AI Governance: Een Probleem voor de Meesten, een Voordeel voor de Weinigen

Enterprise AI accumuleert risico’s sneller dan iemand ervoor afrekent. AI-agents beginnen klantgegevens, productiecode en beslissingsbevoegdheden aan te raken, en in de meeste organisaties worden ze bestuurd door controles die zijn ontworpen voor een heel andere tijdperk van technologie. Tegelijkertijd worden de externe ondersteuningen die ondernemingen mogelijk op hebben geleund, dunner. Leidende AI-labs hebben vrijwillige veiligheidsverbintenissen teruggeschroefd, en regelgeving blijft gefragmenteerd over rechtsgebieden. De verantwoordelijkheid voor vertrouwen rust op de bedrijven die AI implementeren, omdat zij uiteindelijk degenen zijn die de negatieve gevolgen zullen lijden wanneer en als deze zich voordoen.

Ik doe strategisch AI-werk met bedrijven uit bijna elke industrie, en ik spreek dagelijks met CEO’s en raden van bestuur. Het patroon dat ik consistent zie, is als volgt: implementatie versnelt, terwijl de controle-infrastructuur gewoon niet kan bijhouden. Het patroon is consistent genoeg dat ik het beschouw als structureel, in plaats van een falen van een enkel bedrijf, en ik zal een voorspelling doen: we zijn niet ver verwijderd van een CEO die moet uitleggen dat een grote fout het bedrijf miljoenen heeft gekost, en hij zal AI de schuld geven. Ik zou beleefd suggereren dat dat geen excuus is.

Het goede nieuws is dat ik het geluk heb om een handvol bedrijven te zien die governance op een andere manier benaderen, en ik geloof dat deze bedrijven een langetermijnvoordeel opbouwen dat in de loop van de tijd componeert, terwijl anderen die aan de zijlijn wachten het risico lopen om achterhaald te worden. Het begrijpen van wat de weinigen zien, begint met het begrijpen waar de huidige koers heen leidt.

We Gaan naar een Probleem

De huidige implementaties zijn klein genoeg dat menselijke toezicht het risico kan absorberen. Deloitte’s laatste State of AI in the Enterprise-onderzoek vond dat slechts een kwart van de ondervraagde organisaties ten minste 40 procent van hun AI-experimenten in productie had gebracht. De meeste ondernemingen zijn nog vroeg in de curve, met een handvol agents die in smalle use cases werken met mensen die elke uitvoer bijhouden.

De traject is wat telt. Als implementaties schalen van twee agents naar 20, naar 200, naar 2.000 en verder, componeert complexiteit. Elke nieuwe agent brengt zijn eigen gedrag met zich mee, plus zijn interacties met elk systeem dat hij aanraakt en elke andere agent waarmee hij samenwerkt. Bij twee agents is vertrouwen gemakkelijk: je kent het team, en je bekijkt de uitvoer zelf. Bij 20 moet vertrouwen een proces worden, met gedefinieerde eigenaren, testen en escalatiepaden. Het kan nog werken, maar het wordt moeilijker om vol te houden. Bij 200 wordt informele beoordeling theater, omdat geen enkel leiderschapsteam al die activiteit kan overzien. En bij 2.000 is de mens in de lus virtueel nutteloos, omdat de interacties tussen agents, gegevens en bedrijfsprocessen een web vormen dat handmatig toezicht te boven gaat. Op die schaal moet vertrouwen ook op schaal bestaan en ingebed zijn in de technische architectuur van de onderneming.

De Kosten van Wachten

De ontbrekende vertrouwensinfrastructuur is ook een van de redenen voor de teleurstellende rendementen. In PwC’s laatste Global CEO Survey zei 56% van de CEO’s dat AI noch meer omzet noch kostenverlaging had opgeleverd in het afgelopen jaar. Uit mijn ervaring lijken de rendementen die worden gerapporteerd minder overtuigend zodra je de onderliggende economie onderzoekt. De meeste bedrijven tellen de bespaarde uren en noemen dat rendement op investering. Bespaarde uren worden alleen financieel rendement als de organisatie die capaciteit omzet in iets waardevollers: grotere output, betere kwaliteit, vermeden kosten, snellere groei, enz.

Die omzetting vereist vertrouwen. Een organisatie kan menselijke oordeel naar hoger-waardig werk verplaatsen alleen als het leiderschap de systemen vertrouwt die het lagere-waardige werk overnemen. Als dat vertrouwen ontbreekt, accumuleren bedrijven technische schuld die niet schaalbaar is, en heeft dat over tijd een significante impact op productiviteit. Het is het slechtste van twee werelden: verhoogde uitgaven met weinig resultaat. Vertrouwen is de basis waarop deze rendementen worden behaald.

