Między innowacją a chaosem. Dlaczego potrzebujemy AI Governance

Po okresie budowania oczekiwań, etapie pierwszego zauroczenia i pogłębionego eksperymentowania generatywna sztuczna inteligencja (AI) wkroczyła w fazę na tyle powszechnej i dynamicznej implementacji, że zyskała wręcz miano jednego z fundamentów współczesnej gospodarki. Coraz więcej osób zdaje się rozumieć, że współczesną AI można postrzegać jako coś więcej niż tylko kolejną modę, która przeminie („hype”). Przeciwnie, jest ona postrzegana jako jeden z głównych czynników napędzających tak zwaną czwartą rewolucję przemysłową (choć zbliżone pojęcie Industrie 4.0 pojawiło się już w 2011 r., na dobre zaczęło być wiązane w kolejnych latach właśnie z rozwojem AI). Określenie to nie wydaje się być szczególnie przesadzone, jeżeli weźmiemy pod uwagę, że narzędzia oparte na generatywnej AI już dziś w dużej mierze zrewolucjonizowały sposób, w jaki funkcjonują przedsiębiorstwa, służba zdrowia, administracja publiczna oraz życie codzienne niemalże każdego z nas (nawet jeżeli jeszcze nie w pełni zdajemy sobie z tego sprawę). Wg raportu McKinseya w 2025 r. aż 88% organizacji (w porównaniu do 78% rok wcześniej) przyznało się do regularnego wykorzystywania AI w co najmniej jednej funkcji realizowanej w swej codziennej działalności.

Choć narzędzia te oferują potencjalnie nieskończone korzyści, to uwagę im poświęcaną warto choć w części skierować ku – również niemającym historycznych precedensów – wyzwaniom, które wynikają zarówno z naturalnych cech samej generatywnej AI (w tym zdolności do generowania odpowiedzi o wysokim stopniu „kreatywności”, nie wyłączając tzw. halucynacji), ale również z charakteru zjawisk towarzyszących jej wdrażaniu oraz ich masowości, które niekiedy przypomina działanie ad hoc. To właśnie w odpowiedzi na te zagrożenia zrodziła się koncepcja AI Governance (zarządzania sztuczną inteligencją), która stanowić ma przeciwwagę dla „chaosu AI”, w jakim być może (przejściowo?) się znaleźliśmy, i budować fundament bezpiecznego i etycznego wykorzystania tej technologii.

Potrzeba holistycznej perspektywy

AI Governance, choć w pierwszym odruchu może się kojarzyć wyłącznie z kwestiami zgodności z przepisami czy wymaganiami stawianymi przez organy nadzorcze, nie ogranicza się wyłącznie do tego. W istocie warto postrzegać ją jako holistyczny system zarządzania ryzykami, jakie wiążą się z wdrażaniem technologii AI – nie w celu ograniczania potencjału transformacyjnego, który technologie AI oferują, ale w celu stworzenia bezpiecznego i efektywnego środowiska dla ich obecnego i przyszłego rozwoju, z pożytkiem dla wszystkich ich użytkowników i ostatecznych beneficjentów.  AI Governance nie powinna być więc postrzegana jako kolejna polityka z obszaru compliance, a raczej jako kompleksowy system, który definiuje jak sztuczna inteligencja powinna być projektowana, wdrażana, stosowana i monitorowana.

Tak rozumiany AI Governance może stanowić kluczowy czynnik budowania przewagi konkurencyjnej – generowania wartości biznesowej, ale też akumulacji kapitału społecznego. Na system ten powinny się składać zasady i procedury (zarówno te pochodzące z zewnątrz, jak i wypracowywane w ramach organizacji), a także wspierające ich realizację narzędzia – obejmujące w szczególności nadzór nad danymi, zasady tworzenia modeli czy agentów oraz monitoring wykorzystania narzędzi i systemów AI.

