Rozwój sztucznej inteligencji najczęściej opisujemy przez pryzmat możliwości: wzrost produktywności, automatyzacja procesów, redukcja kosztów, analiza ogromnych zbiorów danych czy rozwój autonomicznych agentów AI.
Równolegle narasta jednak problem, o którym mówi się znacznie mniej.
Nauczyliśmy się tworzyć i wdrażać sztuczną inteligencję znacznie szybciej, niż nauczyliśmy się nią zarządzać.
I właśnie ta luka może stać się jednym z najważniejszych problemów gospodarczych i zarządczych następnej dekady.
Council on Foreign Relations (CFR), jeden z najbardziej wpływowych amerykańskich think tanków zajmujących się stosunkami międzynarodowymi, technologią i bezpieczeństwem, przeprowadził badanie wśród około 350 ekspertów dotyczące tego, jak rozwój AI i sposób zarządzania tą technologią mogą wpłynąć na świat do 2035 roku.
Eksperci różnili się w wielu kwestiach. W jednym byli jednak wyjątkowo zgodni: obecne instytucje nie są przygotowane na tempo rozwoju sztucznej inteligencji.
Ponad 80% respondentów spodziewa się, że globalny system zarządzania AI pozostanie fragmentaryczny. Jedynie niewielka część ekspertów wierzy, że krajowe instytucje – administracja, regulatorzy czy sądy – będą w stanie nadążać za rozwojem technologii.
To znacznie więcej niż problem legislacyjny.
To zapowiedź powstania zupełnie nowego obszaru ryzyka dla przedsiębiorstw.
Państwo zaczyna przegrywać ze skalą i szybkością technologii
Tradycyjny model regulacji powstał w świecie, w którym zmiany technologiczne można było mierzyć latami.
W przypadku AI sytuacja wygląda inaczej.
Pomiędzy kolejnymi generacjami modeli, narzędzi i agentów AI mijają miesiące. Tymczasem przygotowanie ustawy, konsultacje, proces legislacyjny, stworzenie interpretacji, praktyki nadzorczej i orzecznictwa może trwać latami.
Powstaje fundamentalna asymetria:
technologia rozwija się szybciej niż instytucje odpowiedzialne za jej kontrolowanie.
Jednocześnie trudno oczekiwać szybkiego powstania jednolitego globalnego systemu regulacji.
Stany Zjednoczone, Unia Europejska, Chiny i inne państwa rozwijają własne modele zarządzania AI. CFR wskazuje, że coraz bardziej prawdopodobny jest świat wielu równoległych, częściowo niekompatybilnych systemów regulacyjnych.
Dla przedsiębiorstwa oznacza to bardzo konkretny problem.
Firma może korzystać z amerykańskiego modelu AI, europejskiej infrastruktury chmurowej, danych polskich klientów i oprogramowania stworzonego przez zespół znajdujący się poza Unią Europejską.
Odpowiedzialność za sposób wykorzystania technologii pozostanie jednak po stronie przedsiębiorstwa.
Następne pytanie CEO: jakie AI właściwie działa w mojej firmie?
Dzisiaj zarządy przedsiębiorstw pytają przede wszystkim:
„Jak możemy wykorzystać AI?”
Za kilka lat pytanie może brzmieć zupełnie inaczej:
„Jakie systemy AI są już wykorzystywane w naszej organizacji i co dokładnie robią?”
Wyobraźmy sobie średniej wielkości europejską firmę produkcyjną.
Marketing korzysta z ChatGPT.
Dział sprzedaży wykorzystuje Copilot.
HR stosuje narzędzia AI do analizy CV.
Finanse automatyzują przetwarzanie dokumentów.
Programiści wykorzystują kod generowany przez AI.
Cybersecurity korzysta z automatycznej analizy zdarzeń.
ERP i CRM otrzymują własnych agentów AI.
Część tych rozwiązań została oficjalnie zakupiona przez przedsiębiorstwo.
Część została wdrożona przez poszczególne działy.
Z części pracownicy zaczęli korzystać samodzielnie.
Jeszcze inne funkcjonują jako element większego systemu informatycznego i zarząd może nawet nie wiedzieć, że wykorzystują sztuczną inteligencję.
