Các doanh nghiệp thường phản ứng với sự xuất hiện của AI bằng một bản tuyên ngôn vài trang: không chia sẻ dữ liệu mật, kiểm tra kết quả và tuân thủ pháp luật. Những quy tắc này là cần thiết, nhưng chúng không cho biết hệ thống nào đang được sử dụng, ai ra quyết định, những phiên bản nào đang được triển khai hay liệu các rủi ro có thực sự được giám sát hay không.
Ngược lại, một chương trình quá nặng nề sẽ khiến các đội phải tìm cách tránh quy trình. Do đó, quản trị phải được cân đối: nhẹ nhàng đối với một trợ lý soạn thảo không có dữ liệu nhạy cảm, nghiêm ngặt đối với một tác vụ kết nối với hệ thống thông tin hoặc một quyết định liên quan đến con người.
Quản trị phải được điều chỉnh phù hợp với bối cảnh của tổ chức và gắn liền với các nghĩa vụ pháp lý, hợp đồng, ngành nghề và an ninh của nó.
Quản trị không phải là một ủy ban
Một ủy ban có thể đưa ra quyết định, nhưng nó không tự nó tạo thành một hệ thống quản lý. Quản trị vận hành luôn luôn trả lời sáu câu hỏi:
- các hệ thống nào tồn tại;2. ai chịu trách nhiệm về việc đó;3. các sử dụng nào được phép ;4. những bằng chứng nào ủng hộ quyết định ;5. những thay đổi nào đã xảy ra;6. khi nào cần đánh giá lại hoặc dừng lại.
Cô ấy tích hợp vào các quy trình đã có: mua sắm, an ninh, bảo vệ dữ liệu, kiến trúc, phát triển, kiểm soát nội bộ, nhân sự và quản lý sự cố.
Xác định một phạm vi rõ ràng
Thuật ngữ « hệ thống AI » phải được dịch sang ngôn ngữ của công ty. Ngữ điệu có thể bao gồm:
- mô hình phát triển nội bộ ;- API bên ngoài ;- chức năng AI của một SaaS ;- Tài liệu RAG ;- đại lý và tự động hóa ;- công cụ tạo nội dung ;- trợ lý phát triển ;- mô hình nhúng ;- thí nghiệm sử dụng dữ liệu thực tế.
Một động cơ quy tắc đơn giản không nhất thiết phải cần cùng một mạch. Mục tiêu không phải là phình to sổ đăng ký một cách nhân tạo, mà là để bao quát các hệ thống mà hành vi, dữ liệu hoặc khả năng tự chủ của chúng tạo ra một rủi ro đặc biệt.
Viết một chính sách giúp đưa ra quyết định
Một chính sách hữu ích dựa trên một số nguyên tắc dễ hiểu, được bổ sung bởi các thủ tục. Nó nêu rõ:
- các việc sử dụng được tự do cho phép;- các công cụ được phê duyệt;- dữ liệu bị cấm hoặc có điều kiện ;- các việc sử dụng cần xem xét;- những quyết định vẫn mang tính con người;- các quy tắc về tính minh bạch ;- quyền sở hữu nội dung và mã code ;- các yêu cầu về an toàn;- báo cáo lỗi và sự cố;- các biện pháp trừng phạt hoặc biện pháp trong trường hợp cố ý né tránh.
Các ví dụ cụ thể hữu ích hơn là một công thức chung. « Không gửi dữ liệu cá nhân » thường không khả thi. Tốt hơn là phân biệt dữ liệu công khai, nội bộ, bảo mật, bí mật, dữ liệu cá nhân thông thường và dữ liệu nhạy cảm, sau đó liên kết mỗi mức với các môi trường được phép.
Sổ đăng ký tối thiểu khả thi
Sổ đăng ký bắt đầu với một số trường bắt buộc hạn chế:
- mã định danh và tên;- mô tả về mục đích;- chủ sở hữu nghề nghiệp ;- chủ sở hữu kỹ thuật ;- trạng thái của vòng đời ;- người sử dụng và những người bị ảnh hưởng ;- nhà cung cấp, mẫu và phiên bản ;- dữ liệu đã sử dụng ;- các hệ thống kết nối ;- mức độ tự chủ ;- những rủi ro chính;- đánh giá có sẵn ;- quyết định và điều kiện;- ngày xem xét tiếp theo.
Anh ta phải chấp nhận sự không chắc chắn. Một giá trị « phiên bản không xác định » tốt hơn một trường trống, vì nó sẽ kích hoạt một hành động. Chất lượng của sổ đăng ký được đo bằng khả năng tiết lộ những điều chưa biết của nó, chứ không phải bởi vẻ ngoài hoàn hảo.
