Zarządzanie AI nabiera kształtu: co to oznacza dla Państwa transformacji

W ciągu kilku lat sztuczna inteligencja przeszła od innowacji z minimalnym nadzorem do statusu obszaru regulowanego. Symbolem tej zmiany jest europejski AI Act, pierwsze na świecie horyzontalne ramy prawne: klasyfikuje systemy według poziomu ryzyka, zakazuje niektórych zastosowań i nakłada stopniowane obowiązki, od przejrzystości dla modeli ogólnego przeznaczenia po daleko idące wymagania wobec systemów wysokiego ryzyka, z harmonogramem wdrożenia rozłożonym na kilka lat.

Dla organizacji wdrażającej AI, nawet jeśli jest wyłącznie użytkownikiem gotowych narzędzi dostępnych na rynku, konsekwencja jest konkretna: zarządzanie AI staje się odrębnym systemem działania, z własnymi rolami, kontrolami, dokumentacją i dowodami. Systemem, który podobnie jak wszystkie inne może być dojrzały albo zalążkowy.

Ograniczenie tematu do Brukseli byłoby błędem w ocenie zakresu. Regulatorzy sektorowi formułują własne oczekiwania: nadzorcy finansowi wobec modeli decyzyjnych, organy ochrony zdrowia wobec wyrobów medycznych, organy ochrony danych wobec przetwarzania algorytmicznego. Inne jurysdykcje wprowadzają własne ramy prawne, co komplikuje życie każdemu eksporterowi.

A najszybciej narastająca presja wcale nie jest regulacyjna, lecz handlowa: duzi zleceniodawcy wprowadzają do umów klauzule dotyczące AI, ubezpieczyciele zaczynają zadawać pytania, przetargi publiczne wymagają gwarancji. Kwestionariusz dla dostawców, który jeszcze wczoraj pytał o politykę bezpieczeństwa, dziś pyta o zarządzanie AI.

W praktyce system godny tej nazwy obejmuje kilka stałych elementów: inwentaryzację systemów i zastosowań AI, w tym tych, które wchodzą tylnymi drzwiami wraz z narzędziami SaaS; kwalifikację ryzyka według zastosowania; wyznaczone role i odpowiedzialności; proporcjonalne mechanizmy kontroli, od przeglądu z udziałem człowieka po monitorowanie odchyleń; oraz dokumentację pozwalającą to wszystko udowodnić audytorowi, klientowi czy regulatorowi.

Nic z tego nie jest egzotyczne: to klasyczne działania z obszaru zgodności, zastosowane do nowego i zmiennego przedmiotu. Trudność nie leży w koncepcji, lecz w wykonaniu: w wiedzy, na jakim etapie się znajdują Państwo, w każdej jednostce, i w utrzymaniu kierunku w czasie.

Wszystkie poważne podejścia zaczynają się w tym samym miejscu: od inwentaryzacji systemów i zastosowań. I niemal zawsze przynosi ona szok: między modułami AI wbudowanymi w narzędzia SaaS, nieformalnym wykorzystaniem asystentów generatywnych przez zespoły a zapomnianymi projektami pilotażowymi, rzeczywisty zakres znacznie przekracza ten znany kierownictwu.

Zarządzanie fikcyjnym zakresem niczego nie chroni. Rzetelna inwentaryzacja pozwala natomiast posegregować: które zastosowania są neutralne, które dotyczą decyzji wpływających na ludzi, a które trafią do kategorii wysokiego ryzyka. To właśnie ta segregacja wyznacza skalę wysiłku i zasadniczo zmienia budżet.

Doświadczenie wcześniejszych regulacji, od ochrony danych po cyberbezpieczeństwo, uczy jednego: dobrze radzą sobie te organizacje, które wcześnie przekształcają wymóg w mierzony system działania, zamiast czekać na termin i improwizować w ostatniej chwili. Ci, którzy przeszli przez wejście w życie RODO, dokładnie wiedzą, o czym mowa.

Podejście składa się z czterech kroków: zmapowania zastosowań AI, oceny dojrzałości zarządzania w oparciu o uporządkowany model referencyjny, zidentyfikowania luk wobec obowiązków, które rzeczywiście dotyczą organizacji, oraz realizacji planu działania z terminami, aktualizowanego w każdym cyklu. Nasz katalog obejmuje 19 modeli referencyjnych dla danych i AI wspierających ten proces, od ogólnego modelu zarządzania po szczegółowe wymagania regulacyjne.