הטמעת AI בארגון רגולטורי: מאיפה מתחילים?

הטמעת AI בארגון רגולטורי אפשרית, אבל היא דורשת סדר אחר. מתחילים בתהליכים רחוקים מהאזורים הרגישים, מצליחים מהר, ורק אז נכנסים לאזורים הקשים. כל חיבור למערכות מתחיל בקריאה בלבד, הממשל בנוי לתוך הכלי מהיום הראשון, וסמכות של מערכות AI ניתנת בהדרגה לפי סולם אמון.

למה הטמעת AI בארגון רגולטורי קשה יותר?

לא בגלל הטכנולוגיה. הכלים זהים לאלה שבכל ארגון אחר. המחסום האמיתי הוא אנושי. אנשים חוששים לטעות, לא בטוחים מה מותר, ולא רואים איך הכלי מתחבר לעבודה שלהם.

בארגון רגולטורי, כל אחד מהחששות האלה מוגדל. המחיר של טעות גבוה יותר. הכללים מורכבים יותר. ולעתים קרובות הארגון גם גדול ומבוזר, עם צוותים שכל אחד עושה משהו שונה. ככל שהארגון מורכב יותר, רגולטורי יותר או מבוזר יותר, המחסום האנושי גבוה יותר.

מכאן נובע שבארגון רגולטורי, בניית ביטחון היא לא שלב נחמד. היא תנאי. אי אפשר לבקש מאנשים להתנסות בכלי אם הם חוששים שכל שימוש יכול להפוך לבעיה.

איך בונים סביבה בטוחה לפני שמבקשים מאנשים להשתמש?

בשתי שכבות במקביל. כלפי האנשים, המסר צריך להיות ברור: מותר להתנסות, ואם משהו לא עובד, האחריות היא של מי שהוביל את המהלך. מישהו בארגון לוקח על עצמו את הסיכון באופן גלוי.

מאחורי הקלעים, אותו אדם מוודא שהסביבה באמת בטוחה. כל חיבור למערכות הוא בהרשאות קריאה בלבד. אין יכולת כתיבה, אין דרך לגרום נזק. דאטה רגיש מוחרג או מוסתר. הביטחון שמשדרים צריך להישען על הגנות אמיתיות, אחרת הוא ריק. על הצד הטכני של החיבורים יש מדריך נפרד על חיבור מערכות ארגוניות ל-AI, ועל הכללים הכתובים במאמר על תבנית מדיניות שימוש ב-AI.

שני עקרונות נוספים מקבלים כאן משקל כפול. הראשון: ממשל בנוי לתוך הכלי מהיום הראשון. בקרות, תיעוד של כל פעולה והרשאות לפי תפקיד. בארגון רגולטורי אי אפשר להוסיף אותם בדיעבד. השני: בעלות ברורה. לכל סקיל ולכל אייג’נט יש בעלים שאחראי עליו ומכיר את התהליך.

איך בוחרים מאיפה להתחיל?

מתחילים רחוק מהאזורים הרגישים. זה נשמע הפוך לאינטואיציה, כי האזורים הרגישים הם לעתים קרובות גם הכואבים ביותר. אבל בשלב של בניית אמון, עשרה ניצחונות קטנים שאנשים רואים שווים יותר מפרויקט אחד גדול שתקוע בבדיקות.

הכלי המרכזי כאן הוא מפת הזדמנויות. כל תהליך שאפשר לשפר נכנס אליה עם כמה ממדים: האימפקט הפוטנציאלי, המאמץ הנדרש, רמת הסיכון, והרגישות הרגולטורית. בארגון רגולטורי, הממד האחרון הוא זה שקובע את הסדר. איך בונים מפה כזו בפועל מוסבר במאמר על מפת הזדמנויות AI.

הדוגמאות בטבלה הן להמחשה בלבד. כל ארגון ממפה את התהליכים שלו לפי הרגולציה שחלה עליו.

איך בוחרים את האזור הראשון לבנייה מחדש?

