Przed wdrożeniem zarząd powinien zobaczyć na piśmie pięć rzeczy: których przebiegów pracy będzie dotyczyć AI, kto zatwierdza jej wyniki, co jest rejestrowane, jakie ramy zarządzania ryzykiem stosuje ocena i jak firma zatrzymuje przebieg pracy. Razem tworzą krótki plan nadzoru, który kierownictwo utrzymuje na bieżąco, a nie politykę napisaną raz i odłożoną do archiwum.
#Najważniejsze wnioski
- Nadzór zaczyna się od inwentarza: zarząd nie może nadzorować AI, o której działaniu nie wie.
- Każdy przebieg pracy potrzebuje wskazanej osoby, która zatwierdza wynik AI i może go zmienić.
- Dzienniki powinny pozwolić audytorowi odtworzyć, co zrobił system, na jakich danych wejściowych i kto to zatwierdził.
- Wskaż uznane ramy, takie jak ramy zarządzania ryzykiem AI NIST lub ISO/IEC 42001, aby zarząd nie musiał oceniać autorskich rozwiązań.
- Firmy regulowane odpowiadają też przed regulatorami sektorowymi, których przepisy nakładają się na ogólne.
#Jaki nadzór powinien być gotowy przed wdrożeniem AI?
- Inwentarz wszystkich przebiegów pracy, w których AI coś tworzy lub zmienia, łącznie z narzędziami, z których pracownicy korzystają na własną rękę.
- Wskazana osoba zatwierdzająca dla każdego przebiegu pracy, z uprawnieniem do odrzucenia lub poprawienia wyniku.
- Ocena ryzyka każdego przebiegu pracy według wskazanych ram, przechowywana razem z inwentarzem.
- Rejestrowanie danych wejściowych, wyników, wersji modeli i zatwierdzeń.
- Wyłącznik: kto może zatrzymać przebieg pracy, w jaki sposób i co zespół robi ręcznie, gdy jest on zatrzymany.
- Termin przeglądu wyznaczony przez zarząd, kiedy inwentarz i oceny są sprawdzane ponownie.
To lista, którą Stennir wpisuje do każdego projektu doradczego. Dlaczego, wyjaśniliśmy we wpisie dlaczego do każdego projektu doradczego dołączamy plan nadzoru.
#O jakie ramy zarządzania ryzykiem powinien pytać zarząd?
Dwie są powszechnie stosowane. Ramy zarządzania ryzykiem AI NIST traktują nadzór człowieka i odpowiedzialność jako część zarządzania ryzykiem AI (NIST, styczeń 2023). ISO/IEC 42001 to międzynarodowa norma dotycząca systemu zarządzania AI (ISO, grudzień 2023), na zgodność z którą firma może uzyskać certyfikat.
W obszarze bezpieczeństwa lista OWASP top 10 dla aplikacji LLM stawia na pierwszym miejscu prompt injection: tekst od klienta lub z dokumentu może próbować zmienić działanie modelu. Zarząd nie potrzebuje szczegółów technicznych, a jedynie potwierdzenia, że ktoś przetestował to w każdym przebiegu pracy.
#Co zmienia się w regulowanej instytucji finansowej?
Regulatorzy sektorowi, tacy jak SAMA i NCA, ustalają własne zasady; sprawdź je. Nakładają się one na ogólne prawo ochrony danych, więc przebieg pracy, który przechodzi ogólny przegląd, w banku czy u ubezpieczyciela może wymagać więcej. Poproś dział compliance o zestawienie każdego przebiegu pracy z opublikowanymi wymogami regulatora, zanim zostaną użyte jakiekolwiek dane klientów.
Ten wpis nie stanowi porady prawnej ani regulacyjnej; potwierdź to z prawnikiem i działem compliance. Stennir dostarcza im szczegóły przebiegu pracy potrzebne do podjęcia decyzji: jakich danych dotyczy każdy krok, gdzie są przetwarzane, kto zatwierdza wynik i co jest rejestrowane.
#Co rejestrować, aby móc skontrolować działanie systemu AI?
- Dane wejściowe, które otrzymał system, albo odwołanie do nich, jeśli przechowywanie pełnej treści jest niedozwolone.
- Model i jego wersję oraz wersję przekazanych mu instrukcji.
- Dokumenty lub rekordy, które pobrał, aby udzielić odpowiedzi.
- Wynik, który wygenerował, przed jakąkolwiek edycją przez człowieka.
- Kto go zatwierdził, poprawił lub odrzucił, wraz ze znacznikiem czasu.
- Co stało się dalej w systemie docelowym, na przykład aktualizacja rekordu lub wysłanie wiadomości.
Mając tych sześć elementów, audytor może odtworzyć każdą decyzję po fakcie. Bez informacji o zatwierdzeniu nikt nie powie, kto był odpowiedzialny, gdy coś pójdzie nie tak.
We are
Stennir wpisuje inwentarz, osoby zatwierdzające, rejestrowanie i wyłącznik do każdego przebiegu pracy, zanim zostanie uruchomiony, a konta, dzienniki i wyłącznik pozostają twoją własnością.
We aren't
Stennir nie jest kancelarią prawną ani jednostką certyfikującą i nie zastępuje twojego działu compliance ani przeglądu regulatora.
#Co powinien zrobić zarząd lub komitet ds. Ryzyka w następnej kolejności?
Najpierw poproś kierownictwo o inwentarz: każde miejsce, w którym AI już dotyka pracy, łącznie z narzędziami, które pracownicy wdrożyli na własną rękę. Następnie poproś o osobę zatwierdzającą i projekt rejestrowania dla każdego z nich. Doradztwo AI przygotowuje oba elementy, a AI dla compliance pokazuje, jak działają przebiegi pracy związane z przeglądem. Wypełnij bezpłatną ocenę gotowości albo umów 30-minutową rozmowę.
#Najczęstsze pytania
Czy zarząd musi zatwierdzać każdy przebieg pracy z AI?
Nie. Zarząd zatwierdza plan nadzoru i apetyt na ryzyko oraz zapoznaje się z inwentarzem. Kierownictwo zatwierdza poszczególne przebiegi pracy w ramach tych zasad. Zarząd powinien być informowany, gdy przebieg pracy dotyczy danych klientów, podejmuje decyzję o człowieku lub podlega regulatorowi sektorowemu, bo te wiążą się z największym ryzykiem.
Kto zatwierdza to, co tworzy AI?
Wskazana osoba w firmie, która już odpowiada za daną pracę, na przykład kierownik działu likwidacji szkód lub finansów. Może odrzucić lub poprawić każdy wynik, a jej decyzja trafia do dziennika. Stennir nie przejmuje tej roli, bo odpowiedzialność musi pozostać w twojej firmie.
Co zostaje u nas?
Wszystko, co ma znaczenie dla audytu: konta, dane, dzienniki, instrukcje przekazane modelowi i wyłącznik. Stennir konfiguruje je na twoje nazwisko. Jeśli zakończysz z nami współpracę, dzienniki i dokumentacja nadzoru pozostaną czytelne dla twojego zespołu i audytorów.
Co może pójść nie tak?
Typowe błędy to inwentarz pomijający narzędzia, które pracownicy wdrożyli sami, zatwierdzenia, które stają się kliknięciem bez rzeczywistej kontroli, i dzienniki rejestrujące wynik, ale nie to, kto go zatwierdził. Każdy z nich łatwo wykryć w audycie próbnym przed wdrożeniem, a znacznie trudniej wytłumaczyć później.
