AI-haldusel on hooldusgraafik

Governance ei ole heakskiit, mis toimub enne AI-süsteemi kasutuselevõttu. See on tavapärane töö: jälgimine, otsustamine, muutmine, kontrollimine ja...

AI-haldusel on hooldusgraafik

Poliitika taga olev kalender

Enamik valitsemisdokumente on kirjutatud nii, nagu toimuks huvitav töö enne süsteemi kasutuselevõttu. Keegi määratleb eesmärgi. Meeskond hindab riski. Juht allkirjastab rea. Tarnija tarnib PDF-i, mille failinimes on sõna final, mis on tavaliselt väike hoiatus. Seejärel siseneb süsteem tavalisse ellu, kus andmeallikas asendatakse, inimene õpib töölahenduse, poliitika muutub, teenusepakkuja uuendab komponenti või varem ebatavaline juhtum muutub tavaliseks. Kinnitus jääb oma kausta. Maailm ei jää.

Seetõttu vajab AI-valitsemine hooldusgraafikut. Mitte seremoniaalset aastakoosolekut slaidiga, millel on seitse rohelist punkti. Tavaliste hoolimistoimingute ajakava: kontrollida, kas väljaöeldud eesmärk on endiselt tõene, lugeda signaale, mis võivad riskihinnangut muuta, otsustada, kes võib süsteemi muuta, harjutada, mis juhtub, kui see tuleb peatada, dokumenteerida, miks muudatus tehti, ja arhiveerida tõendid, kui nende tingimused on lõppenud. See on vähem glamuurne kui käivitusteade. Kuid just seal muutub vastutus kas reaalseks või vaikselt haihtuvaks.

See eristus on oluline, sest AI-süsteemid ei jää sinna, kuhu esialgne hinnang need paigutas. Mudel võib jääda muutumatuks, samal ajal kui selle sisendid, kasutajad, liides, juurutustee, ühendatud tööriistad, äriprotsess või õiguslik kontekst muutuvad. Mudel võib muutuda, samal ajal kui kasutus näib stabiilne. Süsteem võib jääda tehniliselt kättesaadavaks, kuid muutuda operatiivselt sobimatuks, sest inimesed, kes seda vaidlustada saaksid, on töökohta vahetanud, sest ülevaatusjärjekord on täis, sest uus allavoolu kasutus on andnud selle väljundile teistsuguse tagajärje. Valitsemine, mis kohtleb väljalaskekuupäeva finišijoonena, valitseb fotot.

Euroopa reeglid sisaldavad juba nõudlikumat ideed. Kõrge riskiga AI-süsteemide puhul nimetab AI-määruse artikkel 9 riskijuhtimist pidevaks korduvaks protsessiks, mida kavandatakse ja juhitakse kogu elutsükli vältel, koos regulaarse süstemaatilise läbivaatamise ja ajakohastamisega. Artikkel 72 nõuab proportsionaalset, dokumenteeritud turustusjärgset seiremehhanismi, mis kogub, dokumenteerib ja analüüsib aktiivselt ja süstemaatiliselt asjakohast teavet jõudluse kohta kogu süsteemi eluea jooksul. Asi pole selles, et iga väike tarkvaratükk vajaks sama aparatuuri. Asi on selles, et oluline tehnoloogia vajab toimimisrütmi, mitte ainult algusfaili.

Kasulik küsimus ei ole seega: „Kas meil on AI-valitsemise raamistik?“ Vaid: „Mis juhtub järgmisel teisipäeval, kui tõendid teenusele enam ei sobi?“ Kes seda esimesena näeb. Milline teave neil on. Kes saab otsustada, kas tegemist on tavalise paranduse, olulise muudatuse, intsidendi või põhjusega peatada. Kuidas säilitatakse algne otsus ilma seda vabanduseks muutmata. Ja kui süsteem töötab endiselt tehniliselt, kuid asutus on lakanud mõistmast selle kasutamise tingimusi, kellel on lubatud öelda, et töötamine ei ole enam piisav?

Hooldusgraafik ei vasta nendele küsimustele üldise armatuurlauaga. See määrab need inimestele ja hetkedele. See annab igale kirjele põhjuse uuesti läbi vaadata. See muudab süsteemi jätkuva kasutamise sõltuvaks elavast suhtest tõendite, volituste ja nende ümber toimuva tegeliku töö vahel.

Mis pärast käivitamist laguneb

Tarkvara ei pea ebaõnnestuma, et muutuda vähem juhitavaks. Kõige tavalisem lagunemine on vaiksem. Meeskonnal on hea kirjeldus kavandatud kasutusest, kuid teenus kasvab külgsuunas. Sisekasutuseks mõeldud assistent kopeeritakse klienditeekonda. Fikseeritud dokumendikomplekti sorteerimiseks loodud klassifikaator saab uut tüüpi esituse. Süsteem, mida algselt vaatas väike rühm, saab osaks laiemast protsessist, kus keegi ei tea piirangut, mis alguses oluline oli. Selles kirjelduses pole vaja väljamõeldud katastroofi. See on lihtsalt see, mis juhtub, kui asutus muutub kiiremini kui tema dokumendid.

Eesmärk hääbub esimesena, sest eesmärki kirjeldatakse sageli nimisõnana, kuigi tegelikult on see piir. „Otsusetugi“ ei ole piisav eesmärk, kui kirjest ei selgu, millist otsust, kelle jaoks, milliste sisendite põhjal ja millise volitusega see toetab ning mida väljundil on keelatud käivitada. Eesmärgi kirjeldust tuleks vaadata uuesti siis, kui süsteemi hakkab kasutama uus meeskond, kui väljund hakkab avama või sulgema olulist teed, kui mõjutatud on uus sihtrühm või kui inimese roll üleandmisel muutub vähem tähenduslikuks. Sõnad võivad jääda samaks, samas kui praktiline mõju kasvab märkimisväärselt.