Mô hình dữ liệu của một sổ đăng ký AI liên kết các trường hợp sử dụng, người chịu trách nhiệm, phiên bản, dữ liệu, đánh giá, quyết định và sự cố.
Phân loại các mục đích sử dụng theo mức độ kiểm soát
Một phân loại nội bộ đơn giản giúp thuận lợi cho tính tỉ lệ.
Cấp độ 1: hỗ trợ mà không có dữ liệu nhạy cảm
Soạn thảo, dịch thuật hoặc tạo ý tưởng từ nội dung công khai, không có quyết định quan trọng. Kiểm soát: công cụ được phê duyệt, đào tạo, xem xét bởi con người và quy tắc sở hữu.
Cấp độ 2: dữ liệu nội bộ hoặc khuyến nghị nghề nghiệp
Tóm tắt tài liệu nội bộ, hỗ trợ phân tích hoặc nghiên cứu nâng cao. Kiểm soát bổ sung: hợp đồng, truy cập, lưu trữ, đánh giá, nguồn và theo dõi lỗi.
Cấp độ 3: hành động hoặc tác động quan trọng
Tác nhân kết nối, tự động hóa một quy trình, đề xuất ảnh hưởng đến một người hoặc sử dụng dữ liệu nhạy cảm. Kiểm soát tăng cường: phân tích tác động, an ninh, phê duyệt, giám sát, nhật ký, biện pháp khắc phục, thử nghiệm đối nghịch và kế hoạch sự cố.
Cấp độ 4: sử dụng bị cấm, bị điều chỉnh hoặc quan trọng
Dự án bị đình trệ cho đến khi được các vai trò có thẩm quyền xác nhận và thiết lập các yêu cầu cụ thể.
Thang đo nội bộ này không thay thế các phân loại pháp lý. Nó được sử dụng để hướng dẫn quy trình.
Thiết lập các cánh cửa quyết định
Vòng đời bao gồm ít nhất bốn giai đoạn.
Ý tưởng hướng tới thử nghiệm
Kiểm tra mục đích, chủ sở hữu, công cụ, dữ liệu được phép và môi trường cách ly. Một POC không nên tự động nhận quyền truy cập sản xuất.
Thí nghiệm hướng tới quy mô thử nghiệm
Yêu cầu một bộ đánh giá, kết quả, phân tích lỗi, lập bản đồ dữ liệu, chi phí và một đánh giá an ninh/RGPD ban đầu.
Chạy thử nghiệm trước khi sản xuất
Xác nhận ngưỡng, giám sát, trách nhiệm, hỗ trợ, hợp đồng, khôi phục, tài liệu người dùng, giám sát con người và kế hoạch rút lui.
Sản xuất hướng tới thay đổi lớn
Một phiên bản mô hình mới, một công cụ mới, một nhóm dân cư khác hoặc một quyền viết bổ sung sẽ kích hoạt một đánh giá lại có mục tiêu.
Mỗi cổng tạo ra một quyết định có ngày tháng: được chấp thuận, được chấp thuận có điều kiện, bị từ chối hoặc cần thêm thông tin.
Phân chia trách nhiệm
Chủ sở hữu nghiệp vụ chịu trách nhiệm về mục đích, việc sử dụng và kết quả mong đợi. Chủ sở hữu kỹ thuật chịu trách nhiệm về kiến trúc, các phiên bản, việc tích hợp và vận hành. DPO, bộ phận an ninh, pháp lý và kiểm soát nội bộ can thiệp tùy theo mức độ rủi ro.
Ủy ban AI không cần xem xét từng lời nhắc. Nó trọng tài các trường hợp phức tạp, xác định các cấp độ, theo dõi các sự cố và giải quyết các ngoại lệ. Các trường hợp tiêu chuẩn theo một quy trình tự động hoặc được ủy quyền.
Một loại RACI xác định ai:
- đề xuất ;- đánh giá ;- phê duyệt ;- triển khai ;- giám sát ;- thông báo cho mọi người;- quản lý các sự cố;- quyết định việc rút lui.
Sắp xếp các bằng chứng
Mỗi mục trong sổ đăng ký hướng đến các tài liệu, không chỉ đơn giản là một ô « phù hợp ». Các bằng chứng bao gồm:
- phiếu nhà cung cấp ;- hợp đồng và nhà thầu phụ ;- kiến trúc và dòng chảy;- phân tích Đạo luật AI/RGPD/bảo mật ;- trò chơi đánh giá ;- báo cáo kết quả ;- mô hình giám sát ;- thông báo và lộ trình;- quyết định ;- sự cố ;- lịch sử phiên bản.
