Co má obsahovat pravidelný přehled o AI pro vedení firmy

Pravidelný přehled o AI pro vedení nebo správní radu má sedm pevných částí: nasazené systémy a jejich vlastníky, změny od posledního přehledu, přijatá i čekající rozhodnutí, incidenty a téměř-incidenty, čerpání rozpočtu proti plánu, otevřená rizika s vlastníkem a termínem a výslovně formulované mezery ve znalostech firmy o vlastním nasazení AI. Účel přehledu je umožnit konkrétní rozhodnutí, takže musí unést i nepříjemná zjištění stejně jako dobré zprávy.

Sedm částí, bez kterých přehled nefunguje

Nasazené systémy a jejich vlastníci. Přehled jmenovitě uvádí, který systém běží v jakém procesu a kdo za něj odpovídá. Bez vlastníka se otázka při problému neptá nikoho konkrétního. Do tohoto přehledu patří i systémy, o kterých vedení dosud oficiálně nevědělo; jejich nekontrolované používání mimo dohled IT popisuje co je shadow AI.

Změny od posledního přehledu. Co přibylo, co bylo vyřazeno a co se zásadně změnilo v konfiguraci nebo u dodavatele, aby vedení nemuselo srovnávat dva dokumenty ručně.

Přijatá a čekající rozhodnutí. Co bylo schváleno od minulého kola a co čeká na rozhodnutí, včetně toho, kdo rozhodnutí očekává a dokdy.

Incidenty a téměř-incidenty. Co selhalo nebo se skoro stalo, jaká byla bezprostřední reakce a zda vyžaduje trvalou změnu postupu. Technická a provozní rizika u jednotlivých systémů, včetně přístupů a úniku dat, podrobněji rozebírá jak zabezpečit AI ve firmě.

Čerpání rozpočtu proti plánu. Skutečné náklady srovnané s plánovanými, s krátkým vysvětlením každé významnější odchylky.

Otevřená rizika s vlastníkem a termínem. Riziko bez přiřazené odpovědné osoby a data přezkoumání zůstává v přehledu jen jako poznámka; skutečně řízenou položkou se stává až po přiřazení vlastníka a termínu.

Co firma zatím neví. Otázky, na které chybí data nebo odpověď, patří do přehledu stejně jako vyřešené body. Jejich vynechání vytváří dojem jistoty, která neodpovídá realitě.

Kdy položka patří jen vedení a kdy až na radu

Obecné pravidlo: položka zůstává na úrovni vedení, dokud ji lze vyřešit v rámci schváleného rozpočtu a mandátu vlastníka. Jakmile ji nelze vyřešit bez souhlasu nad touto úrovní, nebo jakmile dopad zasahuje osoby mimo firmu, patří do části přehledu určené pro radu.

Sekce přehledu	Co obsahuje	Signál pro postoupení na radu
Nasazené systémy a vlastníci	Seznam systémů v provozu a odpovědná role u každého	Nový systém přímo ovlivňuje rozhodování o zákaznících, zaměstnancích nebo bezpečnosti
Změny od posledního přehledu	Co se nasadilo, vyřadilo nebo zásadně změnilo	Změna mění expozici firmy vůči regulaci nebo mění dodavatele klíčového systému
Rozhodnutí přijatá a čekající	Co bylo schváleno, co čeká a od koho	Rozhodnutí přesahuje schválený rozpočet nebo pravomoc vlastníka
Incidenty a téměř-incidenty	Co selhalo nebo se skoro stalo a jaká byla reakce	Dopad zasáhl nebo mohl zasáhnout osobní údaje, peníze nebo pověst firmy
Čerpání rozpočtu	Skutečné čerpání proti plánu a důvod odchylky	Odchylka přesahuje interně schválenou toleranci
Otevřená rizika s vlastníkem a termínem	Riziko, odpovědná osoba a termín přezkoumání	Riziko zůstává otevřené po dohodnutém termínu nebo nemá vlastníka
Co firma zatím neví	Otázky bez odpovědi a chybějící data	Neznámá se týká rozsahu, který rada dříve schvalovala jako podmínku

Rozdělení podle sekcí funguje jen tehdy, pokud sestavovatel dopředu ví, komu je která verze určena. Verze pro vedení může obsahovat provozní detail, který radu zajímá jen souhrnně. Verze pro radu se soustředí na položky z pravého sloupce tabulky a na trend napříč posledními obdobími, s menším důrazem na jednorázový detail u jednoho konkrétního systému. Sestavovatel, který posílá radě stejný dokument beze změny, obvykle zahltí radu detailem a zároveň jí ztíží najít to jediné, co skutečně potřebuje rozhodnout.

Přehled bez otevřeného rizika je varovný signál

Prázdný řádek u otevřených rizik působí uklidňujícím dojmem, ale u firmy s aktivně používanou AI bývá spíš důvodem k doplňujícímu dotazu. Nasazení nového systému téměř vždy přináší alespoň jednu nejistotu: technickou, protože chování modelu se může měnit s aktualizací dodavatele, provozní, protože zaměstnanci nástroj používají jinak, než se plánovalo, nebo právní, protože zpracování dat prochází dalším systémem. Sestavovatel, který týden co týden nenajde žádné otevřené riziko, pravděpodobně hledá povrchně, přebírá jen to, co mu vlastníci systémů sami dobrovolně nahlásí, nebo nevědomky vyřadí nepříjemná zjištění dřív, než se dostanou do dokumentu.

Toto je doporučení CIAD nad rámec citovaných rámců, nejde o žádný jejich formální požadavek: u přehledu bez jediného otevřeného rizika by vedení nebo rada měli položit alespoň jednu doplňující otázku, například jak se riziko sbíralo a od koho, dřív než zprávu přijmou jako potvrzení dobrého stavu.

Co tento přehled neřeší

Tento přehled popisuje stav a rizika napříč všemi nasazenými systémy AI ve firmě v pravidelném intervalu. Nejde o podklad pro jednorázové rozhodnutí u konkrétní schůzky vedení, ani o obecný týdenní rozhodovací podklad sestavovaný pomocí AI pro běžnou agendu ředitele; to je samostatné téma s jiným účelem a jiným obsahem. Přehled o AI také nenahrazuje nezávislé posouzení fungování jednotlivého systému; tomu se věnuje co je audit AI systémů a jde hlouběji než pravidelný souhrn zaměřený na celé portfolio najednou.

Širší rámec, do kterého tento přehled zapadá jako jeden z nástrojů dohledu, popisuje zavedení AI ve firmě. Sestavovatel přehledu si podle tohoto rámce ověří, zda pokrývá všechny fáze zavádění, včetně fází mimo tu, ve které se firma zrovna nachází.

Stav zdrojů a omezení

Sedm částí přehledu a pravidlo pro postoupení na radu jsou metodický návrh CIAD; v citované knihovně zdrojů neexistuje dokument, který by tuto konkrétní strukturu předepisoval. NIST AI RMF pracuje s podobnou logikou v rámci funkce Govern, definuje ale obecné kategorie řízení rizik místo konkrétních polí přehledu pro vedení nebo radu. Playbook k rámci je výslovně označený jako dobrovolný soubor návrhů bez závaznosti kontrolního seznamu a americký kontext se nepřekrývá s žádnou právní povinností v EU. Text neobsahuje žádné číslo o četnosti incidentů, výši rozpočtu ani podílu firem, které podobný přehled používají; citovaná knihovna zdrojů takové údaje neposkytuje a text si je proto nevymýšlí. Hranici mezi úrovní vedení a úrovní rady musí každá firma stanovit podle vlastní struktury řízení.