Järgmisena hääbuvad tõendid. Hindamistulemus on vaatlus kindlaksmääratud tingimustes. See võib olla kasulik kaua, kuid pole surematu. Mõõdetud mudeli olek võib olla muutunud. Andmete jaotus võib olla nihkunud. Süsteemi kasutavad inimesed võivad nüüd selle väljundit tõlgendada teisiti. Võrdlusuuring võib hõlmata alamhulka, mis oli algselt esinduslik, kuid enam seda pole. Test ise võib olla endiselt korratav, samas kui sellele tuginemise põhjendus on muutunud nõrgaks. Aruande säilitamine on hea arvepidamine. Selle käsitlemine praeguste tõenditena ilma tingimusi kontrollimata on midagi muud.

Ka liidesed hääbuvad. Seda jäetakse sageli tähelepanuta, sest liidese muudatus võib tunduda kahjutu. Uus vaikeväärtus, silmapaistvam nupp, lühendatud selgitus, lisatud tööriistakutse või muudetud edastamistee võib muuta seda, mida kasutajad tegelikult teevad. Mudel on sama, seega väidab meeskond, et mudeli muutust ei toimunud. See võib olla tehniliselt täpne, kuid operatiivselt ebaoluline. Kui liides muudab soovituse kohustuslikuks, eemaldab tulemuse vaidlustamiseks vajaliku konteksti või laseb väljundil liikuda kaugemale kui varem, on juhtimisküsimus muutunud isegi siis, kui kaalud pole muutunud.

Volitus hääbub siis, kui vastutus on paberil olemas, kuid praktikas enam mitte. Määratud omanik võib olla lahkunud. Ülevaataja roll võib organisatsiooniskeemis alles olla, samas kui seda täitev isik ei oma ei aega ega teavet otsustamiseks. Peatamisõigus võib olla määratud juhtrühmale, kes ei tea, et see on neile määratud. Tarnijaleping võib viidata eskalatsioonikontaktile, kes suudab teatise kätte saada, kuid ei saa muudatusi teha. Juhtimine on siis muutunud vanaks telefoniraamatuks, millel on veidi enesekindlam tüpograafia.

Sõltuvused hääbuvad kuhjumise teel. Teenus võib lisada otsinguallika, identiteedipakkuja, seiretoote, järeldustee, järjekorra, salvestuskihi või veel ühe mudeli. Iga lisandus võib olla mõistlik. Koos muudavad nad tegelikult toimivat süsteemi. DORA toob selle punkti välja finantsvaldkonnas, nõudes, et üksused tuvastaksid, klassifitseeriksid ja dokumenteeriksid IKT-toega äritegevused, varad, rollid, vastutused ja sõltuvused ning vaataksid asjakohase dokumentatsiooni läbi vähemalt kord aastas ja oluliste muudatuste korral. See pole AI reegel. See on kasulik meeldetuletus, et hooldust vajav objekt on süsteem oma töökeskkonnas, mitte kõige moekama nimega komponent.

Lõpuks hääbub mälu. Organisatsioon võib säilitada tuhandeid logiridu ja kaotada siiski otsuse põhjuse. Logid võivad öelda, et sündmus toimus. Nad ei ütle automaatselt, miks lävi määrati, kes piirangu vastu võttis, millised juhtumid katsest välja jäeti või mida meeskond kavatses pärast väljalaset kontrollida. See teave kipub inimestega lahkuma, kui seda ei muudeta omaniku ja ülevaatuspunktiga kirjeks. Auditijälg, mis ei suuda selgitada sündmuse ümber tehtud otsustust, on kasulik, kuid mittetäielik.

Miski sellest ei ole argument püsiva kahtlustamise või koosoleku korraldamise poolt iga kord, kui menüü muutub. Proportsioon on oluline. AI-määrus kirjeldab turustusjärgset seiret kui tehnoloogia olemuse ja suure riskiga süsteemi riskiga proportsionaalset. Hoolduse eesmärk ei ole muuta tavapärane täiustamine võimatuks. Selle eesmärk on muuta organisatsioon heaks märkama, millised täiustused ei ole tavapärased.

Õigus mõtleb juba tsüklitena

Euroopa tehnoloogiaeeskirju kirjeldatakse sageli kui vastavuskohustusi, justkui oleks töö ühekordne esitamine, millele järgneb tempel. Lähemalt lugedes on nende toimimisloogika tsükliline. Need paluvad organisatsioonidel tuvastada, jälgida, dokumenteerida, aru anda, üle vaadata, testida ja täiustada. Sõnavara erineb sektoriti, sest riskid erinevad. Hooldusinstinkt on tähelepanuväärselt järjepidev.

Suure riskiga tehisintellektisüsteemide puhul asetab AI-määrus elutsükli mõtlemise nõuete etteotsa. Artikkel 9 nõuab riskijuhtimissüsteemi loomist, rakendamist, dokumenteerimist ja hooldamist. See kirjeldab süsteemi kui pidevat ja korduvat, kogu elutsükli jooksul kavandatud ja toimivat, korrapärase süstemaatilise läbivaatamise ja ajakohastamisega. Süsteem peab tuvastama ja analüüsima teadaolevaid ja mõistlikult ettenähtavaid riske, sealhulgas sihtotstarbelise kasutusega ja mõistlikult ettenähtava väärkasutusega seotud riske. Samuti peab see kasutama turustusjärgse seire käigus kogutud teavet. See on juhis muuta esialgne hinnang ülevaatatavaks. See ei luba esialgsest hinnangust saada muuseumieksponaati.

