Πλαίσιο διακυβέρνησης AI: πώς χτίζετε ένα σχέδιο υπεύθυνης AI

Ένα πλαίσιο διακυβέρνησης AI είναι το σύνολο των υπευθύνων, των πολιτικών, των ελέγχων και των αναθεωρήσεων που αποφασίζουν πώς χρησιμοποιεί ο οργανισμός σας την AI και τι συμβαίνει όταν κάτι πάει στραβά. Χτίστε το καταγράφοντας κάθε σύστημα που αυτοματοποιεί μια απόφαση, ιεραρχώντας τα συστήματα ανάλογα με τον αντίκτυπό τους, δίνοντας σε καθένα έναν ονομαστικό υπεύθυνο και κλιμακώνοντας τους ελέγχους ανάλογα με τον κίνδυνο. Αν δραστηριοποιείστε στην ΕΕ, οι προθεσμίες τίθενται από τον AI Act. Οι κανόνες του για συστήματα υψηλού κινδύνου, όπως η πρόσληψη και η πιστοληπτική βαθμολόγηση, ισχύουν πλέον από τις 2 Δεκεμβρίου 2027.

Οι εταιρείες χρησιμοποιούν AI για να φιλτράρουν υποψηφίους, να εντοπίζουν απάτες, να διαχειρίζονται εφοδιαστικές αλυσίδες και να ορίζουν τιμές. Έχω δει πλατφόρμες πρόσληψης να απορρίπτουν ικανούς υποψηφίους μόνο και μόνο επειδή είχαν κενό στην καριέρα τους. Έχω δει συστήματα αποφάσεων να εφαρμόζουν λάθος κανόνες σε ολόκληρα τμήματα πελατών. Το κοινό νήμα ήταν ότι κανείς δεν είχε ορίσει σαφείς πολιτικές για το πώς πρέπει να συμπεριφέρεται το σύστημα ή για το τι να κάνουμε όταν δεν συμπεριφέρεται έτσι.

Αυτό είναι αποτυχία διοίκησης, όχι τεχνική. Οι περισσότερες επιχειρήσεις δεν μπορούν να απαντήσουν σε τρία βασικά ερωτήματα:

1. Ποιος εγκρίνει πώς χρησιμοποιείται η AI;
2. Ποιος ελέγχει ότι δουλεύει όπως αναμένεται;
3. Τι συμβαίνει όταν κάνει λάθος;

Η διακυβέρνηση τα απαντά. Όταν γίνεται σωστά, δεν επιβραδύνει τα πράγματα. Φροντίζει ώστε τα συστήματα στα οποία βασίζεστε να χρησιμοποιούνται υπεύθυνα.

1. 01Καταγράψτε κάθε σύστημαΑν αυτοματοποιεί μια απόφαση, ανήκει στο πεδίο εφαρμογής
2. 02Ιεραρχήστε ανά αντίκτυποΠρώτα πρόσληψη, πίστωση, τιμολόγηση και βαθμολόγηση πελατών
3. 03Ορίστε έναν υπεύθυνοΈνας άνθρωπος, όχι μια επιτροπή
4. 04Κλιμακώστε τους ελέγχους ανάλογα με τον κίνδυνοΔοκιμές, σημεία ανθρώπινου ελέγχου και ειδοποιήσεις
5. 05Αναθεωρείτε σε σταθερό κύκλοΜηνιαία για τα κρίσιμα συστήματα, τριμηνιαία για τα υπόλοιπα

Οι αποτυχίες και οι οριακές περιπτώσεις επιστρέφουν στους ελέγχους

Οι ομάδες που υποθέτουν ότι οι προμηθευτές λογισμικού τους αναλαμβάνουν τη συμμόρφωση συνήθως κάνουν λάθος. Σύμφωνα με τον EU AI Act, ο οργανισμός που θέτει ένα σύστημα σε χρήση έχει τις δικές του υποχρεώσεις.

