Kennisbank

Spremljanje, ki se dejansko uporablja

Problem ni odsotnost spremljanja

Večina organizacij že ima nekaj, kar se imenuje spremljanje. Nadzorno ploščo, obliko poročanja, periodično sestanek, na katerem se razpravlja o tveganjih. Problem ni, da to manjka. Problem je, da se spremljanje AI postavi zraven kot ločen del, s svojim ritmom, svojim lastnikom in svojo predlogo. Kdor ima že tri procese za sledenje tveganju, ne bo zvesto izpolnjeval še četrtega. To postane obveznost, ki se enkrat na četrtletje na hitro odkljuka, ali pa sploh ne.

To je razlog, zakaj spremljanje uporabe AI tako pogosto ne prinese ničesar. Ne ker so vprašanja napačna, temveč ker proces sam ostaja tujek znotraj organizacije, ki že ima procese za tveganje, skladnost in interno kontrolo.

Kaj sodi v resnično spremljanje

Spremljanje, ki prinaša rezultate, se ne začne z obrazcem, temveč z vprašanjem: kaj se spremeni in kdo to opazi prvi? Za sisteme AI to pomeni tri plasti.

Prva plast je uporaba: se sistem še uporablja tako, kot je bilo predvideno, ali se je uporaba premaknila, ne da bi to kdo prijavil? Orodje, ki je začelo kot preverjanje besedila in se zdaj uporablja za oblikovanje osnutkov odločitev, predstavlja drugačno tveganje, kot je bilo ugotovljeno ob začetku.

Druga plast je izvor: je sistem še enak kot takrat, ko je bil razvrščen? Osnovni modeli se zamenjujejo, ponudniki spreminjajo pogoje, samostojno orodje se integrira v večjo platformo. Vsaka sprememba lahko izniči takratno oceno tveganja, ne da bi to kdo ponovno presodil.

Tretja plast je signal: obstajajo pritožbe, sporočila o napakah ali odstopanja, ki kažejo, da nekaj ne deluje tako, kot se je domnevalo? To je plast, ki najpogosteje manjka, ker nihče ni zainteresiran za prijavo težave s sistemom, ki uradno ne obstaja.

Zakaj se drugi proces zanemari

Organizacija, ki že ima cikel tveganja za operativna tveganja, finančna tveganja ali varstvo podatkov, ne bo začela novega cikla za AI. To ni nevoljnost; gre za vprašanje zmogljivosti. Kdor to poskusi, opazi dve stvari. Ali novo spremljanje ostane prazno, ker nihče ne najde časa za hranjenje sistema, ki ga nihče ne zahteva. Ali pa novo spremljanje prevzamejo isti ljudje, ki že vodijo obstoječi cikel, in razlika samodejno izgine.

Vprašanje torej ni, ali mora obstajati ločen proces spremljanja AI. Vprašanje je, kako se signali AI vključijo v obstoječi cikel, tako da se o njih razpravlja na istem sestanku, z istim lastnikom in v istem ritmu kot o drugih tveganjih. Kako se to natančno uredi, je odvisno od tega, kako ta obstoječi cikel že zdaj deluje: nekatere organizacije imajo četrtletno poročanje revizijski komisiji, druge imajo mesečni sestanek o tveganjih na ravni vodstva, spet druge imajo neprekinjen dnevnik, ki se posodablja glede na incidente. Več o tem, kako spremljanje, ki prinaša rezultate, vgradite v tisto, kar že poteka, namesto da postavite nekaj poleg tega, je na ločeni strani, ker se ta mehanizem v vsaki organizaciji izpolni drugače.

Dokument, ki je pri roki, ko ga nekdo vpraša

Kar univerzalno sodi zraven, je fiksna oblika, v kateri se zapiše stanje sistemov AI: kaj teče, v kakšni vlogi, s kakšno stopnjo tveganja in kdaj je bilo to nazadnje potrjeno. Ne kot ločen dokument o AI, temveč kot priloga ali stalni del poročila, ki že obstaja. To se lahko navezuje na poročilo za upravni odbor na eni strani, ki povzame tveganja, ne da bi jih zamegljevalo, tako da spremljanje ne postane ločen tok informacij, temveč vrstica v tabeli, ki jo vodstvo že bere.

Ta oblika deluje le, če ostane trenutna sama osnovna razvrstitev, in ta razvrstitev se mora naslanjati na strukturo tveganja, ki že obstaja. Brez te navezave ostane spremljanje drugi jezik poleg prvega, in ta drugi jezik se pozabi, takoj ko se pritisk poveča. Kako je videti ta navezava, je odvisno od tega, kako se struktura tveganja in razvrstitev AI srečata v tem, kar organizacija že uporablja, in tega ni mogoče opisati v splošnih izrazih, ne da bi poznali obstoječo strukturo.

Kar spremljanje odkrije, gre dlje kot dokument

Spremljanje, ki dobro deluje, ne zaznava le tveganja, temveč tudi premik: sisteme, ki se uporabljajo drugače, kot je bilo predvideno, ali naloge, ki so bile tiho prevzete, ne da bi to kdo zapisal. Isti signali so tudi informacija o tem, kje ljudje dejansko preživijo svoj čas in kje AI dejansko že prevzema delo, ne da bi bilo to nikjer zapisano. Kdor želi to vprašanje konkretizirati bolj, kot to omogoča razvrstitev tveganja, si lahko pri delovnem pregledu podjetja FTE TO AI ogleda, kateri del dela po posamezni nalogi pride v poštev za AI, ne glede na vprašanje, ali se to že dogaja ali je treba o tem še odločiti. Ta pregled ne merjenju v tveganju, temveč v nalogah in urah, in se s tem navezuje na to, kar spremljanje zazna, ne da bi to razlagalo.