Wasi Pracownicy Już Używają Narzędzi AI, Których Nikt Nie Zatwierdził. To Tam Dzieje się Większość Rzeczywistego Użycia.

To zależy od waszej roli (dostawca czy wdrażający) i poziomu ryzyka każdego systemu, obowiązki sięgają od kompetencji AI, już obowiązujących, po wymagające regulacje dla wysokiego ryzyka, stosowane później w nadchodzących latach. Nie istnieje jedna odpowiedź obowiązująca dla całej organizacji naraz; uczciwa odpowiedź wymaga klasyfikacji każdego systemu AI indywidualnie, zanim staną się jasne konkretne obowiązki.

Etapowo, kompetencje AI i przejrzystość dla generatywnej AI już obowiązują; bardziej rygorystyczne wymagania dla systemów wysokiego ryzyka obowiązują później, według stopniowego harmonogramu ustalonego przez samą regulację. Traktowanie Aktu jako jednego terminu zamiast zestawu etapowych obowiązków to częsty i kosztowny błąd, ponieważ pewne wymagania są już egzekwowalne, podczas gdy inne wciąż dają czas na dobre przygotowanie.

To określa się dla każdej aplikacji AI na podstawie tego, czy zbudowaliście lub wprowadziliście na rynek system, czy tylko używacie go w swoich operacjach, większość organizacji jest wdrażającym dla większości swoich narzędzi, ale to nie jest automatycznie prawdziwe dla każdego systemu, zwłaszcza jakiejkolwiek wewnętrznej czy mocno dostosowanej aplikacji. Klasyfikacja powinna być sprawdzona system po systemie, nie zakładana dla całej organizacji.

Połączcie wywiady w działach, ankietę wśród pracowników, desk research zakupów lub licencji oraz sygnały użycia IT, żadne pojedyncze źródło nie ujmuje wszystkiego, a poleganie tylko na jednym zazwyczaj przeoczy znaczącą część tego, co faktycznie jest używane. Wywiady w działach ujawniają, co ludzie wiedzą, że używają; ankiety wśród pracowników i sygnały IT często wydobywają narzędzia, o których nikt nie pomyślał wspomnieć, ponieważ przestali je postrzegać jako coś innego niż ich zwykły przepływ pracy.

Oceńcie każdą aplikację według czterech poziomów regulacji, niedopuszczalne, wysokie, ograniczone lub minimalne ryzyko, na podstawie tego, co system faktycznie robi i kogo dotyczy, nie tego, jak wyrafinowana czy innowacyjna wydaje się podstawowa technologia. Prosty system używany w kontekście wysokiego wpływu może nieść więcej ryzyka regulacyjnego niż wyrafinowany używany w czymś o niskim wpływie, więc klasyfikacja musi podążać za przypadkiem użycia, nie złożonością techniczną.

Już aktywne wymaganie, by zapewnić, że personel rozumie systemy AI, których używa, spełnia się poprzez szkolenie specyficzne dla roli i rejestrowanie udowadniające ukończenie, zamiast jednej generycznej sesji dostarczonej raz całej firmie. Rejestrowanie ma znaczenie, ponieważ obowiązek to nie tylko zaoferowanie szkolenia; to zdolność udowodnienia, jeśli zażądano, że właściwe osoby faktycznie je ukończyły.

Uwzględnijcie je w przeglądzie poprzez ankietę i sygnały IT zamiast tylko oficjalne listy, tam często znajduje się większość rzeczywistego użycia, dokładnie dlatego, że stało się to poza jakimkolwiek istniejącym procesem zatwierdzania. Traktowanie niezatwierdzonego użycia jako czegoś do ukarania zamiast zmapowania często pcha je dalej w podziemie, co utrudnia zobaczenie rzeczywistego obrazu ryzyka, nie ułatwia.