W ten sposób obok znanego od lat Shadow IT powstaje nowe zjawisko:
Shadow AI.
Organizacja stopniowo traci kontrolę nad tym, jakie modele mają dostęp do jej danych, gdzie dane są przetwarzane, jakie decyzje podejmowane są automatycznie i kto ponosi za nie odpowiedzialność.
CFR zwraca uwagę również na powiązane zjawiska: Shadow Autonomy, Shadow Identity oraz Shadow Code.
W praktyce oznacza to problemy z kontrolą autonomicznych decyzji podejmowanych przez AI, identyfikacją agentów działających w imieniu organizacji oraz pochodzeniem i bezpieczeństwem kodu generowanego przez sztuczną inteligencję.
To już nie jest problem przyszłości.
To nowa kategoria ryzyka korporacyjnego.
Od AI Adoption do AI Governance
Dlatego kolejny etap rozwoju AI w przedsiębiorstwach prawdopodobnie nie będzie polegał wyłącznie na wdrażaniu kolejnych modeli.
Będzie polegał na budowie infrastruktury pozwalającej nimi zarządzać.
Można przedstawić tę ewolucję w prosty sposób:
AI Adoption → AI Governance → AI Risk Management → AI Security → AI Compliance → AI Audit
Przedsiębiorstwo będzie musiało wiedzieć:
– jakie systemy AI wykorzystuje;
– kto jest ich właścicielem biznesowym;
– do jakich danych mają dostęp;
– gdzie dane są przetwarzane;
– jakie decyzje mogą podejmować;
– czy istnieje odpowiedni human oversight;
– którzy dostawcy technologii otrzymują dostęp do informacji;
– jakie ryzyko generuje konkretny AI use case;
– jakie regulacje mają zastosowanie;
– jakie incydenty wystąpiły;
– oraz czy organizacja posiada dowody pozwalające wykazać zgodność podczas kontroli lub audytu.
W praktyce oznacza to powstanie nowej warstwy zarządzania przedsiębiorstwem.
Można ją nazwać:
AI Governance Operating System.
Nie kolejna sztuczna inteligencja.
System pozwalający kontrolować sztuczną inteligencję już działającą w organizacji.
Europa może stać się jednym z najważniejszych rynków AI Governance
Dla europejskich przedsiębiorstw problem jest szczególnie istotny.
AI nie można już analizować w oderwaniu od istniejącego otoczenia regulacyjnego.
Organizacja musi brać pod uwagę nie tylko EU AI Act, lecz – w zależności od konkretnego zastosowania – również GDPR, NIS2, wymagania dotyczące cyberbezpieczeństwa, regulacje sektorowe, umowy z klientami, zasady zarządzania dostawcami oraz własne polityki bezpieczeństwa.
W działalności międzynarodowej liczba potencjalnych obowiązków jeszcze wzrasta.
Powstaje więc interesujący paradoks:
im łatwiejsze staje się wdrażanie AI, tym trudniejsze staje się zarządzanie AI.
Technicznie uruchomienie nowego narzędzia może zająć kilka minut.
Określenie jego statusu prawnego, ryzyka, dostępu do danych, odpowiedzialności, wymogów bezpieczeństwa i konieczności nadzoru człowieka jest znacznie bardziej skomplikowane.
AI Governance przestaje więc być wyłącznie tematem dla prawników.
Staje się funkcją operacyjną przedsiębiorstwa.
Kto będzie kontrolował tych, którzy tworzą AI?
Badanie CFR wskazuje również na jeszcze jeden istotny problem.
Znaczna część ekspertów spodziewa się wzrostu znaczenia największych laboratoriów i firm rozwijających zaawansowane modele AI. Mogą one stać się jednymi z najbardziej wpływowych podmiotów pozapaństwowych.
Pojawia się wtedy klasyczny problem regulatory capture – sytuacji, w której podmioty podlegające regulacji zaczynają uzyskiwać zbyt duży wpływ na instytucje mające je kontrolować.
W przypadku AI problem może być jeszcze bardziej złożony.
Największe firmy technologiczne mogą jednocześnie dostarczać modele, infrastrukturę, narzędzia bezpieczeństwa oraz informacje dotyczące bezpieczeństwa własnych produktów.