Dlaczego jest to tak istotne? Algorytmy sztucznej inteligencji nie są neutralne czy obiektywne – są uczone na podstawie danych, które mają różną wartość i różną jakość, są też zapisem nie tylko pozytywnych, ale i negatywnych zjawisk czy procesów (stąd problem „obciążenia” czy stronniczości – bias – odpowiedzi algorytmów). Jakość czy reprezentatywność (w tym świadomy dobór przez inżyniera AI) danych uczących bezpośrednio przekłada się na działanie systemu AI. Dlatego też zarządzanie sztuczną inteligencją nie może istnieć bez skutecznego data governance. Pojęcie to obejmuje procesy zarządzania dostępem do danych, ich jakością, integralnością i bezpieczeństwem w całym cyklu życia i obiegu informacji. Oznacza to konieczność dokumentowania źródeł danych czy bieżącego korygowania pojawiających się w nich błędów, a samo przetwarzanie danych powinno odbywać się z zachowaniem powszechnie obowiązujących norm z zakresu ochrony danych wrażliwych, takich jak RODO. Są to zasady uniwersalne, gdyż niezależnie od obszaru zastosowań AI dane muszą być dziś traktowane jako strategiczne aktywo w każdej organizacji. W dobie generatywnej AI (w szczególności modeli łączących dane w różnym formacie i z wielu źródeł) szczególnym wyzwaniem staje się zarządzanie prawami autorskimi do danych uczących (na które remedium może być do pewnego stopnia i w niektórych zastosowaniach generowanie danych syntetycznych). Organizacje muszą być w stanie udowodnić, że dane wykorzystane do nauki ich modeli zostały pozyskane w sposób legalny i etyczny. Również w tym aspekcie skuteczny AI governance zwiększa naszą przekonanie, że sztuczna inteligencja jest bezpieczna, a jej wyniki są godne zaufania. Jeszcze odrębnym aspektem etycznego AI jest wyjaśnialność modeli (explainability). Wraz ze wzrostem złożoności architektury modeli (np. głębokie sieci neuronowe), procesy decyzyjne stają się dla wielu ludzi, którzy są nie tylko twórcami, ale i adresatami odpowiedzi danego modelu, nieprzejrzyste. Tymczasem osoby podlegające decyzjom algorytmów mają prawo wiedzieć, dlaczego system podjął określoną decyzję i czy była ona oparta na faktycznych i racjonalnych („sprawiedliwych”) przesłankach. Brak przejrzystości może być źródłem nie tylko subiektywnie odczuwanych negatywnych odczuć czy emocji, ale też doprowadzić w dłuższej perspektywie do utraty zaufania do samej technologii, która za tym stoi. Ten akurat aspekt dotyczy nie tylko systemów, z którymi człowiek wchodzi w bezpośrednią interakcję (np. w procesie udzielania kredytu), ale przede wszystkim wszędzie tam, gdzie wykorzystanie technologii odbywa się w sposób pośredni (np. we wsparciu diagnostyki medycznej czy systemach autonomicznej jazdy).

Regionalność sztucznej inteligencji

To jednak tylko jedna strona medalu, będąca pochodną tego, czym generatywna AI jest i jak ze swej natury działa. Odrębną kwestią jest to, jak jest wdrażana i czy zachowujemy nad tym procesem pełną kontrolę w całym cyklu życia systemu. Jest to zagadnienie złożone, ponieważ po części zależy od jurysdykcji państwowej, która nie zawsze znajduje później proste przełożenie na granice geograficzne. Swego rodzaju liderem w ustanawianiu ram prawnych funkcjonowania systemów AI została Unia Europejska, która przyjęła nie tylko Akt o Sztucznej Inteligencji (AI Act) ale i odrębne regulacje dotyczące zarządzania danymi. AI Act wdraża podejście oparte na ryzyku. Klasyfikuje on systemy AI na cztery kategorie: od niedopuszczalnego ryzyka (zakazując ich, por. systemy oceny społecznej i tzw. social scoring czy systemy manipulujące podświadomością), przez wysokie ryzyko (np. systemy stosowane w medycynie), po ryzyko ograniczone lub minimalne. Systemy wysokiego ryzyka wg tej klasyfikacji podlegają rygorystycznym wymogom dotyczącym zarządzania jakością danych, dokumentacji technicznej, rejestrowania procesów oraz nadzoru przez ludzi. Natomiast inne państwa przyjmują niekiedy odmienne strategie regulacyjne. Stany Zjednoczone wydają się uznawać za priorytet przede wszystkim wspieranie innowacji, ograniczając się w dużej mierze do formułowania bardziej ogólnych wytycznych oraz polegając na dobrowolnych zobowiązaniach liderów branży technologicznej. Z kolei Chiny kładą nacisk na kontrolę treści, bezpieczeństwo narodowe oraz integralność społeczną. Ta różnorodność podejść prawodawców rodzi określone problemy natury praktycznej: modele trenowane w jednym państwie oraz budowane w oparciu o nie systemy i narzędzia mogą być wdrażane na całym świecie i choć będą spełniać wszystkie kryteria uznania za legalne w danej jurysdykcji, to nadal mogą rodzić wątpliwości natury prawnej poza jej granicami (czemu częściowo tylko mogą zaradzić inicjatywy w rodzaju OECD AI Principles, które nie mają bezpośredniego zastosowania i mocy prawnej). Nie chodzi nawet o to, że ten swego rodzaju „arbitraż regulacyjny” może stać się kolejnym narzędziem w globalnej walce o konkurencyjność w skali makro, ale przede wszystkim o wyzwania, jakie rodzi on na poziomie mikro – zarządzania organizacją.

