Sztuczna inteligencja coraz mocniej wpływa na sposób funkcjonowania przedsiębiorstw. Organizacje wykorzystują ją do automatyzacji procesów, analizy danych, obsługi klientów, tworzenia treści, wspierania programistów oraz podejmowania decyzji biznesowych. Szczególnie dynamiczny rozwój generatywnej AI sprawił, że nowe narzędzia są dziś dostępne praktycznie dla każdego pracownika.
Sztuczna inteligencja zmienia sposób działania organizacji
Systemy sztucznej inteligencji mogą wspierać między innymi: automatyzację procesów biznesowych, analizę dużych zbiorów danych, obsługę klienta, generowanie tekstów, obrazów i kodu, wykrywanie anomalii i zagrożeń, prognozowanie i planowanie, wspieranie decyzji biznesowych.
Rosnące możliwości technologii tworzą nowe szanse biznesowe, ale jednocześnie zwiększają skalę potencjalnych konsekwencji błędów. Niewłaściwie wykorzystany system może prowadzić nie tylko do problemów technicznych, lecz także do utraty danych, błędnych decyzji, naruszenia poufności lub utraty zaufania klientów.
Dlatego organizacje powinny traktować AI nie tylko jako narzędzie zwiększające produktywność, ale również jako element środowiska IT podlegający zarządzaniu ryzykiem.
Wraz ze wzrostem liczby regulacji i standardów dotyczących AI przedsiębiorstwa muszą funkcjonować w coraz bardziej złożonym otoczeniu. Szczególnym wyzwaniem staje się zapewnienie spójności zasad pomiędzy różnymi krajami, dostawcami technologii i systemami wykorzystywanymi w organizacji.
Fragmentacja regulacji to nowe wyzwanie dla biznesu
Sztuczna inteligencja jest technologią globalną. Dane mogą być przetwarzane w jednym kraju, model rozwijany w innym, a użytkownicy systemu mogą korzystać z niego na wielu rynkach jednocześnie.
Międzynarodowa Izba Handlowa ICC zwraca uwagę, że fragmentacja regulacyjna może zwiększać koszty zgodności, utrudniać skalowanie rozwiązań i tworzyć bariery dla innowacji. Szczególnie dotkliwe może to być dla mniejszych przedsiębiorstw, które nie dysponują dużymi zespołami prawnymi i compliance.
Niespójne wymagania mogą prowadzić do:
- powielania procesów kontrolnych,
- zwiększenia kosztów compliance,
- trudności w zarządzaniu danymi,
- problemów ze skalowaniem rozwiązań między rynkami,
- większego ryzyka operacyjnego,
- ograniczenia dostępu mniejszych firm do nowych technologii.
Dlatego coraz większego znaczenia nabierają wspólne standardy i praktyczne ramy zarządzania, które mogą być stosowane niezależnie od konkretnego sektora lub lokalizacji organizacji.
Nie wszystkie zastosowania AI wiążą się z takim samym poziomem ryzyka. Skuteczny system kontroli powinien uwzględniać zarówno charakter technologii, jak i wpływ jej działania na organizację, klientów i inne osoby.
Podejście oparte na ryzyku to klucz do skutecznego zarządzania AI
Inaczej należy oceniać narzędzie wspierające przygotowanie tekstu marketingowego, a inaczej system analizujący dane finansowe, wspierający decyzje kredytowe lub wykorzystywany w procesach krytycznych dla przedsiębiorstwa.
Podejście oparte na ryzyku pozwala skoncentrować zasoby tam, gdzie potencjalne konsekwencje błędów są największe.
Ramy NIST AI Risk Management Framework zostały opracowane właśnie po to, aby pomóc organizacjom identyfikować i zarządzać ryzykiem związanym z projektowaniem, wdrażaniem i wykorzystaniem systemów AI. Framework ma charakter elastyczny i może być stosowany przez organizacje różnych rozmiarów oraz z różnych sektorów.