Πλαίσιο	Πού	Κατάσταση και τι απαιτεί
EU AI Act	Ευρωπαϊκή Ένωση	Νόμος από τον Αύγουστο του 2024. Βασισμένος στον κίνδυνο: απαγορεύει ορισμένες χρήσεις, θέτει υποχρεώσεις για συστήματα υψηλού κινδύνου και κανόνες διαφάνειας για άλλα
GDPR	Ευρωπαϊκή Ένωση	Νόμιμη βάση, ελαχιστοποίηση δεδομένων και δικαιώματα γύρω από αυτοματοποιημένες αποφάσεις που επηρεάζουν πρόσωπα
ISO/IEC 42001	Παγκόσμιο	Πιστοποιήσιμο πρότυπο συστήματος διαχείρισης AI, δημοσιεύθηκε τον Δεκέμβριο του 2023
NIST AI RMF	Ηνωμένες Πολιτείες	Εθελοντικό πλαίσιο που βασίζεται στα Govern, Map, Measure και Manage
Νόμοι πολιτειών των ΗΠΑ	Ηνωμένες Πολιτείες	Δεν υπάρχει ολοκληρωμένος ομοσπονδιακός νόμος για την AI, υπάρχει ένα αυξανόμενο σύνολο νόμων πολιτειών, με ομοσπονδιακές προσπάθειες να τους υπερισχύσουν (preemption)
Singapore Model AI Governance Framework	Σιγκαπούρη	Εθελοντική καθοδήγηση για την επεξηγησιμότητα και τη λογοδοσία
Αρχές του ΟΟΣΑ για την AI	Μέλη του ΟΟΣΑ	Μη δεσμευτικές διεθνείς αρχές

Ο προτεινόμενος νόμος του Καναδά για την τεχνητή νοημοσύνη και τα δεδομένα (Artificial Intelligence and Data Act) έπεσε όταν το Κοινοβούλιο τέθηκε σε αναστολή εργασιών τον Ιανουάριο του 2025, επομένως δεν ανήκει πια σε αυτή τη λίστα.

Οι ημερομηνίες του EU AI Act μετά το Digital Omnibus του 2026

Η ΕΕ τροποποίησε τον AI Act τον Ιούλιο του 2026 μέσω του Digital Omnibus για την AI, Κανονισμός (ΕΕ) 2026/1744, που καθυστέρησε τους κανόνες υψηλού κινδύνου. Αυτές είναι οι τρέχουσες ημερομηνίες από το χρονοδιάγραμμα του AI Act της Ευρωπαϊκής Επιτροπής:

Ημερομηνία	Τι ισχύει
1 Αυγούστου 2024	Ο AI Act τίθεται σε ισχύ
2 Φεβρουαρίου 2025	Απαγορευμένες πρακτικές και υποχρεώσεις γραμματισμού στην AI (AI literacy)
2 Αυγούστου 2025	Κανόνες για μοντέλα AI γενικής χρήσης, εθνικές αρχές και κυρώσεις
2 Αυγούστου 2026	Οι περισσότεροι υπόλοιποι κανόνες, συμπεριλαμβανομένων των υποχρεώσεων διαφάνειας του Άρθρου 50, ξεκινά η επιβολή
2 Δεκεμβρίου 2026	Νέες απαγορεύσεις για σεξουαλικά deepfakes χωρίς συναίνεση και υλικό παιδικής κακοποίησης
2 Δεκεμβρίου 2027	Κανόνες υψηλού κινδύνου για συστήματα του Παραρτήματος III, όπως απασχόληση, πιστοληπτική βαθμολόγηση και βασικές υπηρεσίες
2 Αυγούστου 2028	Κανόνες υψηλού κινδύνου για AI ενσωματωμένη σε προϊόντα που καλύπτονται από το δίκαιο ασφάλειας προϊόντων της ΕΕ (Παράρτημα I)

Η καθυστέρηση κερδίζει χρόνο. Δεν αφαιρεί τη δουλειά. Αν χρησιμοποιείτε AI για να φιλτράρετε υποψηφίους ή να βαθμολογήσετε πιστοληπτική ικανότητα, η τεκμηρίωση, η ανθρώπινη εποπτεία και η παρακολούθηση που χρειάζεστε για τον Δεκέμβριο του 2027 παίρνουν περισσότερο χρόνο να χτιστούν απ' όσο περιμένουν οι περισσότερες ομάδες. Όταν αγοράζετε ένα τέτοιο σύστημα, ρωτήστε τώρα τον προμηθευτή πώς θα καλύψει τις απαιτήσεις υψηλού κινδύνου.

