoječi poročevalski liniji do uprave — potem si ni treba zapomniti nič novega. Vprašanje »katere aplikacije AI so bile dodane ali spremenjene« postane potem tako samoumevno kot »ali imamo nove ponudnike« ali »ali so bili kakšni incidenti«. Kako se to navezovanje natančno oblikuje, je odvisno od tega, kako je pri vas že urejeno navezovanje na obstoječo strukturo obvladovanja tveganj — ta struktura je izhodišče, ni nekaj poleg nje.

Kaj mora vsebovati dokument

Delujoč dokument za spremljanje je dovolj kratek, da se ga lahko uporablja znova in znova, in dovolj natančen, da lahko sporoči, kadar se kaj spremeni. Vsebuje vsaj:

• Posodobljen seznam aplikacij AI, vključno s tem, kaj je prijavljeno prek IT in kaj se uporablja mimo tega. Ta druga kategorija je pogosto največja in izgine iz vsakega dokumenta, ki se zanaša le na formalno odobritev.
• Razvrstitev tveganja za vsako aplikacijo, tako da vsaka sprememba ne zahteva enake pozornosti. Generator besedila za interne zapiske zahteva nekaj drugega kot model, ki soodloča o sprejemu strank.
• Lastnika za vsako aplikacijo, ime, ne oddelek. Brez lastnika sprememba nikjer ne bo opažena.
• Fiksen interval, v katerem se seznam pregleduje, povezan s trenutkom, ki že obstaja — ne z novim trenutkom, ki bi ga bilo treba posebej načrtovati.
• Mesto, kjer odstopanja postanejo vidna, tako da nova uporaba ali spremenjena raba ne pride na dan šele čez mesece.

Vrednost dokumenta ni v popolnosti prvi dan. Ta je redko dosegljiva in tudi ni potrebna. Vrednost je v tem, da se dokument vzdržuje in da vzdrževanje ne zahteva ločenega napora poleg tistega, kar se že dogaja.

Zakaj sankcioniranje ustavi pretok informacij

Spremljanje je odvisno od tega, kaj so ljudje pripravljeni sporočiti. Ko sporočanje pomeni tveganje, da bo nekdo za nekaj kaznovan, se pretok informacij ustavi. Nekdo, ki neko nalogo z orodjem AI opravi hitreje, kot je bilo pričakovano, tega ne bo sporočil, če je posledica tega odvzem proračuna ali neprijeten pogovor. Seznam ostane formalno popoln in vsebinsko prazen — natanko problem, ki ohranja senčno rabo AI.

Posledica je, da spremljanje deluje le, če se vprašanja postavljajo brez sankcij. Ne zato, ker naj bi raba ostala brez posledic, temveč zato, ker prvi korak — vedeti, kaj se dogaja — zahteva drugačen odnos kot drugi korak — presoditi, ali je to primerno. Kdor ta dva korak združi, ne dobi poštenega odgovora na nobenega od njih.

To razlikovanje je tudi mesto, kjer se upravljanje in odgovornost srečata. Vidnost za upravo ne pomeni, da mora vsaka posamezna aplikacija priti na mizo; gre za raven poročanja, ki omogoča presojo brez zapletanja v podrobnosti, kot je opisano pri poročilu upravi, ki se prilega na eno stran. Kar je pod tem — zapis odločitev o konkretnih aplikacijah — sodi prej v seznam odločitev nadzora kot v dokument, ki gre navzgor.

Ali se dokument politike sploh bere, je podobno vprašanje: besedilo, ki ga nihče ne odpre, ne daje nič več opore kot proces spremljanja, ki ga nihče ne izpolnjuje. Glejte politiko AI, ki se dejansko bere. In za tiste, ki se sprašujejo, kateri del te odgovornosti sodi na raven uprave in kateri v IT-upravljanje, obstaja razlika med kaj mora upravljavec vedeti o tveganju AI in kaj mora CIO vedeti o tveganju AI — obe vprašata po drugačni ravni podrobnosti znotraj istega procesa spremljanja.

Od vedenja, kaj teče, do vedenja, kaj to prinaša

Struktura spremljanja, ki se navezuje na tisto, kar že obstaja, sčasoma prinese zanesljivo podobo, katere aplikacije AI so v uporabi in za kaj. Ta popis je drugo vprašanje kot to, koliko od osnovnega dela dejansko opravlja AI in s kakšnim učinkom. Kdor želi to izračunati po posameznih nalogah — kateri del funkcije ali procesa je mogoče prenesti na AI, na podlagi nalog, kot se trenutno izvajajo — to najde v delovni analizi podjetja FTE TO AI.