אחרי שהשימוש התבסס והצוותים בנו הרבה דברים קטנים, מגיע השלב שבו בוחרים אזור אחד ובונים אותו מחדש סביב AI. בארגון רגולטורי, הבחירה הזו היא הכרעה אסטרטגית. אלה השלבים:

1. מסננים לפי שלושה קריטריונים. מעט חסמים רגולטוריים, עבודה ידנית מאוד, ואימפקט ברור ומדיד. אזור שעונה על שלושתם הוא מועמד.
2. בוחרים יחד עם ההנהלה הבכירה של התחום. לא לבד, ולא רק עם הצוות המרכזי. השינוי צריך גיבוי מלמעלה, ובארגון רגולטורי גם את מי שיעמוד מאחוריו מול גורמי הבקרה.
3. מערבים מוקדם את גורמי הבקרה. אבטחת מידע, ציות ומשפטי שומעים על התוכנית לפני הבנייה, לא אחרי. הם יכולים לעזור לעצב את הבקרות.
4. עושים עבודת מוצר אמיתית. יושבים עם הצוות ומבצעים את העבודה יחד איתם, בכל המיקומים אם יש כאלה, עד שאפשר לעשות אותה לבד. בלי זה אי אפשר לדמיין את התהליך החדש.
5. מחברים רק את המערכות שהאזור צריך. בקריאה בלבד בהתחלה, עם תיעוד של כל פעולה.
6. משחררים מוקדם, גם אם לא מושלם. משוב אמיתי מהשטח שווה יותר מכל תכנון. בתנאי שהמערכת עדיין במצב שבו אדם מחליט.

איך נותנים ל-AI סמכות בלי לסכן את הארגון?

לא בבת אחת. בארגון רגולטורי, הסמכות של מערכת AI נצברת לאורך סולם אמון עם ארבע מדרגות:

• מצב צל. המערכת רצה במקביל לעבודה הרגילה ורק מראה מה הייתה עושה. אף אחד לא מסתמך עליה. משווים את ההחלטות שלה להחלטות של אנשים.
• הצעות. המערכת מציעה, ואדם מחליט אם לקבל. העבודה נשארת אצל האדם.
• פעולה באישור. המערכת מכינה את הפעולה, ואדם מאשר לפני ביצוע.
• פעולה עצמאית עם דגימה. המערכת פועלת לבד, ואנשים דוגמים חלק מהפעולות באופן קבוע ובודקים אותן.

כל מדרגה מוכחת לפני שעולים לבאה. והחשוב בארגון רגולטורי: הסולם מתועד. אפשר להראות לכל גורם בקרה באיזה שלב נמצאת כל מערכת, על סמך מה היא עלתה, ומי אחראי עליה. פירוט מלא של כל מדרגה יש במאמר על סולם האמון ומצב צל.

אילו טעויות נפוצות כדאי להכיר מראש?

כמה דפוסים חוזרים בארגונים מפוקחים, וכדאי לזהות אותם מוקדם:

• להתחיל מהאזור הכי כואב. הוא בדרך כלל גם הכי רגיש. הפרויקט נתקע בבדיקות, אנשים לא רואים ערך, והאמון נשחק לפני שנבנה.
• לחסום הכל עד שתהיה מדיניות מושלמת. בזמן הזה אנשים משתמשים בכלים פרטיים בלי שום בקרה. עדיף סביבה מבוקרת עם קריאה בלבד מאשר איסור שאיש לא מקיים.
• לבנות ממשל אחרי התקלה הראשונה. ממשל בדיעבד נבנה בלחץ, מקפיא את כל הפרויקטים, ופוגע באמון של הצוותים ושל גורמי הבקרה.
• לדלג על מצב צל. בארגון רגולטורי, בלי תקופה שבה המערכת רק מראה מה הייתה עושה, אין דרך להראות שהיא ראויה לסמכות.
• לשכוח את האנשים. ככל שמתקדמים, יישמע המשפט “אני בונה את מה שיחליף אותי”. צריך לקחת אותו ברצינות, ולתת לכל אדם שליטה במה שהוא רואה ובאופן שבו הוא עובד.

מה התפקיד של ההנהלה בהטמעת AI בארגון רגולטורי?

ההנהלה קובעת את הסדר ונותנת את הגיבוי. היא זו שאומרת לאנשים שמותר להתנסות, ובאותה נשימה דורשת שהסביבה תהיה בטוחה באמת. היא שותפה בבחירת האזור הראשון. והיא זו שמחליטה מתי מערכת עולה מדרגה בסולם האמון.

ההנהלה גם צריכה לזכור שהתכנית תשתנה. הטכנולוגיה זזה מהר מכל רואדמאפ. מה ששומרים הוא לא רשימת הפרויקטים, אלא המתודה: לדרג כל הזדמנות לפי אימפקט, מאמץ, סיכון ורגישות רגולטורית, ולהתקדם מהקל אל הקשה. את המתודולוגיה המלאה תמצאו במרכז הנושא הטמעת AI בארגון.

רוצים לתכנן עם ההנהלה שלכם הטמעה שמתאימה לרגולציה שחלה עליכם? לליווי הנהלות.