Artikkel 72 on täpsem selle kohta, mis järgneb suure riskiga süsteemi kasutuselevõtule. Pakkujad peavad looma ja dokumenteerima seiresüsteemi, mis on proportsionaalne tehnoloogia ja riskiga. See peab aktiivselt ja süstemaatiliselt koguma, dokumenteerima ja analüüsima asjakohaseid andmeid süsteemi toimivuse kohta kogu süsteemi eluea jooksul, et oleks võimalik hinnata asjakohaste nõuete jätkuvat täitmist. Vajaduse korral hõlmab see koostoime analüüsi teiste tehisintellektisüsteemidega. See on oluline tegelike kasutuste puhul, sest süsteemi tähenduslik käitumine võib tekkida piiril: väljund siseneb teise tööriista, poliitikamootor muudab skoori tegevuseks, inimene näeb liidest, mis muudab soovituse kaalu, või allavoolu töövoog loob uue tagajärje.

Määrus ei nõua, et seirest saaks passiivne jälgimine kõigist, kes teenust kasutavad. See nõuab asjakohast teavet ja ümbritsev õiguskeskkond kehtib endiselt. Hoolduse kavandamine peaks seetõttu algama iga signaali eesmärgist. Millisele küsimusele signaal vastab. Kas koondteave on piisav. Kas läbivaatamine vajab sisu, identiteeti või ainult versioonistatud toimimisfakti. Kes pääseb sellele ligi. Kui kaua seda säilitatakse. Kuidas saab seda vaidlustada. Rohkem kogumine, sest juhtpaneel aktsepteerib rohkem välju, ei ole hooldusstrateegia. See on ladustamine ambitsioonidega.

Sama peatükk ühendab seire tõsiste vahejuhtumite käsitlemisega. Artikkel 73 nõuab, et liidu turule lastud suure riskiga süsteemide pakkujad teataksid tõsistest vahejuhtumitest asjaomastele turujärelevalveasutustele pärast põhjusliku seose või mõistliku tõenäosuse kindlakstegemist. See annab tähtajad, mis varieeruvad raskusastme järgi, sealhulgas kaks päeva ulatusliku rikkumise või määratud liiki tõsise vahejuhtumi korral. See nõuab uurimist, riskihindamist ja parandusmeetmeid pärast teatamist. Oluline toimimisalane arusaam ei ole päevade arv. See on see, et vahejuhtumitele reageerimine ei ole eraldiseisev avalike suhete protsess. See on osa tõendusringist, mis peaks muutma riskijuhtimist, dokumentatsiooni ja edasist toimimist.

NIS2 teeb omandi küsimuse küberturvalisuses selgeks. Selle artikkel 20 ütleb, et oluliste ja tähtsate üksuste juhtorganid kiidavad heaks küberturvalisuse riskijuhtimise meetmed, jälgivad nende rakendamist ja võivad rikkumiste eest vastutada. Artikkel 21 nõuab seejärel asjakohaseid ja proportsionaalseid tehnilisi, operatiivseid ja organisatsioonilisi meetmeid, sealhulgas intsidentide käsitlemist, tegevuse järjepidevust, tarneahela turvalisust ning turvalisust hankimisel, arendamisel ja hooldamisel. See on kasulik kaugelt kaugemale NIS2 kohaldamisalasse kuuluvatest üksustest. Juhtimine ei ole juhatuse materjalidest allapoole saadetud käsk. Kui ametliku volitusega inimesed ei vaata meetmeid läbi ega mõista oma valikute tagajärgi, on organisatsioon loonud tiitli ilma kontrollita.

NIS2 käsitleb ka aruandlust teenusekohustusena. Olulistest intsidentidest tuleb teatada viivitamata ning vajaduse korral tuleb teenuse saajaid teavitada, kui oluline intsident tõenäoliselt mõjutab teenuse osutamist ebasoodsalt. Intsident on oluline mitte ainult siis, kui see häirib organisatsiooni ennast, vaid ka siis, kui see mõjutab teisi inimesi märkimisväärse materiaalse või mittemateriaalse kahjuga. See piir on AI-juhtimise jaoks abistav. Meeskond ei tohiks vaadata ainult seda, kas süsteemi kättesaadavuse graafik jääb roheliseks. Süsteem võib olla kättesaadav ja tekitada siiski olulise operatiivse või õigustega seotud probleemi.

DORA pakub veel ühe praktilise mustri. Finantsüksused peavad tuvastama ja dokumenteerima IT-toega äritegevuse funktsioonid, rollid, vastutused, teabe ja IT-varad ning nende sõltuvused. Nad vaatavad klassifikatsioonide ja dokumentatsiooni piisavuse üle vastavalt vajadusele ja vähemalt kord aastas ning viivad läbi riskihindamise iga olulise muudatuse korral infrastruktuuris, protsessides või protseduurides, mis mõjutavad toetatud funktsioone või varasid. Jällegi ei ole see argument, et iga organisatsioon on finantsüksus. See on näide küpsest reeglist, mis käsitleb inventari, muudatust ja ülevaatust seotud tööna. Elav süsteem vajab kaarti ja kaart vajab kuupäeva.

DORA keelekasutus muudatuste haldamise kohta on eriti kainestav. See nõuab dokumenteeritud poliitikaid, protseduure ja kontrolle tarkvara, riistvara, püsivara, süsteemide ja turvaparameetrite muudatuste jaoks. Muudatused tuleks salvestada, testida, hinnata, heaks kiita, rakendada ja kontrollida kontrollitud viisil. See järjestus ei ole väide, et AI-mudelit saab alati ohutusse olekusse testida. See on viis keelduda mõttest, et tootmise värskendus on iseenesest õigustatud. Muudatusel peaks olema põhjus, hinnang, heakskiitmise tee, rakendamise kirje ja tulemuse kontroll.

ISO/IEC 42001 ei ole seadusandlus ja avalik tooteleht ei asenda standardit ennast. Sellegipoolest kirjeldab ISO standardit AI-juhtimissüsteemina, mis põhineb tsüklil Planeeri-Tee-Kontrolli-Tegutse ja mille eesmärk on aidata organisatsioonil hallata AI-ga seotud riske ja võimalusi kogu organisatsioonis, mitte ainult üksikuid rakendusi uurida. Tsükkel on kasulik mõte. Planeerimine kehtestab piiritletud kavatsuse. Tegevus paneb selle toimima. Kontroll küsib, kas tõendid toetavad jätkuvat toetumist. Tegutsemine muudab töösüsteemi. Selle tsükli kordamine ei ole bürokraatia bürokraatia pärast. See on minimaalne tunnistus, et süsteemid ja institutsioonid ei jää paigale.