Tymczasem dostawca technologii nie powinien być jedynym źródłem oceny jej bezpieczeństwa.
W lotnictwie producent samolotu nie jest jedyną instytucją decydującą, czy samolot jest bezpieczny.
Bank nie jest jedynym audytorem własnej działalności.
Producent leku nie jest jedynym podmiotem oceniającym bezpieczeństwo swojego produktu.
Podobna infrastruktura będzie prawdopodobnie potrzebna wokół AI.
Powstanie zapotrzebowanie na:
AI assurance, independent validation, AI risk assessment, AI audit, incident reporting oraz continuous monitoring.
Zaufanie do sztucznej inteligencji nie może opierać się wyłącznie na deklaracji producenta.
Musi stać się częścią infrastruktury.
Ten scenariusz już kiedyś widzieliśmy
Jeszcze kilkadziesiąt lat temu cybersecurity było traktowane przede wszystkim jako problem działu IT.
Potem pojawiły się masowe wycieki danych, ransomware, ataki na infrastrukturę, regulacje oraz odpowiedzialność zarządów.
Cybersecurity przestało być wyłącznie problemem technicznym.
Stało się problemem biznesowym.
Z AI możemy obserwować podobny proces.
Najpierw następuje masowe wdrażanie technologii.
Następnie pojawiają się incydenty.
Po nich – regulacje i większa presja ze strony klientów, ubezpieczycieli, inwestorów i regulatorów.
Potem przedsiębiorstwa muszą udowodnić, że kontrolują ryzyko.
A wokół tej potrzeby powstaje nowa branża.
Dlatego analizując rynek AI, warto patrzeć nie tylko na samą sztuczną inteligencję.
Równie interesujący może być rynek infrastruktury powstającej wokół AI.
Kolejny wielki rynek może powstać nie wewnątrz AI, lecz wokół niego
Dzisiaj ogromna część kapitału i uwagi skupia się na pytaniu:
kto stworzy najlepszy model AI?
Dla większości europejskich przedsiębiorstw ważniejsze może jednak okazać się inne pytanie:
jak bezpiecznie, zgodnie z prawem i pod kontrolą korzystać z setek stale zmieniających się narzędzi AI?
Właśnie dlatego powstaje nowy ekosystem:
AI GovernanceAI Risk ManagementAI ComplianceAI SecurityAI IdentityAI MonitoringAI AuditAI Assurance
Wokół tych obszarów będą rozwijały się platformy technologiczne, firmy konsultingowe, audytorzy, nowe standardy oraz nowe specjalizacje zawodowe.
Podobny proces obserwowaliśmy w sektorze finansowym.
Rozwój systemu finansowego stworzył potrzebę regulacji.
Regulacje rozwinęły compliance.
Compliance stworzył ogromny rynek AML/KYC.
Rosnąca złożoność wymagań doprowadziła do powstania RegTech.
W przypadku sztucznej inteligencji możemy zobaczyć podobną ewolucję:
AI → AI Regulation → AI Governance → AI Risk → AI Audit → AI RegTech
Jeżeli ten scenariusz się potwierdzi, nie mówimy o rynku na dwa czy trzy lata.
Mówimy o budowie infrastruktury, która może funkcjonować przez kolejne dekady.
Pytanie, które powinien dziś zadać sobie zarząd
Dlatego zarządy przedsiębiorstw powinny pytać nie tylko:
„Jak AI pomoże nam zwiększyć przychody albo obniżyć koszty?”
Równie ważne staje się pytanie:
„Jak będziemy zarządzać AI, kiedy stanie się ono częścią niemal każdego procesu biznesowego?”
Bo przewagą konkurencyjną w przyszłości może nie być liczba wdrożonych narzędzi AI.
Przewagą może stać się zdolność organizacji do odpowiedzi na trzy proste pytania:
Jakiego AI używamy?
Jakie ryzyko z tego wynika?
Czy potrafimy udowodnić, że nad tym ryzykiem panujemy?
I właśnie wokół odpowiedzi na te pytania może dziś powstawać jeden z najciekawszych rynków B2B następnej dekady.
Źródło https://www.cfr.org/articles/cfr-surveyed-350-experts-about-ais-future-most-think-governance-is-failing
