Řízení AI nabírá obrysy: co to znamená pro vaši transformaci

Během několika let se umělá inteligence proměnila z inovace s minimální regulací na regulovanou oblast. Symbolem této proměny je evropský AI Act, první horizontální rámec svého druhu na světě: klasifikuje systémy podle úrovně rizika, zakazuje některé způsoby užití a ukládá odstupňované povinnosti, od transparentnosti u modelů pro obecné účely až po přísné požadavky na vysoce rizikové systémy, s harmonogramem účinnosti rozloženým do několika let.

Pro organizaci nasazující AI, a to i pokud ji pouze využívá prostřednictvím nástrojů dostupných na trhu, má to konkrétní důsledek: řízení AI se stává samostatnou oblastí, se svými rolemi, kontrolami, dokumentací a důkazy. Oblastí, která může být stejně jako kterákoli jiná buď vyspělá, nebo teprve v zárodku.

Omezit toto téma na Brusel by byl chybný pohled. Odvětvoví regulátoři formulují vlastní očekávání: finanční dohledové orgány se zaměřují na rozhodovací modely, zdravotnické autority na zdravotnické prostředky, úřady pro ochranu osobních údajů na algoritmické zpracování. Další jurisdikce postupují podle vlastních rámců, což komplikuje život každému, kdo exportuje za hranice.

A nejrychlejší tlak přitom vůbec není regulatorní, ale obchodní: velcí odběratelé zařazují do smluv klauzule týkající se AI, pojišťovny začínají klást otázky a veřejné zakázky vyžadují záruky. Dodavatelský dotazník, který se včera ptal na vaši bezpečnostní politiku, se dnes ptá na vaše řízení AI.

Konkrétně vyspělý systém pokrývá několik stálých prvků: inventář systémů a případů užití AI, včetně těch, které se do organizace dostávají zadními vrátky prostřednictvím SaaS nástrojů; klasifikaci rizik podle způsobu užití; jmenovitě určené role a odpovědnosti; přiměřené kontroly, od lidské revize až po sledování odchylek; a dokumentaci, která umožňuje toto vše doložit auditorovi, zákazníkovi nebo regulátorovi.

Nic z toho není exotické: jde o klasické postupy souladu s předpisy, aplikované na nový a proměnlivý předmět. Obtíž není koncepční, ale realizační: vědět, kde přesně se nachází každá entita, a udržet nastavený směr v čase.

Všechny seriózní postupy začínají na stejném místě: inventarizací systémů a případů užití. A téměř vždy jde o šok: mezi AI moduly zabudovanými do SaaS nástrojů, neoficiálním používáním generativních asistentů týmy a zapomenutými pilotními projekty skutečný rozsah výrazně přesahuje rozsah známý vedení.

Řízení fiktivního rozsahu nechrání před ničím. Poctivá inventarizace naopak umožňuje roztřídit: které případy užití jsou bezproblémové, které se dotýkají rozhodování o osobách a které spadnou do kategorie vysokého rizika. Právě toto roztřídění určuje rozsah potřebného úsilí a zásadně mění rozpočet.

Zkušenost s předchozími regulacemi, od ochrany osobních údajů po kybernetickou bezpečnost, učí jedno: dobře si vedou organizace, které požadavek včas promění v měřený systém, místo aby čekaly na termín a pak improvizovaly. Ty, které zažily nabytí účinnosti GDPR, přesně vědí, o čem je řeč.

Postup se skládá ze čtyř kroků: zmapovat případy užití AI, zhodnotit vyspělost řízení podle strukturovaného referenčního rámce, identifikovat mezery vůči povinnostem, které se organizace skutečně týkají, a rozvinout akční plán s termíny, přehodnocovaný při každém cyklu. Náš katalog obsahuje 19 referenčních rámců pro data a AI, které tento krok podporují, od obecného rámce řízení až po specifické regulatorní požadavky.