1. Πεδίο εφαρμογής και πολιτική

Πριν από οτιδήποτε άλλο, βρείτε πού παίρνουν αποφάσεις τα συστήματα. Οι περισσότερες ομάδες το παραλείπουν ή υποθέτουν ότι το IT έχει μια λίστα. Συνήθως δεν έχει.

Περάστε τμήμα προς τμήμα. Κοιτάξτε τα εργαλεία που φιλτράρουν υποψηφίους, εγκρίνουν συναλλαγές ή βαθμολογούν πελάτες. Αν αυτοματοποιεί μια απόφαση, ανήκει στο πεδίο εφαρμογής, είτε το λέει κανείς AI είτε όχι. Αν τρέχετε SAP, συμπεριλάβετε τις λειτουργίες AI που έχετε ενεργοποιήσει, όπως το Joule και τα ενσωματωμένα προγνωστικά σενάρια.

Μετά γράψτε πολιτικές σε απλή γλώσσα που οι άνθρωποι θα ακολουθήσουν. Το «Δίνουμε προτεραιότητα στην ηθική χρήση της AI» δεν είναι πολιτική.

2. Ιδιοκτησία

Όσο καλά κι αν αποδίδει ένα σύστημα, κάποιος πρέπει να έχει την ευθύνη του αποτελέσματος. Η κοινή ευθύνη σημαίνει ότι δεν ενεργεί κανείς.

Δώστε σε κάθε σύστημα έναν ονομαστικό υπεύθυνο που το χρησιμοποιεί στην πράξη, εγκρίνει τις βασικές αλλαγές, τηρεί την τεκμηρίωση και απαντά όταν πάνε στραβά τα πράγματα. Αποφασίστε εκ των προτέρων ποιος μπορεί να θέσει ένα σύστημα σε παύση μετά από ένα παράπονο.

Σε μια εταιρεία με την οποία συνεργάστηκα, τρία άτομα νόμιζαν το καθένα ότι υπεύθυνος ήταν κάποιος άλλος. Το αποτέλεσμα ήταν μήνες σιωπής γύρω από ένα κρίσιμο ζήτημα που δεν αντιμετώπισε κανείς.

3. Αξιολόγηση κινδύνου και έλεγχοι

Κάθε σύστημα έχει κίνδυνο. Αυτό που μετράει είναι αν ο κίνδυνος είναι ορατός.

Μην δανείζεστε γενικές λίστες κινδύνων. Ρωτήστε αν το σύστημά σας θα μπορούσε να απορρίψει άδικα υποψηφίους, να προτείνει λάθος τιμές ή να ταξινομήσει λάθος πελάτες. Μετά χτίστε ελέγχους: δοκιμές πριν από την ενεργοποίηση, σημεία χειροκίνητου ελέγχου κατά τη χρήση και ειδοποιήσεις όταν τα αποτελέσματα βγαίνουν εκτός των αναμενόμενων ορίων. Βάλτε δύο ή τρία ρεαλιστικά σενάρια σε κάθε πολιτική κινδύνου, ώστε οι άνθρωποι να καταλαβαίνουν γιατί υπάρχει.

4. Παρακολούθηση και έλεγχος (audit)

Τα συστήματα αλλάζουν. Τα δεδομένα εισόδου μετατοπίζονται και οι ενημερώσεις αλλάζουν τη συμπεριφορά. Θυμάμαι μια οικονομική ομάδα που έπεσε πάνω σε ένα σιωπηλό σφάλμα στο εργαλείο συστάσεών της. Χρειάστηκαν δύο εβδομάδες για να το προσέξουν. Ένας τακτικός έλεγχος θα το είχε πιάσει τη δεύτερη ημέρα.