Juhtimistsükkel peab tagastama tõendid otsusele. Muidu on see ainult märkamine, mida märgati.

Jälgimisel peab olema lubatud tähtsust omada

Monitooringust räägitakse sageli kui tehnilisest tegevusest, mis on mõistetav. Süsteemid toodavad telemeetriat. Meeskonnad valivad mõõdikuid. Töölaudadel on jooned, mis tõusevad, langevad ja aeg-ajalt põhjustavad murettekitavaid koosolekuid. Kuid raske osa ei ole signaali kogumine. Raske osa on kokku leppida, mida sellel signaalil on lubatud muuta.

Monitooringuplaan algab otsustusküsimusega. Kaebus võib viidata sellele, et selgitus on ebaselge, et sisend on vale, et kasutaja on avastanud piirangu või et organisatsioon on apellatsioonitee halvasti kujundanud. Inimeste ülekirjutuste arvu kasv võib viidata mudeli sobivuse halvenemisele, töötajate enesekindluse paranemisele, muutunud poliitikale, aegunud lähteandmetele, uuele juhtumiklassile või liidesele, mis eksitab ülevaatajaid. Keeldumiste arvu kasv võib viidata sellele, et ohutuskontroll töötab, et sõltuvus on muutunud ebausaldusväärseks või et toodet kasutatakse väljaspool selle deklareeritud otstarvet. Toores arv ei ole järeldus. See on kutse uurida seost.

Seetõttu eraldab kasulik plaan vaatluse tõlgendamisest. Vaatlus ütleb, mis salvestati, millise versiooniga, millisel teel, millal, millises kontekstis ja millise kindlusega. Tõlgendus ütleb, mida organisatsioon arvab, et signaal võiks tähendada, ja millised alternatiivsed selgitused jäävad alles. Otsus ütleb, kes võib valida vastuse. Salvestus ütleb, mis muutus ja miks. See on aeglasem kui iga hoiatuse käsitlemine mudeli rikke tõendina. See on kiirem kui halvasti mõistetud probleemi saatmine ümberõppetsüklisse ja avastamine, et tegelik viga oli poliitikas, lähteandmete kvaliteedis, juurdepääsuõigustes või personalis.

Mõõdikud peaksid vastama ka süsteemi mõju ulatusele. Mudeli kvaliteediskoor võib olla asjakohane, kuid sellest ei piisa sageli. Kui väljund mõjutab järjekorda, võib meeskond vajada teavet viivituste, töötlemata erandite, tagasipööramiste ja selle kohta, millised juhtumid suunatakse käsitsi ülevaatusse. Kui assistent soovitab allikaid, võib meeskond vajada teavet allikate kättesaadavuse, tsiteerimisvigade paranduste, vaidlustatud vastuste ja selle kohta, kas kasutajad tegutsevad väljaspool deklareeritud ulatust oleva materjali põhjal. Kui süsteem filtreerib sisu, võib ülevaatus vajada kaebuste mustreid, apellatsioonitulemusi, keelekatvust ja ülekirjutuste põhjuseid. Monitooring peaks liikuma mööda teed, kus süsteemil on mõju, mitte peatuma kohas, kus mudel tootis märgi või skoori.

Ka tee inimeseni vajab monitooringut. Poliitikasse on lihtne kirjutada "inimlik järelevalve" ja raske näidata, kas inimene suudab seda tegelikult teostada. Kui tihti inimesed üle kirjutavad. Kas neil on juurdepääs sisenditele ja põhjustele, mida selleks vaja on. Kas ülekirjutus jõuab protsessini, mis tulemuse tootis, või lisab see lihtsalt lõppu märkuse. Kui kaua eskalatsioon aega võtab. Kas teatud juhtumid ei jõua kunagi ülevaatusteesse, sest liides peidab selle võimaluse. Need on operatiivsed küsimused. Need on ka juhtimisküsimused, sest vastus määrab, kas inimlik järelevalve on tegelik või dekoratiivne.

Mitte iga signaal ei pea olema avalik. Mõni võib olla äriliselt tundlik. Mõni puudutab turvalisust. Mõni võib sisaldada isikuandmeid ja neid poleks tohtinud üldse koguda. Hooldusdistsipliin seisneb nende piiride selgesõnaliseks muutmises. Ülevaatus võib vajada koondmustreid, mitte täielikku sisuarhiivi. See võib vajada salvestatud olekut, mitte iga interaktsiooni ülestähendust. See võib vajada kaitstud juurdepääsu intsidendi uurijale ja eraldi avalikku selgitust meetodi kohta. Läbipaistvus ei tähenda toore operatiivmaterjali avaldamist. See tähendab kontrolli olemasolu, eesmärgi, piiri ja omandiõiguse arusaadavaks muutmist.

Seireplaani ja soovide nimekirja vahel on väike, kuid oluline erinevus. Plaan ütleb, milliseid signaale kogutakse, kuidas neid kaitstakse, mis käivitab ülevaatuse, kes ülevaatuse eest vastutab, millised on võimalikud tulemused ja kuidas otsus muudatuste registrisse jõuab. Soovide nimekiri ütleb, et organisatsioon hakkab jälgima kvaliteeti, ohutust, õiglust ja kasutajarahulolu. Esimest saab testida. Teine sobib väga hästi strateegiaesitlusse ja mitte kuhugi mujale.

