Реестр рисков и искусственный интеллект в австралийских организациях

Откройте реестр рисков в большинстве австралийских организаций, и вы увидите почти те же категории, что и десять лет назад. Охрана труда и безопасность. Финансовые риски. Кибер. Цепочка поставок. Непрерывность бизнеса. Редко где найдёшь отдельную строку под искусственный интеллект, хотя ИИ теперь во многом определяет, кто работает в какую смену, какой кандидат проходит дальше и чья эффективность попадает в поле внимания на этой неделе. Такое упущение было понятно, когда ИИ оставался предметом экспериментов нескольких сотрудников. Оно стало гораздо менее понятным теперь, когда ИИ управляет этими сотрудниками.

Регулирование ИИ в Австралии приходит не одним законом, а тремя путями. Ожидать единого «закона об ИИ» и надеяться, что он решит всё, — ошибка. Уже действуют три разных направления, которые затрагивают системы, распределяющие работу, отслеживающие людей и принимающие решения о них. Ни одно из них не разрабатывалось с учётом остальных. В сумме они выводят ИИ из разряда инструментов в разряд обязанностей — и это прежде всего вопрос для реестра рисков, а не чисто технологический.

Можно ли сказать, что национальный закон по ИИ делает всё это неактуальным? Национальная коллегия руководителей поддержала план федерального правительства по законодательному закреплению национальных стандартов ИИ, а специальный комитет изучает, достаточно ли существующих законов. Это не повод ждать. Разработку стандартов направляют прежде всего на крупные центры обработки данных, включая вопросы потребления энергии, воды и использования земли; полноценное законодательство ожидается позже. Пока такие инициативы в поле, они не отменяют уже действующих обязанностей.

Алгоритмическое управление уже подпадает под обязанность по охране труда и технике безопасности. Начните с этого: здесь и сейчас есть обязательства, которые делают больше работы, чем многие предполагают. Австралийские регуляторы в последние годы ужесточали правила по психосоциальным рискам. В одном из штатов кодекс практики по управлению психосоциальными опасностями на рабочем месте включён в рамки требований по охране труда и безопасности, а в другом штате введены собственные регламенты по психологическому здоровью. В правовой базе появились обязательные меры и иерархия контролей.

Если смотреть на обычный перечень психосоциальных опасностей через призму ИИ, он перестаёт выглядеть абстрактным. Алгоритм составления графика, оптимизирующий покрытие, создаёт нагрузку. Дашборд продуктивности, ранжирующий персонал еженедельно, создаёт давление по результатам. Инструмент мониторинга, фиксирующий активность по минутам, создаёт надзор. Закон не спрашивает, был ли причиной человек или программное обеспечение. Он спрашивает, был ли риск обнаружен, оценён и контролируем. Это то, что многие советы директоров упустили.

Для применения обязанности к алгоритмическому управлению не нужен специальный «закон об ИИ»: существующая обязанность по безопасности во многих юрисдикциях уже распространяется на такие случаи. Большинство организаций уже ведут систему управления рисками, где алгоритм можно зарегистрировать как опасность. Практически никто этого не сделал. Проблема обычно не в инструменте, а в том, что никто не описал ИИ надлежащим образом.

Цифровые рабочие системы получили собственную обязанность по безопасности. В одном из штатов шаг пошёл дальше и прямо назвал технологию. Внесены изменения, которые определяют цифровую рабочую систему как алгоритм, искусственный интеллект, автоматизацию или онлайн‑платформу и вводят новую норму: если бизнес использует такую систему для распределения работы, он обязан, в разумной мере достижимой практикой, обеспечить, чтобы такое распределение не ставило под угрозу здоровье и безопасность работников.

Перечень рисков, которые нужно учитывать, делает взаимосвязь с предыдущими изменениями очевидной: чрезмерная или необоснованная нагрузка; чрезмерные или необоснованные метрики оценки и отслеживания производительности; чрезмерный или необоснованный мониторинг и надзор; незаконная дискриминация при принятии решений. Важно понимать оговорку: основные положения вступают в силу в установленный указом день, который ещё не назначен. Закон также предусматривает переходный период, поскольку многие положения не могут начаться ранее, чем через месяц после публикации соответствующих руководящих материалов контролирующим органом. Следовательно, ориентироваться нужно не на сам указ, а на появление этих руководств — они запускают отсчёт. Никто не должен быть признан нарушителем чего‑то, что ещё не вступило в силу.