Audyt systemów AI może obejmować między innymi:
- cel i zakres wykorzystania AI,
- klasyfikację systemów według poziomu ryzyka,
- jakość i pochodzenie danych,
- bezpieczeństwo danych i modeli,
- mechanizmy kontroli dostępu,
- możliwość występowania błędów i stronniczości,
- przejrzystość i możliwość wyjaśnienia wyników,
- nadzór człowieka nad procesami automatycznymi,
- bezpieczeństwo dostawców i usług chmurowych,
- monitoring działania systemu po wdrożeniu.
W praktyce oznacza to, że organizacja powinna najpierw wiedzieć jakie systemy AI wykorzystuje, a następnie określić, które z nich wymagają szczególnego nadzoru.
Samo wdrożenie polityki AI nie wystarcza. Organizacja potrzebuje jasno określonych odpowiedzialności, procesów decyzyjnych i mechanizmów kontroli, które będą funkcjonować przez cały cykl życia systemu.
AI Governance - technologia potrzebuje odpowiedzialnego nadzoru
Modele AI zmieniają się wraz z aktualizacjami, zmieniają się również dane, użytkownicy oraz sposoby wykorzystania technologii. Narzędzie, które na początku było wykorzystywane wyłącznie do prostych zadań administracyjnych, z czasem może zacząć wspierać procesy o znacznie większym znaczeniu biznesowym. Dlatego zarządzanie AI powinno być procesem ciągłym.
Model AI Governance powinien określać:
- kto odpowiada za wykorzystanie AI,
- kto zatwierdza nowe wdrożenia,
- jakie systemy wymagają szczegółowej oceny,
- jakie dane mogą być przekazywane do systemów AI,
- kto monitoruje działanie modeli,
- jak reagować na incydenty,
- jak dokumentowane są decyzje,
- kiedy należy przeprowadzać ponowną ocenę ryzyka.
ISO/IEC 42001:2023 wskazuje kierunek dla organizacji, które chcą wdrożyć systemowe zarządzanie sztuczną inteligencją. Standard określa wymagania dotyczące ustanowienia, wdrożenia, utrzymywania i ciągłego doskonalenia systemu zarządzania AI. Został zaprojektowany zarówno dla organizacji rozwijających rozwiązania AI, jak i dla tych, które z nich korzystają.
Z perspektywy audytu IT szczególnie ważne jest, aby odpowiedzialność za AI nie była rozproszona i niejasna.
Dane i infrastruktura - fundament odpowiedzialnego wykorzystania AI
Skuteczność i bezpieczeństwo systemów AI są bezpośrednio związane z jakością danych oraz dojrzałością infrastruktury technologicznej. W środowiskach biznesowych szczególne ryzyko może wynikać z niekontrolowanego korzystania z publicznych narzędzi generatywnej AI. Pracownicy mogą nieświadomie przekazywać do modeli: dane klientów, informacje finansowe, dokumenty wewnętrzne, kod źródłowy, informacje handlowe, dane osobowe, inne informacje poufne.
Dlatego audyt powinien obejmować nie tylko sam model AI, ale również cały ekosystem technologiczny. W szczególności warto ocenić:
- klasyfikację danych,
- polityki dopuszczalnego wykorzystania AI,
- kontrolę dostępu,
- przepływy danych,
- integracje z systemami zewnętrznymi,
- bezpieczeństwo środowisk chmurowych,
- konfigurację API,
- mechanizmy logowania i monitoringu,
- proces zarządzania dostawcami.
NIST, w profilu dotyczącym generatywnej AI, zwraca uwagę na potrzebę zarządzania ryzykiem przez cały cykl życia systemu oraz dostosowania mechanizmów kontroli do specyfiki technologii generatywnych.
Jednym z najważniejszych elementów odpowiedzialnego wykorzystania AI jest możliwość wykazania, że organizacja rozumie swoje ryzyka i posiada mechanizmy umożliwiające ich kontrolę.
Audyt AI to więcej niż kontrola zgodności
Audyt technologii opartych na sztucznej inteligencji nie powinien ograniczać się wyłącznie do sprawdzenia dokumentacji lub formalnego potwierdzenia zgodności z wymaganiami.
Jego podstawowym zadaniem powinno być zidentyfikowanie rzeczywistych słabości technologicznych i organizacyjnych.