Hea seire muudab nähtavaks ka sündmuste puudumise. Kui aruandeid ei laeku, kas see tähendab, et süsteem pole probleemi põhjustanud, et aruandluskanal on kättesaamatu, et inimesed ei tea selle olemasolust või et protsess ei säilita aruandeid? Kui intsidendi künnist ei ületata, kas see tähendab, et süsteem on stabiilne või et künnis ei ole tegeliku kahjuga seotud? Signaali puudumine võib olla tõend, kuid alles pärast seda, kui kogumistee on läbi vaadatud. Vaikus ei ole automaatselt kinnitus. Mõnikord on see lihtsalt vorm, millele on halvasti viidatud.

Intsidentidele reageerimine on institutsionaalse mälu vorm

Intsidendiprotsess peaks algama enne intsidenti, sest ebatavalise sündmuse esimesed minutid on halb aeg volituste väljamõtlemiseks. Protsess vajab viisi mure vastuvõtmiseks, piisava tõendusmaterjali säilitamiseks selle mõistmiseks, inimeste kaitsmiseks edasise kokkupuute eest, otsustamiseks, kas sündmus vastab kindlaksmääratud künnisele, ja suhtlemiseks inimestega, kes peavad tegutsema. Samuti vajab see teed tagasi juhtimissüsteemi. Ilma selle lõpliku teeta käsitleb organisatsioon juhtumi ja loob seejärel selle eeldused uuesti märkimisväärse tõhususega.

DORA väljendab seda selgelt IKT-intsidentide puhul. See nõuab finantsettevõtetelt intsidentide haldamise protsessi määratlemist, kehtestamist ja rakendamist intsidentide tuvastamiseks, haldamiseks ja teatamiseks. Nad registreerivad intsidendid ja olulised küberohud ning hooldavad protseduure järjepidevaks, integreeritud seireks, käsitlemiseks ja järelmeetmeteks, et algpõhjused tuvastataks, dokumenteeritaks ja käsitletaks. Protsess peab kehtestama varajase hoiatuse näitajad, määrama rollid ja vastutuse erinevate stsenaariumide jaoks ning kehtestama suhtlus- ja eskaleerimiskorralduse. Need on konkreetsed finantssektori nõuded. Nende põhiloogika on laialdaselt kasulik: intsident peaks jätma organisatsioonile parema teadmise, kui sellel enne oli.

AI puhul väärib tõendite küsimus erilist tähelepanu. Meeskond võib soovida mudelit või teenust kohe pärast kahjuliku tulemuse teadasaamist muuta. Mõnikord on kiire ohjeldamine täpselt õige. Kuid kontrollimatu muudatus võib hävitada ka võime mõista, mis juhtus. AI-määrus ütleb, et tõsist intsidenti uuriv pakkuja ei tohiks muuta AI-süsteemi viisil, mis võiks mõjutada põhjuste hilisemat hindamist enne, kui pädevatele asutustele sellest toimingust teatatakse. See ei anna luba jätta inimesed kaitseta, säilitades samal ajal puutumatu katse. See muudab kompromissi nähtavaks. Ohjelda risk, säilita asjakohane olek, registreeri sekkumine ja väldi uurimise muutmist mälust rekonstrueerimiseks.

Kasulikul intsidendiarvestusel on mitu kihti. On teatatud vaatlus, mis võib olla puudulik või vaidlustatud. On tehniline ja operatiivne kontekst, sealhulgas asjakohased versioon, tee, olek ja seotud süsteemid. On mõju ja ebakindluse hindamine. On ohjeldamise sammud, sealhulgas see, kes need ette võttis ja mida nad muutsid. On uurimine, mis peaks eristama tõendeid hüpoteesist. Siis on otsus parandusmeetmete kohta ja järelmeetmed, mis kontrollivad, kas need toimisid. Kõigi nende kihtide segamine muudab varajase aruande lõplikuks järelduseks või hilisema järelduse sama kindlaks kui esimene hoiatus.

Suhtlus on hoolduse osa, mitte dekoratiivne järelsõna. Inimesed, keda katkestus või oluline oht puudutab, võivad vajada praktilist lahendust. Operaatorid peavad teadma, kas peatada, jätkata piirangutega või kasutada varuvarianti. Juhtkond vajab selget ülevaadet mõjust, ebakindlusest ja otsustusõigusest. Regulaator võib vajada kindlaksmääratud aruannet. Tarnijad võivad vajada liidese või sõltuvuse uurimist. Sõnumid ei pea olema identsed, kuid need peavad jagama sama faktilist tuuma. Organisatsioon, mis annab oma meeskondadele kokkusobimatud kirjeldused, ei ole hoolikas. See toodab järgmist intsidenti.

Pole vaja välja mõelda dramaatilist katkestust, et seda mõista. Vaatleme selgelt märgistatud hüpoteetilist olukorda: ülevaatusmeeskond näeb ootamatute paranduste kogumit pärast seda, kui uus allikaformaat siseneb muidu tuttavasse töövoogu. Esimene küsimus ei ole see, kas mudel on "käest ära läinud", väljend, mis võiks jääda prügikasti koos mitme teise väljendiga. Küsimus on, mis muutus. Kas allikaformaat muudab sisendit. Kas otsingutee toob esile sobimatut materjali. Kas poliitikatingimus on liikunud. Kas liides paneb ülevaatajad konteksti kahe silma vahele jätma. Kas mõjutatud juhtumeid parandatakse piisavalt kiiresti. Vastus võib olla ühe tee peatamine, konfiguratsiooni taastamine, valideerimise lisamine, juhendi muutmine või avastamine, et allikat poleks kunagi tohtinud vastu võtta. Hüpoteetilise olukorra mõte ei ole süžees. See on see, et ettevalmistatud protsess hoiab organisatsiooni ära arvamismängust esimese tunni jooksul.

Pärast intsidenti peaks hooldusgraafik küsima rohkem kui seda, kas nähtav viga on parandatud. Kas tuvastussignaal töötas. Kas õige inimene selle kätte sai. Kas tal oli volitus. Kas logi säilitas asjakohase konteksti. Kas eskaleerimistee oli kasutatav. Kas avalik või kliendisuunaline sõnum vastas sellele, mis oli teada. Kas otsus lõi uue seirevajaduse. Kas koolituse või dokumentatsiooni lünk muutis sündmuse hullemaks. Vastused muudavad intsidendi isoleeritud katkestusest muutuseks tegevusmudelis.