Ορίστε σταθερό κύκλο αναθεώρησης: μηνιαίο για τα κρίσιμα συστήματα, τριμηνιαίο για τα υπόλοιπα. Μια ομάδα με την οποία συνεργάστηκα έπιασε ένα μεγάλο λάθος τιμολόγησης απλώς επειδή εξέταζε μερικά δείγματα εξόδων μία φορά τον μήνα. Καταγράφετε τις αποτυχίες και τις οριακές περιπτώσεις και επιστρέφετέ τες στους ελέγχους.

5. Διαφάνεια

Όσοι δουλεύουν με ένα σύστημα, και στους ρυθμιζόμενους τομείς όσοι επηρεάζονται από αυτό, πρέπει να καταλαβαίνουν τι κάνει. Εξηγήστε τα δεδομένα εισόδου και τις αποφάσεις σε απλή γλώσσα. Τεκμηριώστε τους περιορισμούς όπως και τα πλεονεκτήματα. Η υπερβολική προβολή ενός συστήματος οδηγεί σε κακή χρήση.

6. Εκπαίδευση

Οι άνθρωποι κάνουν λάθη στην καθημερινή χρήση ακόμη κι όταν όλα είναι τεκμηριωμένα. Εκπαιδεύστε τους χρήστες από την επιχείρηση, όχι μόνο το τεχνικό προσωπικό, με τα δικά σας δεδομένα και περιπτώσεις. Μια ομάδα HR με την οποία συνεργάστηκα έκανε δύο φορές τον χρόνο επαναληπτικές συνεδρίες 30 λεπτών, με πραγματικά σχόλια από παλαιότερες επιλογές υποψηφίων. Τίποτα σύνθετο, αλλά βοήθησε τους χρήστες να νιώθουν σιγουριά και υπευθυνότητα.

Το πιο χρήσιμο πρώτο προϊόν εργασίας είναι ένα μητρώο. Μερικά από τα πιο αποτελεσματικά πλαίσια που έχω δει ξεκίνησαν ως λογιστικά φύλλα και μεγάλωσαν από εκεί. Για κάθε σύστημα, καταγράψτε:

1. Σύστημα και σκοπός: τι αποφασίζει ή προτείνει και για ποιον.
2. Υπεύθυνος: ένα ονομαστικό πρόσωπο, συν έναν αναπληρωτή.
3. Κατηγορία κινδύνου: για παράδειγμα υψηλή (επηρεάζει τη δουλειά, τα χρήματα ή την πρόσβαση των ανθρώπων σε υπηρεσίες), μεσαία ή χαμηλή, συν την κατηγορία του EU AI Act αν ισχύει.
4. Δεδομένα που χρησιμοποιούνται: πηγές, εμπλεκόμενα προσωπικά δεδομένα, συναίνεση και διατήρηση.
5. Προμηθευτής ή εσωτερική ανάπτυξη: και ποια τεκμηρίωση παρέχει ο προμηθευτής.
6. Έλεγχοι: δοκιμές πριν από την ενεργοποίηση, σημεία ανθρώπινου ελέγχου, ειδοποιήσεις.
7. Κύκλος αναθεώρησης: μηνιαίος, τριμηνιαίος ή ετήσιος, και η ημερομηνία της τελευταίας αναθεώρησης.
8. Διαδρομή περιστατικών: ποιος ενημερώνεται, ποιος μπορεί να το θέσει σε παύση, πώς ενημερώνονται οι χρήστες.

Συμπληρώστε το πρώτα για τα συστήματα υψηλού αντίκτυπου: πρόσληψη, τιμολόγηση, πίστωση και βαθμολόγηση πελατών. Τα εσωτερικά εργαλεία χαμηλού κινδύνου μπορούν να περιμένουν.

Ξεκινήστε με περιπτώσεις χρήσης υψηλού αντίκτυπου. Κάποτε συνεργάστηκα με μια εταιρεία όπου ένα αυτοματοποιημένο εργαλείο απέκλειε υποψηφίους για ασαφείς λόγους. Το κατάλαβαν μόνο μετά από αρκετά παράπονα. Μια συνεδρία αναθεώρησης θα το είχε εντοπίσει νωρίς.