Profesjonalny audyt AI może pomóc odpowiedzieć na pytania:
Czy organizacja posiada pełną inwentaryzację wykorzystywanych systemów AI?
Czy wiadomo, jakie dane są przekazywane do modeli?
Czy systemy AI zostały odpowiednio sklasyfikowane pod względem ryzyka?
Czy użytkownicy znają ograniczenia wykorzystywanych narzędzi?
Czy wyniki generowane przez AI są odpowiednio weryfikowane?
Czy istnieje nadzór człowieka nad procesami o istotnym znaczeniu?
Czy organizacja posiada procedury reagowania na błędy i incydenty?
Czy dostawcy technologii spełniają wymagania bezpieczeństwa?
Audyt pozwala przejść od deklaracji dotyczących odpowiedzialnego AI do rzeczywistej oceny skuteczności mechanizmów kontrolnych.
Rosnąca liczba standardów i dobrych praktyk może wydawać się kolejnym obciążeniem dla organizacji. Odpowiednio wykorzystane standardy mogą jednak uprościć zarządzanie i stworzyć wspólny język dla działów biznesowych, IT, bezpieczeństwa oraz compliance.
Wspólne standardy ułatwiają skalowanie i kontrolę
ICC podkreśla znaczenie międzynarodowych, interoperacyjnych i opartych na ryzyku standardów, które mogą ograniczać fragmentację regulacyjną oraz zmniejszać koszty związane z powielaniem wymagań.
Z kolei ISO/IEC 42001 dostarcza organizacjom struktury zarządzania ryzykiem i możliwościami związanymi z AI, uwzględniając między innymi kwestie odpowiedzialnego wykorzystania, przejrzystości oraz ciągłego doskonalenia.
Spójne podejście do zarządzania może pomóc:
- uporządkować odpowiedzialność,
- ujednolicić procesy oceny AI,
- ograniczyć ryzyko niekontrolowanych wdrożeń,
- usprawnić współpracę między zespołami,
- zwiększyć przejrzystość decyzji,
- przygotować organizację na zmiany regulacyjne,
- zwiększyć zaufanie klientów i partnerów.
Standardy nie powinny być traktowane wyłącznie jako wymaganie formalne. Mogą stanowić praktyczne narzędzie wspierające dojrzałość organizacji. Tradycyjny audyt wykonywany raz na kilka lat może nie być wystarczający w przypadku technologii, która zmienia się tak szybko jak AI. Modele są aktualizowane, dane ewoluują, a zastosowania biznesowe stale się rozszerzają.
AI potrzebuje zaufania
Rozwój sztucznej inteligencji będzie jednym z najważniejszych elementów transformacji cyfrowej przedsiębiorstw w najbliższych latach.
Jednak przewaga konkurencyjna nie będzie zależała wyłącznie od tego, kto najszybciej wdroży nowe narzędzia.
Coraz większe znaczenie będą miały:
- bezpieczeństwo,
- jakość danych,
- przejrzystość,
- odpowiedzialność,
- odporność procesów,
- skuteczny nadzór,
- zdolność do identyfikowania i ograniczania ryzyka.
Zaufanie do AI nie powstaje automatycznie wraz z wdrożeniem nowego modelu. Musi być budowane poprzez odpowiednie procesy, zabezpieczenia, kompetencje pracowników i regularną ocenę skuteczności mechanizmów kontrolnych. Audyt IT i audyt AI mogą stać się jednym z kluczowych elementów budowania tego zaufania.
|
Dobrze zaprojektowany audyt nie powinien hamować innowacji. Jego zadaniem jest pomóc organizacji zrozumieć ryzyko, zidentyfikować słabe punkty i stworzyć warunki do bezpiecznego skalowania nowych technologii. W świecie, w którym sztuczna inteligencja coraz częściej wspiera procesy biznesowe i podejmowanie decyzji, pytanie nie brzmi już tylko: „Czy powinniśmy korzystać ze sztucznej inteligencji?” Coraz ważniejsze staje się pytanie: „Czy wiemy, jak skutecznie zarządzać ryzykiem związanym z jej wykorzystaniem?” |
|---|