Het Elevatorprobleem

De link tussen vertrouwen en adoptie is niet nieuw, en we kunnen teruggaan naar de mid-20e eeuw voor een redelijke referentie. Bestuurdersloze liften bestonden decennia voordat iemand erin zou rijden. De technologie werkte, maar passagiers zouden in een auto stappen, geen bestuurder zien en weer uitstappen. Wat veranderde, was niet de lift, maar de veiligheidscontroles eromheen. Na een staking van bestuurders in 1945, die kantoren in heel New York stillegde, ontwierp de industrie vertrouwen in de machine zelf: de noodstopknop, de telefoonlijn, deuren die opnieuw opengingen als ze weerstand ontmoetten, en een opgenomen stem die uitlegde wat te doen. Binnen een generatie werd het rijden in een lift zonder menselijke besturing zo gewoon dat het lopen in een lift met iemand aan de knoppen ouderwets aanvoelde. De barrière voor het verwijderen van de mens uit de lus was nooit capaciteit. Het was vertrouwen, en de industrie loste het op door zichtbare, verifieerbare controles in het systeem te bouwen en die op een plek te plaatsen waar elke passagier ze kon zien.

Enterprise AI is op het punt van instappen, uitstappen. LeiderschapsTeams zien agents werken zonder menselijke besturing en aarzelen, en die aarzeling is rationeel: de meeste organisaties hebben nog niet de equivalenten van de stopknop, de telefoonlijn en de deur die niet dichtgaat op je gebouwd. De bedrijven die die controles in hun systemen bouwen, zullen degenen zijn wiens mensen, klanten en toezichthouders instappen en blijven.

Leveranciers Kunnen Alleen Een Deel Hiervan Dragen

Veel leiders hopen dat hun AI-leveranciers de vertrouwenslast zullen dragen. Leveranciers kunnen modelniveau-beveiligingsmaatregelen en -controles bieden, en de goede doen dat. Het beslissen of een bepaalde implementatie geschikt is voor uw gegevens, uw regelgevingsverplichtingen, uw klanten en uw risicotolerantie blijft uw taak, omdat uw leverancier de context ontbreekt om dat te doen. Zij hebben nooit uw verplichtingen gezien en hebben geen manier om de prijs te bepalen van een slecht resultaat voor u.

Een leveranciersveiligheidsverbintenis dekt hun model, niet uw gebruik ervan. Het is ook niet permanent: zoals het afgelopen jaar heeft laten zien, kunnen die verbintenissen worden herzien of ingetrokken. Gereguleerde industrieën hebben deze vraag lang geleden voor derdenmodellen opgelost, en de standaard die zij hebben vastgesteld is de juiste: de instelling die het model implementeert, draagt het risico.

Wat de Weinigen Doen

De bedrijven die voorop lopen, maken drie zetten:

1. Zij bouwen controle-infrastructuur nu, geschaald voor de omvang die zij van plan zijn te bereiken, in plaats van de omvang die zij nu hebben, omdat controles moeten bestaan voordat de agents die nodig hebben, worden geïmplementeerd.
2. Zij bouwen risicoclassificatie en -mitigatie in aan het begin van het implementatieproces, in plaats van als een beoordelingspoort aan het einde, zodat elke use case wordt geclassificeerd en controles evenredig zijn met het risico vanaf de eerste dag.
3. En zij stellen onafhankelijke governance in met echte autoriteit om te verifiëren dat deze systemen zich gedragen zoals bedoeld, flexibel genoeg om te evolueren met de technologie. Onafhankelijkheid maakt de verificatie geloofwaardig. Flexibiliteit houdt het actueel.

Het is de moeite waard om op te merken dat weinig toezichthouders expliciete regels hebben vastgesteld voor het gebruik en de controle van generatieve AI, maar dat betekent niet dat we niets hebben om naar te kijken voor leiding. Toezichthouders hebben goed gevestigde regels voor het beheren van traditionele modellen, en we kunnen die als leidraad gebruiken. In april hebben de Federal Reserve, OCC en FDIC herziene modelrisicoleiding uitgegeven, die decennia van praktijk weerspiegelt, een principegebaseerde benadering die modelinventarissen, risicogebaseerde controles evenredig aan blootstelling, onafhankelijke validatie, voortdurende monitoring en ondernemingsverantwoordelijkheid voor leveranciersproducten omvat, en zij hebben instellingen opgedragen om deze praktijken toe te passen op AI op eigen initiatief. De boodschap is duidelijk: de principes die werken zijn bekend, en de formele AI-regels komen niet snel. Ondernemingen die wachten op regelgevingsduidelijkheid zullen wachten terwijl de weinigen actie ondernemen. Dit is waarom de zwaar gereguleerde industrieën, vaak beschreven als langzaam, deze periode ingaan met een voorsprong. Zij hebben decennia lang precies de vertrouwensmachinerie gebouwd die iedereen nu nodig heeft, en zij wachten niet op toestemming om die te gebruiken.

De Vraag Die Echt Telt

De kloof vormt zich al. De meeste bedrijven behandelen governance als een kostenpost: iets wat wordt geabsorbeerd, getolereerd en geminimaliseerd. De weinigen behandelen het als de infrastructuur die hen in staat stelt om mensen naar hoger-waardig werk te verplaatsen en met vertrouwen te schalen. Elk leiderschapsteam zit aan de ene of de andere kant, of ze dat nu bewust hebben gekozen of niet, en de kloof componeert zich stil voor de schaal die het zal blootleggen. Niemand denkt twee keer na over het instappen in een lift vandaag, omdat vertrouwen is ingebouwd. De bedrijven die hetzelfde doen voor AI zullen iedereen voorbijgaan die nog steeds twijfelt of ze moeten instappen.