Κλιμακώστε την εποπτεία ανάλογα με τον κίνδυνο. Μια ομάδα με την οποία συνεργάστηκα εφάρμοσε το ίδιο βάθος αναθεώρησης σε ένα εσωτερικό chatbot όπως σε μια μηχανή τιμολόγησης. Εξάντλησε την ομάδα διακυβέρνησης και επιβράδυνε την ανάπτυξη χωρίς ιδιαίτερο όφελος.

Τεκμηριώνετε τις αποφάσεις τη στιγμή που λαμβάνονται. Η τεκμηρίωση που συμπληρώνεται εκ των υστέρων αποτυγχάνει, επειδή οι άνθρωποι ξεχνούν το πλαίσιο. Ένας κοινός φάκελος με χρονολογημένες σημειώσεις αποφάσεων μίας σελίδας νικά ένα επιτηδευμένο σύστημα που κανείς δεν ενημερώνει.

Μην περιμένετε το τέλειο πλαίσιο. Έχω δει ομάδες να περνούν μήνες τελειοποιώντας τη διατύπωση πολιτικών που τελικά δεν χρησιμοποίησε κανείς. Ξεκινήστε με έναν κανόνα, έναν υπεύθυνο και έναν κύκλο αναθεώρησης και μετά προσαρμόστε.

Περιμένετε αντίσταση και απαντήστε της. Η διακυβέρνηση μοιάζει με γραφειοκρατία στις ομάδες που χρησιμοποιούν τα εργαλεία. Συνδέστε την με ό,τι τις νοιάζει: την εμπιστοσύνη των πελατών, τα πρόστιμα που αποφεύγονται, τις δημόσιες αποτυχίες που προλαμβάνονται.

Οι αυτοματοποιημένες αποφάσεις χωρίς εποπτεία μπορούν να αποτύχουν γρήγορα και ακριβά. Το 2012 ο αυτοματοποιημένος δρομολογητής εντολών της Knight Capital, τρέχοντας ελαττωματικό κώδικα, έστειλε πάνω από 4 εκατομμύρια εντολές σε 45 λεπτά και η εταιρεία έχασε πάνω από 460 εκατ. $ (SEC). Η Amazon εγκατέλειψε ένα πειραματικό εργαλείο πρόσληψης αφού διαπίστωσε ότι έβαζε χαμηλότερη βαθμολογία σε βιογραφικά που ανέφεραν γυναικείες οργανώσεις. Οι πιο αθόρυβες αποτυχίες είναι συχνότερες: ένα σύστημα παρεκκλίνει για μήνες μέχρι να το βρει ένα παράπονο ή ένας έλεγχος.

Το ISO/IEC 42001 είναι το πιστοποιήσιμο πρότυπο για ένα σύστημα διαχείρισης AI, που δημοσιεύθηκε τον Δεκέμβριο του 2023. Το AI Risk Management Framework του NIST είναι η εθελοντική αναφορά που χρησιμοποιούν οι περισσότεροι οργανισμοί των ΗΠΑ. Για τα φυσικά πρόσωπα, η πιστοποίηση Artificial Intelligence Governance Professional (AIGP) του IAPP είναι η πιο γνωστή πιστοποίηση.

Υπάρχουν εξειδικευμένα εργαλεία, όπως το IBM watsonx.governance, το Fiddler AI και το dashboard Responsible AI στο Azure Machine Learning. Για τους περισσότερους οργανισμούς η πρακτική αρχή είναι απλούστερη: το μητρώο παραπάνω, η καταγραφή (logging), οι έλεγχοι πρόσβασης και οι κύκλοι αναθεώρησης. Για βαθύτερη βαθμολόγηση κινδύνου, δείτε τον οδηγό μου για το πλαίσιο διαχείρισης κινδύνων AI. Αν η AI σας τρέχει μέσα στο SAP, το άρθρο μου για τη διακυβέρνηση AI στις υλοποιήσεις SAP καλύπτει τους ελέγχους που αφορούν το SAP και η σελίδα μου για το πλαίσιο διακυβέρνησης AI περιγράφει πώς βοηθώ οργανισμούς να στήσουν ένα.