Zdefiniujcie to wyraźnie dla każdego systemu w ramach zarządzania, role, ścieżki eskalacji i punkty ludzkiego nadzoru muszą być przypisane z wyprzedzeniem, ponieważ próba ustalenia odpowiedzialności po tym, jak coś już poszło źle, jest znacznie trudniejszą i bardziej konfliktową rozmową niż spokojne zdecydowanie tego z wyprzedzeniem. Każdy system w przeglądzie powinien mieć na to jasną odpowiedź, zanim trafi do użytku produkcyjnego.

Zdefiniujcie, które decyzje wymagają ludzkiego zatwierdzenia i kiedy, zintegrowane z waszą istniejącą strukturą ryzyka i zgodności zamiast zbudowane jako osobny, równoległy, specyficzny dla AI proces. Ludzki nadzór zintegrowany z już istniejącymi ramami ryzyka ma tendencję do przetrwania; nadzór zbudowany jako samodzielny system ma tendencję być pierwszym, który po cichu przestaje działać, gdy początkowa uwaga przesuwa się gdzie indziej.

Zarządzanie i kontrole, zasady ludzkiego nadzoru, role i ścieżki eskalacji oraz ciągły monitoring, dostosowane do waszego istniejącego procesu ryzyka, zamiast samodzielnego dokumentu napisanego dla odhaczenia pola zgodności i nigdy więcej niekonsultowanego. Polityka niezintegrowana z tym, jak organizacja już zarządza ryzykiem, ma tendencję istnieć tylko na papierze, odłączona od tego, jak systemy AI są faktycznie używane każdego dnia.

Prowadźcie śledzalny rejestr, jakie systemy, jaka kategoria ryzyka, kto jest odpowiedzialny, jakie obowiązki są spełnione, i gdzie ryzyko pozostaje otwarte, nieprzerwanie aktualizowany zamiast złożony razem po tym, jak regulator faktycznie zapyta. Rejestr zbudowany tylko na żądanie jest zazwyczaj niekompletny i przestarzały; nieprzerwanie utrzymywany jako część normalnego zarządzania jest wersją, która faktycznie przetrwa kontrolę.

Zintegrujcie monitoring z ramami zarządzania od początku, tak by kontynuował po starcie zamiast zatrzymać się, gdy projekt się zamyka i uwaga wszystkich przesuwa się do następnej inicjatywy. System starannie zarządzany podczas wdrożenia, ale nigdy nie monitorowany potem, ma tendencję po cichu dryfować poza zgodność, gdy wzorce użycia i podstawowe dane zmieniają się z czasem.

Tak, standardowe narzędzia nadal przetwarzają dane firmy i wspierają decyzje, obowiązki przeglądu i klasyfikacji obowiązują niezależnie od tego, czy zbudowaliście system, czy tylko go subskrybujecie. Używanie znanego narzędzia komercyjnego nie zwalnia organizacji z klasyfikacji sposobu jego użycia czy zapewnienia odpowiedniego nadzoru wokół decyzji, na które wpływa.

Zintegrujcie je z waszą obecną strukturą zamiast budować kolejny, równoległy proces, samodzielna ścieżka zarządzania AI zostaje zapomniana w rok, zazwyczaj gdy tylko początkowy impet zgodności, który ją stworzył, przestaje być priorytetem. Zarządzanie żyjące w tej samej strukturze, której organizacja już używa dla innych typów ryzyka, ma tendencję przetrwać, ponieważ nosi je ta sama nieprzerwana dyscyplina, nie osobny, jednorazowy wysiłek.

Krótkie, śledzalne podsumowanie, jakie systemy działają, w jakiej kategorii ryzyka, kto jest odpowiedzialny, jakie obowiązki są spełnione, i gdzie jest otwarte ryzyko, zamiast długiego raportu technicznego, na którego szczegółowy przegląd większość członków zarządu nie ma czasu. Celem jest, by zarząd mógł z pewnością odpowiedzieć, czy organizacja faktycznie zna swoje ryzyko AI, nie wyczerpujący rejestr audytowy sam w sobie.