Это ранний индикатор: в истории согласования законов по охране труда одна юрисдикция обычно действует первой, а остальные затем следуют её примеру. Автоматизированное принятие решений стало обязанностью по раскрытию информации. Третье направление идёт под другим углом. С определённой даты новые положения о принципах конфиденциальности требуют от организаций, подпадающих под закон о конфиденциальности, указывать в политике конфиденциальности виды решений, принимаемых автоматизированными средствами, и персональные данные, используемые для их принятия, если такие решения могут разумно ожидаться как существенно затрагивающие права или интересы человека.

Контролирующий орган проводил консультации по руководствам и планирует дополнительные материалы до начала действия нормы. Два важных момента здесь стоит сформулировать чётко. Это обязательство по прозрачности, а не запрет, и оно не даёт права потребовать человеческого пересмотра автоматизированного решения. Что считается «существенным» влиянием на права или интересы — пока не урегулировано окончательно, поэтому утверждать, что что‑то точно входит в сферу, преждевременно.

Практическая проблема проще юридической: вы не сможете раскрыть, как ИИ принимает решения, пока не узнаете, что именно решает ваш ИИ. Для большинства организаций это не правовой, а инвентаризационный вопрос: у них нет учёта таких систем.

Как должна выглядеть запись про риск, связанный с ИИ

Ничего нового в концепции реестра рисков придумывать не нужно — нужно указать в нём то, на что раньше никто не смотрел. Рабочая запись про ИИ должна состоять из пяти частей:

  • Система: название. Роспись, скрининг кандидатов, мониторинг продуктивности, предоставление доступа, автоматическое эскалирование.
  • Что она решает или на что влияет: конкретизируйте человеческое последствие, а не техническую функцию.
  • Опасность: нагрузка, интенсивность мониторинга, справедливость результата, риск утечки конфиденциальности.
  • Контроль и ответственный: конкретное имя человека, который может изменить конфигурацию модели, а не абстрактный комитет.
  • Дата пересмотра: модели дообучаются и правила меняются; оценка полугодичной давности может описывать софт, которого уже нет.

Это обычное управление рисками; новизна лишь в субъекте оценки.

Категория инцидента, которую упускают большинство реестров

Реестр рисков описывает, что может случиться. Записи об инцидентах показывают, что случилось. Спросите ответственного за учёт инцидентов, где работник может пожаловаться, что система росписи дала ему шесть закрывающих смен подряд, или что автоматизированный скрининг отклонил заявку без объяснимой причины. В большинстве организаций такой категории в учёте нет, поэтому жалобы регистрируются неформально, разрешаются неформально и не оставляют следа. Это не нейтрально: если регулятор или суд позже спросит, что вам было известно и когда, пустая запись читается как отсутствие вреда до тех пор, пока кто‑то не предъявит переписку. Добавление соответствующей категории — небольшое изменение, но одно из наиболее значимых.

С чего начать управление рисками, связанными с ИИ

Выберите системы, которые уже принимают решения о людях. В большинстве организаций их четыре‑пять. Запишите, что каждая система решает. Спросите у людей, на которых это влияет, каково работать в таких условиях — консультация сама по себе является обязанностью, а ответы обычно полезнее документации. Внесите результаты в реестр рисков с назначенными ответственными и датами пересмотра. Добавьте категорию инцидента. Проверьте политику конфиденциальности в свете будущих требований по раскрытию.

В частном секторе есть компании, которые строят платформы для учёта таких записей, и они подчиняются тем же обязанностям, потому что их платформы распределяют задачи, эскалируют просроченные элементы и помечают сотрудников для менеджеров. Составление собственных записей по ИИ оказалось для таких организаций более неудобным, чем они ожидали, но и более полезным. Те организации, которые справятся с грядущими изменениями лучше остальных, будут не самые технически продвинутые в сфере ИИ, а те, кто сможет внятно ответить на простой вопрос в нужный момент: какие ваши системы принимают решения о людях, кто за них отвечает и что вы сделали, когда одна из них ошиблась.