Po roku nikt nie pamięta, gdzie w firmie działają narzędzia AI. Rejestr jest warunkiem jakiejkolwiek oceny ryzyka.
Co zapisujemy
- nazwę zastosowania i proces, którego dotyczy,
- użyte narzędzie i dostawcę,
- rodzaje przekazywanych danych,
- osobę odpowiedzialną,
- czy wynik podlega zatwierdzeniu przez człowieka,
- datę uruchomienia i ostatniego przeglądu.
Każde pole ma odpowiadać na pytanie, które i tak kiedyś padnie. Rodzaj danych rozstrzyga, czy zastosowanie w ogóle jest dopuszczalne. Osoba odpowiedzialna rozstrzyga, kogo pytać, gdy coś przestanie działać. Data przeglądu rozstrzyga, co wymaga sprawdzenia w tym roku.
Po co
Żeby wiedzieć, gdzie trafiają dane, co przestanie działać przy zmianie dostawcy i co wymaga przeglądu przy zmianie przepisów.
Jest też powód doraźny. Gdy przychodzi pytanie od klienta albo z zewnątrz o to, jak firma używa AI, rejestr pozwala odpowiedzieć w godzinę zamiast w tydzień. Bez niego odpowiedź trzeba dopiero zebrać po działach, a zebrane w pośpiechu informacje bywają niepełne.
Także zastosowania drobne
Narzędzie używane przez jedną osobę do jednego zadania też należy do rejestru. Właśnie takie zastosowania wymykają się kontroli.
Wtyczka do przeglądarki, dodatek do arkusza, asystent w narzędziu, z którego korzysta dział marketingu — każde z nich przetwarza jakieś dane firmy. Znalezienie ich wymaga rozmowy z ludźmi, a nie przeglądu faktur. Pomaga tu porządek w dostępach pracowników do narzędzi, bo lista kont jest punktem wyjścia.
Ocena ryzyka
Rejestr jest jej podstawą. Bez listy zastosowań ocena dotyczy wyobrażenia, nie stanu faktycznego.
Dlatego krótką ocenę najwygodniej trzymać w tym samym wierszu: kilka zdań przy wpisie, a nie osobny dokument w innym miejscu.
Aktualizacja
Wpis przy uruchomieniu nowego zastosowania, przegląd całości raz w roku. Rejestr nieaktualny jest gorszy niż jego brak, bo daje złudzenie kontroli.
Najprościej powiązać wpis z momentem, w którym i tak coś się dzieje: nadaniem dostępu, zakupem licencji, uruchomieniem integracji. Rejestr uzupełniany „przy okazji porządków" nie jest uzupełniany wcale. Całość domyka regularny przegląd.
Forma
Arkusz w zupełności wystarcza. Znaczenie ma to, że istnieje i jest uzupełniany, a nie w czym go prowadzimy.
Osobne narzędzie do zarządzania zgodnością w firmie kilkunastoosobowej jest kosztem bez pokrycia. Wprowadza obowiązek nauki i logowania tam, gdzie wystarczy plik, do którego wszyscy mają dostęp.
Jak zacząć, gdy rejestru nie ma
Od jednej rozmowy w każdym dziale i jednego pytania: z czego korzystasz i do czego. Bez oceniania, bo ocena na tym etapie zamyka ludziom usta i lista wychodzi krótsza niż stan faktyczny. Zebrane w ten sposób pozycje wpisujemy takie, jakie są, nawet jeśli część z nich trzeba będzie potem wycofać. Rejestr pokazujący prawdziwy stan jest podstawą do pracy. Rejestr pokazujący stan pożądany nie służy niczemu.