Τι είναι ένα πλαίσιο διακυβέρνησης AI;

Ένα σύνολο υπευθύνων, πολιτικών, ελέγχων και κύκλων αναθεώρησης που αποφασίζουν πώς χρησιμοποιεί ένας οργανισμός την AI, πώς δοκιμάζονται και παρακολουθούνται τα συστήματα και τι συμβαίνει όταν κάτι πάει στραβά. Κάνει επίσης τις αποφάσεις εξηγήσιμες στις ρυθμιστικές αρχές και στα πρόσωπα που επηρεάζονται.

Πότε ισχύουν οι κανόνες υψηλού κινδύνου του EU AI Act;

Μετά το Digital Omnibus για την AI (Κανονισμός (ΕΕ) 2026/1744), οι κανόνες υψηλού κινδύνου για συστήματα του Παραρτήματος III, όπως η AI που χρησιμοποιείται στην απασχόληση, στην πιστοληπτική βαθμολόγηση και στις βασικές υπηρεσίες, ισχύουν από τις 2 Δεκεμβρίου 2027. Οι κανόνες υψηλού κινδύνου για AI ενσωματωμένη σε προϊόντα που καλύπτονται από το δίκαιο ασφάλειας προϊόντων της ΕΕ ισχύουν από τις 2 Αυγούστου 2028. Οι απαγορεύσεις ισχύουν από τον Φεβρουάριο του 2025 και οι υποχρεώσεις διαφάνειας από τον Αύγουστο του 2026.

Γιατί μετράει η διακυβέρνηση AI στα περιβάλλοντα SAP;

Τα συστήματα SAP περιλαμβάνουν πλέον AI που παίρνει ή διαμορφώνει αποφάσεις, όπως το Joule, τα προγνωστικά σενάρια στα οικονομικά και στην εφοδιαστική αλυσίδα και την επιλογή υποψηφίων στο HR. Ένα μεροληπτικό ή λανθασμένο αποτέλεσμα μπορεί να εξαπλωθεί σε ενοποιημένες διαδικασίες προτού το προσέξει κανείς. Η διακυβέρνηση υποβάλλει αυτές τις λειτουργίες στην ίδια λογοδοσία με τις χειροκίνητες διαδικασίες που αντικατέστησαν.

Ποιος είναι υπεύθυνος για τη διακυβέρνηση AI;

Είναι διατμηματική: συμμόρφωση, IT και ασφάλεια, ομάδες δεδομένων, νομικό και κίνδυνοι, και στελέχη της διοίκησης. Η σημαντικότερη δομική απόφαση είναι ένας ονομαστικός υπεύθυνος ανά σύστημα AI. Ένας άνθρωπος, όχι μια επιτροπή.

Ποιες πιστοποιήσεις υπάρχουν για τη διακυβέρνηση AI;

Για οργανισμούς, το ISO/IEC 42001 είναι το πιστοποιήσιμο πρότυπο συστήματος διαχείρισης AI. Το NIST AI RMF είναι εθελοντικό πλαίσιο και όχι πιστοποίηση. Για φυσικά πρόσωπα, η πιστοποίηση AIGP του IAPP είναι η πιο γνωστή πιστοποίηση διακυβέρνησης AI.

Τι συμβαίνει όταν αγνοείται η διακυβέρνηση AI;

Στις ορατές αποτυχίες περιλαμβάνονται η Amazon που εγκατέλειψε ένα εργαλείο πρόσληψης που μεροληπτούσε εις βάρος των γυναικών και η Knight Capital που έχασε πάνω από 460 εκατ. $ σε 45 λεπτά εξαιτίας ενός ελαττωματικού αυτοματοποιημένου συστήματος συναλλαγών. Η συχνότερη αποτυχία είναι πιο αθόρυβη: ένα σύστημα παρεκκλίνει για μήνες και δεν το προσέχει κανείς μέχρι ένα παράπονο ή έναν έλεγχο.