Nadzór to łańcuch kroków, które przekazują sobie pracę. Dokument jest efektem kroku. Zasada pozostaje wartością, dopóki coś nie zmierzy jej na działającym systemie. Polityka nie istnieje poza czyimś dniem pracy.
Kolejność jest celowa: inwentarz, zakres, ocena, właściciele, zabezpieczenia, dowody, audyt. Każdy etap tworzy to, czego potrzebuje kolejny. To, czy audytor dostanie odpowiedź, zależy od tego, czy ten łańcuch się nie zerwał.
Taki jest kształt wdrożenia ISO/IEC 42001 i kształt programu gotowości do aktu w sprawie sztucznej inteligencji (AI Act), bo oba działają na tym samym łańcuchu.
Kolejność
Dziewięćdziesiąt dni to typowy czas na te pierwsze etapy. To, ile trwa każdy z nich, ustala organizacja, a etapy się nakładają.
Co faktycznie działa.
Inwentarz AI obejmujący systemy, narzędzia i przypadki użycia, łącznie z tymi, których nikt nie zarejestrował. Shadow AI pokazuje, że zatwierdzona ścieżka jest trudniejsza niż jej ominięcie. Klasyfikacja znalezionych systemów i ustalenie roli w każdym przypadku. Zakres AIMS ustalony względem inwentarza.
Metoda ryzyka, którą ludzie potrafią stosować.
Metoda oceny ryzyka AI, którą Twoje zespoły uruchomią bez mojego udziału. Ocena wpływu systemu AI tam, gdzie wymaga jej właściwa regulacja. Z modelu ryzyka, który umie obsłużyć tylko funkcja nadzoru, zawsze będzie korzystać tylko funkcja nadzoru.
Właściciele.
Role, prawa decyzyjne, ścieżki zatwierdzania. Dla każdego zabezpieczenia: krok procesu i osoba, która za nie odpowiada. Ten etap się pomija, a przesądza o wszystkim, co dalej.
Zabezpieczenia tam, gdzie dzieje się praca.
Kryteria w bramkach kontrolnych wydania. Cykl życia agenta od przyjęcia zgłoszenia przez wdrożenie i monitoring po wycofanie. Integracja z procesami ryzyka, bezpieczeństwa, zakupów i dostawców, które już prowadzisz.
Dowody i pierwszy audyt.
Zapisy, które gromadzą się jako produkt uboczny pracy. Pierwszy audyt wewnętrzny, przeprowadzony względem dowodów, których szuka jednostka certyfikująca.
Co zostaje w Twoich rękach
Rejestr systemów AI. Metoda oceny ryzyka AI wraz z zapisami. Oceny wpływu systemów AI. Deklaracja Stosowania. Kryteria oceny dostawców. Model operacyjny nadzoru z przypisanymi rolami. Zarządzanie incydentami AI, ich klasyfikacja i obsługa. Ścieżka zatwierdzania. Macierz zabezpieczeń. Wyniki audytu wewnętrznego i zapisy z przeglądu zarządzania.
Adopcja to druga połowa
Funkcja nadzoru, która tylko odmawia, produkuje shadow AI i niewiele poza tym. Warto patrzeć na to, ile przypadków użycia trafiło na produkcję zatwierdzoną ścieżką, z zapisem, kto zdecydował i na jakiej podstawie.
Pracowałam też po stronie adopcji: wprowadzałam asystentów AI do funkcji biznesowej i pisałam grupową politykę użycia AI razem z CTO.
Dlaczego proces, a nie tylko prawo
Systemy zarządzania ISO działają w modelu planuj, wykonaj, sprawdź, popraw. To jest doskonalenie procesu. Na tym polega różnica między systemem, który działa, a folderem, który istnieje.
Doszłam do tego przez Lean Six Sigma i przez osiem lat porządkowania ładu korporacyjnego w 180 spółkach i 35 jurysdykcjach, gdzie ta sama dyscyplina przyniosła ponad 150 tysięcy euro oszczędności. Mechanika, której tu używam, jest tą samą, której używałam tam.
Czego nie robię
Nie zaczynam od napisania czterdziestu procedur. Dokumenty są efektem kroków, więc jeśli krok nie istnieje, dokument nie ma gdzie powstać ani gdzie się później znaleźć.
Nie zostawiam planu i nie wychodzę. Zabezpieczenia muszą znaleźć się w czyimś codziennym procesie pracy, zanim skończę, bo inaczej całość wróci do punktu wyjścia w ciągu kwartału.