Więcej wyzwań wdrożenia

Dziś już wiadomo, że technologia AI przynosi nie tylko blaski, ale i cienie – i to właśnie, nomen omen, sztuczna inteligencja cienia (Shadow AI) stanowić może największe wyzwanie na poziomie implementacji i codziennego wykorzystywania AI w organizacji. Pod pojęciem tym rozumiemy z jednej strony nieautoryzowane korzystanie z narzędzi sztucznej inteligencji (które może prowadzić m.in. do wycieku danych czy tajemnic organizacji), ale także sytuacje, kiedy to sami pracownicy organizacji tworzą lub wdrażają w niekontrolowany sposób rozwiązania oparte na AI (w których ogniskują się wszystkie wymienione wyżej problemy, jak bias, halucynacje czy ryzyka prawne). Gartner przewiduje, że do 2030 roku ponad 40% przedsiębiorstw będzie doświadczać incydentów bezpieczeństwa lub niezgodności z przepisami związanych z Shadow AI.

Aby więc wdrożyć AI Governance na poziomie operacyjnym organizacje podejmują szereg działań, wśród których można wymienić:

•    Opracowanie polityk korzystania z AI: wewnętrzne regulaminy określają, w jaki sposób pracownicy mogą używać zewnętrznych narzędzi AI (celem np. ochrony tajemnic przedsiębiorstwa przed wyciekiem do publicznych chatów, agentów itp.).

•    Mapowanie ryzyka: tworzone są rejestry systemów AI, określając ich przeznaczenie, poziom ryzyka oraz przypisując właścicieli biznesowych i technicznych.

•    Ustanowienie struktur nadzoru: powoływane są specjalne komitety ds. odpowiedzialnego AI lub wydzielane odpowiednie role. Zadaniem takich osób jest weryfikacja sposobu wykorzystania technologii AI oraz ocena ich zgodności z politykami AI i regulacjami prawnymi.

•    Audyty modeli i systemów: proces ciągłej weryfikacji (audytu) systemów, obejmujący ocenę pod kątem stronniczości (bias), bezpieczeństwa czy odporności.

Choć proces ten może się wydawać stosunkowo prosty, nie zawsze tak jest. Jak pokazują wyniki badania przeprowadzonego przez SAS Institute, tylko 5-15% organizacji ma poczucie, że stworzyło kompleksowe ramy dla AI Governance (w zależności od sektora i stopnia wykorzystania generatywnej AI w organizacji), a co najmniej 1/3 nie podjęła w tym obszarze żadnych działań lub też ograniczyła się do działań ad hoc.

Budowanie szczelnego systemu

W obiektywnej ocenie tego gdzie na ścieżce do skutecznego wdrożenia Governance AI znajduje się nasza organizacja może pomóc inne narzędzie stworzone przez zespół SAS AI Governance Advisory, które po krótkiej ankiecie on-line pozwala uzyskać szczegółowe rekomendacje bazujące na AI Governance Map, w usystematyzowany sposób agregującej ponad 700 działań w czterech głównych obszarach, które organizacje mogą podjąć w celu usprawnienia swoich procesów zarządzania technologią AI.

Skuteczne wdrożenie Governance AI, jeżeli ma nie tylko chronić przed materializacją ryzyka związanego z technologią AI, ale i samemu nie stać się kolejnym źródłem ryzyka w organizacji, nie może obejść się bez narzędzi wspierających ten proces. Przyczyny wydają się zrozumiałe: rosnące wykorzystanie AI w organizacji, złożoność systemów AI, ich wzajemne powiązania i duża już dziś autonomia, w ślad za którymi podążają kolejne regulacje (o dążeniu do wprowadzenia w pełni autonomicznych, wieloagentowych systemów realizujących ideę tzw. ogólnej sztucznej inteligencji, która miałaby przewyższać ludzkie możliwości intelektualne – Artificial General Intelligence, AGI – nie wspominając). Im wcześniej zdamy sobie z tego sprawę, tym lepiej będziemy przygotowani na to, co przyniesie najbliższa przyszłość, ponosząc mniejsze ryzyka finansowe, prawne i wizerunkowe.

Najważniejsze zadania

O jakich narzędziach mowa? Spróbujmy odpowiedzieć na to pytanie podsumowując nasze rozważania w postaci zestawu funkcji, które takie narzędzie powinno realizować, tworząc niejako jego enumeratywną (aksjomatyczną) definicję. Dobre narzędzie tego typu powinno więc pozwalać na:

•    Monitorowanie wykorzystania sztucznej inteligencji (AI) w całej organizacji.

•    Inwentaryzację w centralnym repozytorium przypadków użycia AI: modeli, agentów itp.

•    Definiowanie polityk wewnętrznych i uwzględnianie regulacji prawnych, takich jak unijny akt o sztucznej inteligencji (AI Act) i monitorowanie zgodności.

•    Raportowanie statusu zarządzania kierownictwu i audytorom

Autor: Przemysław Janicki, Senior Pre-Sales Solutions Architect, SAS Polska