Muutus vajab teist kella

Igal süsteemil on tehniline kell. Versioone ehitatakse, juurutatakse, võetakse tagasi ja asendatakse. Juhtimine vajab teist kella: ajakava selle üle järele mõtlemiseks, kas tõendid, eesmärk ja volitus on endiselt piisavad. Need kellad liiguvad mõnikord koos, mõnikord mitte. Nende samana käsitlemine on usaldusväärne viis olulistest muutustest mööda vaadata.

Tehniline muutus võib olla väike ja siiski oluline. Uus otsingukogum võib muuta vastustes kasutatavaid allikaid. Muudetud viip või poliitikareegel võib muuta juhtumite hulka, mida süsteem keeldub töötlemast. Konfiguratsioonivärskendus võib muuta seda, kuhu andmed liiguvad. Uus sõltuvuse versioon võib muuta latentsust, logimist või saadaolevaid ohutuskontrolle. Õige reageering sõltub süsteemist ja selle tagajärgedest. Hooldusgraafik ei tohiks iga muutust ette oluliseks kuulutada. See peaks pakkuma viisi otsustamiseks, mis vajab testimist, uut heakskiitu, avalikku teavitust, riski ümberhindamist, uut jäädvustatud olekut või lihtsalt kirjet.

Vastupidi, juhtimismuutus võib toimuda ilma igasuguse koodi juurutamiseta. Teenust võib kasutama hakata uus osakond. Hankeleping võib lisada töötleja. Õiguslik tõlgendus võib muuta töövoo tingimusi. Tee võib liikuda siseselt katsetamiselt välisele juurdepääsule. Olemasolev väljund võib hakata mõjutama otsust allavoolu. Tehniline meeskond ei pruugi näha ühtegi väljalaset. Mõjutatud inimesed võivad näha väga erinevat süsteemi. Hooldusgraafik peab märkama mõlemat kella.

DORA kasutab praktilist klassifitseerimisreeglit: iga olulise muutuse puhul võrgu- ja infosüsteemide taristus, protsessides või protseduurides, mis mõjutavad toetatud funktsioone või varasid, tuleb läbi viia riskihindamine. Samuti nõuab see, et inventuure uuendataks perioodiliselt ja iga kord, kui toimub oluline muutus. AI-töö puhul ei tohiks väljendit „oluline muutus“ pidada iseenesestmõistetavaks. Meeskonnad peaksid oma kriteeriumid eelnevalt kirja panema. Kas see hõlmab sihtotstarbe muutust, uut andmeallikat, uut mudeli olekut, uut tööriista õigust, uut sihtrühma, muudetud inimese ülevaate teed, muudetud selgitust või uut välist sõltuvust? Vastus varieerub. Vastuse puudumine on iseenesest risk.

Muutuse kirje ei ole muudatuste logi, mis on kirjutatud avalikuks tunnustuseks. See on argument, mis seob omavahel eelneva oleku, põhjuse, hinnangu, otsuse, rakendamise ja kontrollimise. Mõne muutuse puhul võib avalik versioon olla lühike: asjakohane poliitika või kasutajale suunatud piirang on muutunud, jõustub märgitud kuupäeval, koos lingiga sellele, mis on erinev. Sisekontrolli tõendusmaterjali jaoks võib kirje sisaldada rohkem üksikasju hindamise, juurdepääsukontrolli, intsidentide konteksti või tarnija teabe kohta. Oluline on see, et mõlemad kihid osutavad samale otsusele, mitte ei muutu eraldi lugudeks.

Versiooni identiteet on eriti oluline, kui süsteem aja jooksul kohandub. Stabiilne tootenimi ei suuda alati tuvastada olekut, mis konkreetse väljundi tootis. Kuid püüe määrata igale mööduvale olekule püsiv versiooninumber võib tekitada teistsuguse väljamõeldise. Parem lähenemine on eristada püsivat mudeli või teenuse identiteeti jäädvustatud olekust, konfiguratsioonist ja tõendusmaterjalist, mida on vaja kindlaksmääratud ülevaatuseks või taasesituseks. Kirje ütleb siis, mida kontrolliti, ilma et teeseldaks, et kõik oli igaveseks külmutatud.

Muutuse kontrollimine on koht, kus paljud kirjed muutuvad liiga optimistlikuks. Organisatsioon on paranduse heaks kiitnud, seega on intsident suletud. Kuid rakendamine ei ole kontrollimine. Kas uus kontroll toimis realistlikes tingimustes? Kas see tekitas teistsuguse probleemi? Kas varumehhanism töötas? Kas inimesest ülevaatajad said muudetud juhised kätte? Kas asjakohane mõõdik liikus soovitud suunas? Kas selgitus vastab endiselt teenusele? Kontrollimine võib näidata, et muutust tuleks tagasi pöörata, täpsustada või jätta paika uue piiranguga. Sellel on lubatud olla ebamugav. See on osa selle tööst.

Ajakava annab sellele tööle tavapärase rütmi. Mõnda kirjet vaadatakse üle pärast käivitavat sündmust. Teised vajavad kindlat kuupäeva, sest käivitava sündmuse ootamine eeldab, et organisatsioon tunneb sündmuse alati ära. Eesmärgi avaldus võib vajada ülevaatamist, kui kasutus muutub, ja kavandatud intervalliga. Hinnang võib aeguda pärast versiooni, andmetee või konteksti muutumist. Intsidentide plaan võib vajada proovi kuupäeva, sest plaani, mida pole kunagi kasutatud, võib olla täiuslikult kirjutatud ja praktiliselt kujuteldav. Väljumistee võib vajada testimist enne, kui seda kiiresti vaja läheb. Kuupäev ei taga hoolt. See muudab hooletuse nähtavamaks.