Tổ chức có thể lấy cảm hứng từ ISO/IEC 42001 để cấu trúc lãnh đạo, rủi ro, vòng đời, đo lường và cải tiến liên tục, mà không cần tuyên bố được chứng nhận nếu chưa được chứng nhận.
Quản lý những thay đổi
Một hệ thống AI đôi khi phát triển mà không triển khai mã: nhà cung cấp thay thế một mô hình, sửa đổi một bộ lọc, tăng một cửa sổ ngữ cảnh hoặc thêm bộ nhớ. Hợp đồng và giám sát phải cho phép phát hiện những thay đổi này.
Xác định các sự kiện kích hoạt một buổi đánh giá:
- phiên bản mới ;- dữ liệu mới ;- dân số mới ;- hành động mới ;- giảm chất lượng;- sự cố ;- tiến triển về quy định;- kết thúc hỗ trợ ;- thay đổi nhà thầu phụ.
Một nhật ký liên kết sự kiện với quyết định và các bài kiểm tra đã thực hiện.
Đo lường quản trị
Các chỉ số hữu ích không phải là số lượng cuộc họp hay số trang được tạo ra. Thay vào đó hãy theo dõi:
- tỷ lệ phần trăm hệ thống có chủ sở hữu ;- tỷ lệ các phiên bản đã biết ;- bao quát đánh giá;- thời hạn xử lý các yêu cầu;- số lượng ngoại lệ đã hết hạn;- sự cố theo cấp độ ;- hệ thống không có đánh giá gần đây ;- các hành động khắc phục bị chậm trễ;- các cách sử dụng được phát hiện ngoài phạm vi ;- thời gian rút lui hoặc hoàn tác.
Những chỉ số này tiết lộ khả năng thực sự trong việc kiểm soát danh mục đầu tư.
Quản lý các ngoại lệ mà không tạo ra cánh cửa hậu
Một ngoại lệ bao gồm một lý do, phạm vi, chủ sở hữu, các biện pháp bù trừ và ngày hết hạn. Nó không được gia hạn tự động.
Ví dụ, một bài kiểm tra giới hạn có thể sử dụng một nhà cung cấp không tiêu chuẩn với dữ liệu tổng hợp, một môi trường riêng biệt và việc xóa được kiểm tra. Ngoại lệ không cho phép việc đưa thầm vào sản xuất.
Liên kết quản trị và trải nghiệm người dùng
Quản trị được hiện thực hóa trong sản phẩm: các thông điệp minh bạch, nguồn gốc, khả năng chỉnh sửa, sự đồng ý nếu cần, kiểm soát của con người, lịch sử và khả năng khiếu nại. Nó không chỉ là một công việc hậu cần.
Phản hồi của người dùng bổ sung vào sổ ghi chép: những lỗi lặp đi lặp lại, sự hiểu lầm, thành kiến, bỏ cuộc hoặc sự né tránh. Một hệ thống «đúng theo lý thuyết» nhưng không thể sử dụng được sẽ tạo ra những rủi ro riêng của nó.
Bắt đầu nhỏ, nhưng với một mô hình có thể mở rộng
Một công ty có thể bắt đầu trong sáu tuần :
- bổ nhiệm một người chịu trách nhiệm ;2. liệt kê hai mươi công dụng dễ thấy nhất ;3. áp dụng ba hoặc bốn cấp độ kiểm soát;4. xác định các cổng quyết định;5. tạo một hồ sơ sổ đăng ký có phiên bản;6. xử lý năm rủi ro ưu tiên;7. tích hợp việc mua sắm và an ninh;8. công bố một chính sách đơn giản ;9. đào tạo các đội;10. đo lường và điều chỉnh.
Partitech có thể thiết kế sổ đăng ký, tự động hoá các quy trình làm việc, kết nối các bằng chứng và tích hợp các kiểm soát vào chu trình phát triển. Một quản trị tốt không ngăn cản việc thử nghiệm: nó cho phép biết nơi nào đang thử nghiệm, với những giới hạn gì và ai sẽ chịu trách nhiệm về phần tiếp theo.
Hãy nói về dự án của bạn
Thiết kế một hệ thống quản trị AI phù hợp và tích hợp vào các quy trình của bạn với Partitech.Liên hệ Partitech.