Imate seznam odobrenih orodij AI. Vprašanje ni, ali je ta seznam pravilen, temveč ali še kaj pomeni. Zaposleni, ki nalogo pospeši s klepetalnim robotom, ki ni na seznamu, tega ne prijavi kot incident. Ne prijavi ga, ker se mu to ne zdi incident. Odgovor, ki ga ne sprejmete, je torej "imamo politiko AI in odobren seznam" — ta stavek namreč nič ne pove o tem, kaj se dogaja zunaj tega seznama, in to je verjetno največji del.
Kot CIO ste tisti, ki mora razložiti, zakaj incident z AI ni bil znan prej, medtem ko preostala organizacija predpostavlja, da ima IT pregled. Ta pregled obstaja za sisteme, ki so bili nabavljeni. Ne obstaja za vtičnik, ki ga je ekipa sama namestila, preizkusno različico, ki jo je nekdo aktiviral, ali model, ki je prišel skupaj z orodjem za podporo strankam. Tveganje za vas ni, da se AI uporablja — to se dogaja tako ali tako — temveč da o tem izveste zadnji, ravno v trenutku, ko je že šlo narobe.
Inventar, ki je pravilen, spremeni vaš položaj. Namesto da se odzivate na incidente, ki jih niste videli prihajati, lahko vnaprej opredelite, kje so tveganja in zakaj. To je tudi osnova za pogovor znotraj organizacije z General Counselom, ki na isto senčno AI gleda z drugega zornega kota, in z upravljavcem tveganj, ki jo želi umestiti v obstoječo strukturo tveganj, namesto da bi zanjo postavil ločen proces.
IT-seznam beleži, kaj je bilo nabavljeno in odobreno. Senčna AI nastane tam, kjer se ta dva koraka izpustita: zaposleni najde orodje, ga uporablja in ne poroča ničesar, ker se zdi, da ni nič za poročati. To ni malomarnost — je posledica nabavnega procesa, ki ni zasnovan za sledenje temu, kaj si ljudje sami priskrbijo. Večja je organizacija in več ekip deluje samostojno, večja je lahko razlika med seznamom in resničnostjo. Kako majhna je ta razlika, je odvisno od tega, koliko svobode imajo ekipe pri izbiri lastnih orodij in kako vidno je to vedenje že — številke o tem ni, le smer.
Edini način, da izveste, kaj dejansko poteka, je, da vprašate ljudi, ki to uporabljajo. To deluje samo, če odgovor ne vodi do posledic za tistega, ki ga poda. Če vprašate "ali uporabljate orodja AI, ki niso odobrena" na način, ki dišijo po ocenjevalnem pogovoru, boste dobili odgovor, ki ga je že dal IT-seznam: ne. Če vprašate ločeno od obračunavanja, s ciljem razumeti in ne popravljati, nastane slika, ki dejansko ustreza praksi. Ta razlika — spraševanje brez posledic proti spraševanju s posledicami — je razlika med inventarjem, ki je nekaj vreden, in vajo, ki nikomur nič ne pove.
Seznam uporabljenih orodij je izhodišče, ne končna točka. Ne vsaka uporaba AI nosi enako tveganje. Orodje, ki prepisuje besedilo za notranjo uporabo, je nekaj drugega kot orodje, ki sodeluje pri odločitvi o sprejemu stranke ali oceni zaposlenega. Klasifikacija po vlogi — kaj sistem počne — in po stopnji tveganja — kakšen je vpliv, če gre narobe — je potrebna, da veste, kam usmeriti pozornost. Brez klasifikacije je videti vsaka uporaba AI v poročilu enaka, in to je ravno slika, ki upravnega odbora ne pridobi.
Kot CIO imate verjetno že okvir za tveganja pri IT-sistemih, informacijski varnosti in dobaviteljih. Upravljanje AI deluje bolje, če se naveže na to strukturo, kot če postane ločen okvir poleg nje. To je tudi ovira, na katero naletita uradnik za skladnost in vodja programa AI: preveč ločenih pobud AI, ki med sabo ne komunicirajo, medtem ko upravni odbor pravzaprav pričakuje en usklajen odgovor na vprašanje, kaj se dogaja in kaj se glede tega počne.
Kaj senčna AI pomeni, se razlikuje po panogah. V gradbeništvu je to drugače kot v inštalacijski panogi, zato je vredno pogledati, kako je upravljanje AI zasnovano v gradbeništvu ali kako je videti v inštalacijski panogi, preden predpostavite, da en pristop ustreza povsod.
Responsible AI Scan, ki to prinaša — inventar, klasifikacijo, nabor pravil upravljanja, ki se naveže na vašo obstoječo strukturo — je v izdelavi. Kdor bi se s tem že zdaj rad lotil dela, se lahko prijavi na čakalno listo; še ni pripravljenega izdelka, ki bi ga lahko ponudili, in to raje pošteno povemo, kot da obljubljamo nekaj, česar še ni.
Ko veste, katera AI se uporablja in s kakšnim tveganjem, samodejno sledi naslednje vprašanje: kateri del dela bi lahko bil naloga za AI in kateri ne. To je drugačno vprašanje od upravljanja tveganj — gre za zmogljivost, ne za izpostavljenost — in delovni scan podjetja FTE TO AI to izračuna po posameznih nalogah, tako da ne veste le, kaj že poteka, temveč tudi, kje bi AI lahko dejansko prevzela delo.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.