Kirjed võivad jääda arhiivi, kaotades samal ajal oma autoriteedi toetada praegust otsust. Ülevaatuse kuupäev muudab selle eristuse nähtavaks.

Aegumine ei ole ebaõnnestumine

Meeskonnad tõrguvad sageli aegumiskuupäevade ees, sest aegumine kõlab süüdistusena. See ei ole süüdistus. See on väide ulatuse kohta. Kalibreerimistulemus võib olla usaldusväärne nende mudeliseisundite ja sisendtingimuste puhul, mida testiti. Andmekaitsehinnang võib olla hoolikas selle töötlustee kohta, mida see kirjeldab. Tarnija kinnitus võib olla tähenduslik konkreetse teenuseversiooni ja lepingu puhul. Koolitusprogramm võib olla asjakohane selle töö jaoks, mida inimesed tegid sellel ajal, kui nad sellel osalesid. Ükski neist dokumentidest ei muutu halvaks, kui selle tingimused muutuvad. See muutub puudulikuks uue otsuse jaoks.

See on üks põhjus, miks iga-aastane ülevaatus on nii kasulik kui ka ebapiisav. Aastane kuupäev loob minimaalse rütmi ja hoiab ära dokumentide igavese kadumise ühiskettale. Kuid suur muudatus võib juhtuda juba homme. DORA ühendab mõlemad ideed, nõudes regulaarset ülevaatust vähemalt kord aastas ja riskihindamist iga suure muudatuse korral. Need kaks kella töötavad koos: perioodiline ülevaatus tabab aeglast triivi; käivitatud ülevaatus tabab tingimuse, mis on juba otsust muutnud.

Aegumine tuleks siduda väidetega, mitte ainult dokumentidega. Dokument võib sisaldada mitut väidet erinevate elueaga. Arhitektuuriskeem võib jääda enamasti täpseks, samal ajal kui turvakontrolli kirjeldus on muutunud. Hindamine võib endiselt tõendada kitsast võimekust, kuid ei toeta enam laiemat jõudlusväidet. Poliitika võib olla kehtiv, samal ajal kui nimetatud vastutaja ei ole enam see isik. Kui meeskond märgib kogu faili kehtivaks või aegunuks, kaotab ta need eristused. Väidetasandi hooldus on rohkem tööd. See annab ka hindajatele võimaluse uuendada seda, mis on muutunud, ilma ajalugu ümber kirjutamata.

Siin on ka inimlik kasu. Inimesed, kes süsteemi pärandina üle võtavad, peavad teadma, millele nad saavad loota. Dokument, mis ütleb "kehtiv" ilma kuupäeva, ulatuse või vastutajata, annab neile usalduse probleemi, mis on maskeeritud dokumentatsiooniks. Dokument, mis ütleb "hinnatud sellel eesmärgil, selle jäädvustatud seisundiga, nendel tingimustel, üle vaadatud sellel kuupäeval, järgmine ülevaatus siin", annab neile midagi, mida nad saavad kontrollida ja vaidlustada. See ei muuda süsteemi ohutuks deklaratsiooni kaudu. See muudab olemasolevate teadmiste piiri nähtavaks.

Aegumine muudab ka kasutuselt eemaldamise vähem dramaatiliseks. Süsteemi ei pea skandaaliks pidama, et see kasutuselt eemaldada või asendada. Tarnija võib lõpetada toe. Mudel ei pruugi enam sobida uude keele- või poliitikakonteksti. Tõendite koormus võib ületada vana tee hooldamise väärtust. Ohutum alternatiiv võib eksisteerida. Organisatsioon võib otsustada, et ülesanne peaks naasma inimesele või lihtsamale mitte-AI mehhanismile. Hooldusgraafik peaks sisaldama väljumisteed enne, kui teenuse eemaldamine muutub keeruliseks. Kasutuselt eemaldamine on juhtimistoiming, mitte tõend selle kohta, et juhtimine ebaõnnestus.

Mis ei tohi aeguda, on ajalugu. Organisatsioon peaks säilitama selle, mida hinnati, otsustati, muudeti ja täheldati, järgides kohaldatavaid säilitamis-, konfidentsiaalsus- ja andmekaitsenõudeid. Ajaloo säilitamine on erinev sellest, kui käsitleda vanu tõendeid kehtivatena. Üks toetab õppimist ja vastutust. Teine võib muuta päranddokumendi valeks kinnituseks. Head arhiivid mäletavad erinevust.

Graafik on volituste jaotus

Kõige kasulikum juhtimisartefakt võib olla vähem põnev kui riskimaatriks: kalender nimedega kõrval. Kes vaatab üle eesmärgi. Kes loeb seire signaali. Kes võib kuulutada, et lävi on saavutatud. Kes võib peatada tee. Kes kiidab heaks olulise muudatuse. Kes kontrollib tõendusmaterjali. Kes suhtleb tarnijaga. Kes otsustab, et vana hinnang ei toeta enam jätkuvat kasutamist. Kui vastus kõigile neile on "AI meeskond", siis organisatsioon ei ole volitusi jaganud. See on nimetanud ruumi.

Asutus vajab piisavalt sõltumatust, et olla tähenduslik, ja piisavalt lähedust, et tegutseda. Juhatus või juhtorgan võib omada järelevalvet ja ressursse. Tegevusvaldkonna omanik võib mõista tegelikku tööd. Tehniline omanik võib teada süsteemi piire. Turva- või privaatsusspetsialist võib märgata piiri, mida teised ei näe. Kliendisuhtluse või avaliku teenuse meeskond võib näha kahju enne, kui seda näeb juhtpaneel. Neid rolle ei pea koondama ühte kangelasesse. Nad vajavad selgeid üleandmispunkte ja viisi erimeelsuste lahendamiseks. NIS2 rõhuasetus juhtkonna heakskiidule ja järelevalvele on siin kasulik, sest see keeldub mugavast väljamõeldisest, et juhtimist saab täielikult delegeerida, samal ajal kui vastutus jääb tippu.

Eskaleerimislävi tuleks sõnastada keeles, mis vastab otsusele. „Eskaleeri, kui anomaaliaskoor ületab 0,8“ võib olla tehniliselt vajalik, kuid see ei ütle asutusele, mis on kaalul. Parem lävi võib ühendada signaali ja tagajärje: eskaleeri, kui süsteem hakkab mõjutama kasutust väljaspool deklareeritud ulatust; kui kontrollitõrge võib jätta mõjutatud isiku ilma läbivaatamiseta; kui oluline allikas või sõltuvus muutub; kui parandused näitavad mustrit, mida olemasolev hindamine ei hõlmanud; kui teatatakse tõsisest turva-, ohutus- või õiguste probleemist; kui nõutud omanik või varuvariant pole enam saadaval. Täpsed läved varieeruvad. Otsusekeel ei tohiks.

Hooldus vajab ka eelarvet. See on igapäevane ja otsustav. Jälgimine võtab aega. Muudatuse läbivaatamine nõuab tehnilist, õiguslikku ja tegevuslikku suutlikkust. Intsidentiplaani harjutamine segab tavapärast tööd. Selgituse, dokumendi või koolitusprogrammi uuendamine on töö. Kui juhtimisel puudub personaliga tegevusmudel, muutub see hädaolukorra maksuks, mille maksab see, kes probleemi esimesena märkab. See korraldus näib ökonoomne kuni esimese keerulise sündmuseni, kui organisatsioon avastab, et on säästnud ettevalmistuse kulud ja ostnud improvisatsiooni kulud.

Proportsioonile on ruumi. Kitsas sisemine tööriist, millel on selge mitte-tagajärjeline kasutus, võib vajada kergemat ajakava kui süsteem, mis mõjutab juurdepääsu tööle, teenustele, õigustele või ohutusele. Kuid kergem ei tähenda puuduvat. See võib siiski vajada omanikku, eesmärgi piiri, muudatuste registrit, põhilist intsidentide marsruuti ja väljumistingimust. Keerukus peaks järgnema tagajärgedele ja ebakindlusele, mitte projekti alguses saadaoleva entusiasmi hulgale.

Kasuliku hooldusgraafiku saab esitada lihtsas keeles. Vaata eesmärk üle, kui kasutus, kasutajad või tagajärjed muutuvad. Vaata sõltuvused üle, kui tarnija, andmetee või ühendatud teenus muutub. Vaata hindamistõendid üle, kui mudel, konfiguratsioon või asjakohased töötingimused muutuvad. Harjuta intsidentide ja peatamise marsruuti kindla ajavahemiku järel. Vaata rollimääramised üle, kui organisatsioon muutub. Avalda või säilita muudatuste register, kui otsusel on oluline mõju. Testi väljumismarsruuti enne, kui teenus sellest sõltub. Ükski neist ei luba, et vigu ei juhtu. See lubab, et organisatsioonil on viis märgata, otsustada ja õppida, kui need juhtuvad.

Väike märkus meilt

Dweve'is kirjeldab meie usalduskeskus jälgimist eraldi avaliku dokumendina, mitte lubadusena, et toode on jõudnud püsivasse valmimisseisundisse. Selle avaldatud jälgimismaterjal ütleb, et signaalid on seotud deklareeritud kogumispiiridega, et läbivaatused tuvastavad asjakohase mudeli, marsruudi, oleku ja tõendid ning et olulised muudatused võivad avada hindamis-, riski-, intsidentide või väljalaske läbivaatuse. Avalik muudatuste register eristab ka praeguseid fakte ettevalmistatud kontrollidest ja tulevastest sündmustest. Need on kirjeldused meie väljakuulutatud tegevuskavast, mitte sõltumatu kinnitus, klienditulemus ega väide, et avalik leht lahendab kõik juhtimisküsimused.

See piir on tahtlik. Meie arvates on seirekanne kasulik siis, kui see ütleb lugejale, mida võib jälgida, mis jääb kaitstuks, mis võib käivitada tegevuse ja kus oluline otsus kirja pannakse. Kanne ei saa teha otsust süsteemi haldavate inimeste eest. Küll aga saab see muuta otsuse kontrollimise lihtsamaks, kui otsus on tehtud.

Hooldus on aus osa

Käivitamine on kasulik hetk. See loob põhjuse eesmärgi määratlemiseks, riskide hindamiseks ja kohustuste võtmiseks. See ei ole hetk, mil tehnoloogia lakkab maailmaga kohtumast. Valitsemine muutub usaldusväärseks alles pärast seda, korduva töö käigus, kus selgitatakse välja, kas vana otsus väärib endiselt püsimist.

See töö vajab kalendrit, sest head kavatsused on lühikese elueaga, kui neil puudub kuupäev, omanik ja tee tegevuseni. See vajab tõendusmaterjali, sest armatuurlaua värv ei ole seletus. See vajab volitusi, sest seire ilma õiguseta midagi muuta on vaatlus hea brändinguga. See vajab ajalugu, sest parandust, mida ei saa jälgida, ei saa usaldusväärselt kasutada järgmise otsuse parandamiseks. Ja see vajab väljapääsu, sest jätkuv töö peaks jääma valikuks, mitte päritud faktiks.

Küps küsimus ei ole see, kas organisatsioon suudab koostada valitsemisraamistiku. Paljud suudavad. Küsimus on see, kas kuud pärast dokumendi kinnitamist suudab organisatsioon endiselt öelda, milleks süsteem on, mis muutus, milline tõendusmaterjal seda praegu toetab, kes võib selle peatada ja mis juhtub siis, kui vastus ei ole enam selge. Kui suudab, siis valitsemist hooldatakse. Kui ei suuda, võib organisatsioonil endiselt olla poliitika. Lihtsalt ei ole see enam elav poliitika.

Allikad