Co mají správní rady udělat pro účinný dohled nad AI?

Správní rady by proto měly rozlišovat mezi skutečnými ukazateli výkonu a pouhou aktivitou. Počet spuštěných pilotních projektů, zakoupených licencí nebo proškolených zaměstnanců může ukazovat na vynaložené úsilí, sám o sobě však nedokazuje, že program AI přináší hodnotu. Vedení by mělo společně s údaji o využívání předkládat i dosažené výsledky, náklady, omezení a rizika.

Takový přístup pomáhá předcházet dvěma častým selháním: schvalování izolovaných experimentů bez realistické cesty k rozšíření a naopak blokování užitečných řešení proto, že nikdo předem neurčil, jak vypadá úspěch. Zaměření na strategii, výběr konkrétních případů využití a návratnost má propojit výdaje na AI s širšími prioritami organizace.

Experimentování zaměstnanců musí spadat pod pravidla

Zaměstnanci mohou nástroje AI neformálně používat už dnes nebo si vytvářet vlastní pracovní postupy. Doporučenou reakcí není tuto aktivitu přehlížet, ale proměnit užitečné experimentování v řízenou schopnost celé organizace.

Vedení by mělo mít přehled o tom, jaké nástroje a scénáře zaměstnanci používají, kdo za ně odpovídá, s jakými daty pracují a jaké kontroly se na ně vztahují. Mezi výslovně zmiňované úkoly patří dokumentace nástrojů vytvořených s pomocí AI, zavedení pravidel pro jejich používání a zajištění bezpečnostních požadavků.

V praxi to znamená vytvořit organizační pravidla pro schválené nástroje, citlivé informace, odpovědnosti, monitorování a eskalaci problémů. Současně je důležité rozpoznat a rozvíjet již existující dovednosti zaměstnanců v oblasti AI, nikoli chápat adopci jako proces nařízený pouze shora. Strategie bez plánu rozvoje dovedností, jasného vlastnictví a provozní disciplíny se bude jen obtížně posouvat od experimentů k pravidelnému fungování.

Celá správní rada musí rozumět AI natolik, aby mohla klást nepříjemné otázky

Průvodce považuje gramotnost v oblasti AI za kompetenci správní rady. Ne každý ředitel se musí stát odborníkem na strojové učení. Rada jako celek by však měla chápat, jak AI ovlivňuje odvětví, obchodní modely, konkurenci, rozhodování a rizika.

Několik členů rady by mělo být schopno zpochybňovat předpoklady vedení, jeho tvrzení o přínosech i hodnocení rizik. Rada by zároveň měla mít přístup alespoň k jednomu člověku — ať už jde o ředitele, poradce nebo člena výboru — s dostatečně hlubokými technickými znalostmi, aby dokázal prověřit volbu systémů, dat, testování a kontrol.

To je náročnější než svěřit AI technologickému výboru a jednou za čas si vyslechnout stručnou prezentaci. Umělá inteligence se tím stává součástí strategického a fiduciárního dohledu správní rady, přičemž u technických otázek, které přesahují její odbornost, zůstává nutností specializované poradenství.

Pravomoci a hranice rozhodování stanovte ještě před spuštěním systému

Správa AI začíná být praktická ve chvíli, kdy organizace jasně určí, kdo může systém schválit, provozovat, monitorovat a případně vypnout. Správní rady by měly požadovat rozhodovací rámec založený na míře rizika, který rozliší:

• rozhodnutí, jež může vedení přijmout v rámci schválených limitů;
• rozhodnutí, která musí být předložena správní radě nebo příslušnému výboru;
• rozhodnutí, která AI nesmí přijímat autonomně.

Čím závažnější mohou být následky, tím přísnější mají být kontroly. U vysoce citlivého využití AI v zaměstnání — například při náboru, povyšování, ukončení pracovního poměru nebo hodnocení výkonu — by správní rady měly nastavit pevné hranice pro smysluplný lidský přezkum a určit osobu odpovědnou za rozhodnutí. Výstup AI se nesmí proměnit v nekontrolované automatizované rozhodnutí o živobytí konkrétního člověka.

Tato zásada odpovídá širšímu očekávání, že AI má lidský úsudek podporovat, nikoli ho nenápadně nahrazovat. Praktická kontrolní otázka pro vedení proto zní: je před spuštěním systému jasné, kdo je jeho vlastníkem, jaký je schvalovací limit, kde probíhá lidský dohled a jak se systém zastaví?

Kontrolujte férovost, kvalitu dat i možnost odvolání

Odpovědný schvalovací proces nekončí u otázky, zda model dosahuje dobrých výsledků v průměru. Správní rada by se měla ptát, jak organizace ověřuje kvalitu dat, dokumentuje omezení systému, vyhodnocuje možnou zaujatost a sleduje jeho výkon po nasazení.

Pokud systém AI významně ovlivňuje lidi, musí mít dotčené osoby smysluplnou možnost pochopit důvod rozhodnutí, zpochybnit jeho výsledek a požádat o nové posouzení člověkem. Vysvětlení nemusí odhalovat vlastnické technické detaily, mělo by však být dostatečné pro odpovědnou kontrolu a případné odvolání.

Jde o součást širšího kontrolního prostředí. Materiály SID ke správě společností zdůrazňují potřebu transparentního a odpovědného rozhodování s využitím AI i respektování regulatorních a etických standardů. Úkolem správní rady je zajistit, aby se tato očekávání promítla do zdokumentovaných procesů, které mají konkrétní vlastníky a zanechávají ověřitelné důkazy.

AI patří také do plánů kybernetické a provozní odolnosti

Umělá inteligence vytváří bezpečnostní problém na obě strany. Organizace se musí připravit na phishing, sociální inženýrství, podvody, automatizované útoky a rychlejší odhalování zranitelností s pomocí AI. Zároveň musí chránit samotné systémy AI před únikem dat, útoky typu prompt injection, manipulací modelů a riziky spojenými s dodavateli a dalšími třetími stranami.

Správní rady by proto měly zajistit, aby se rizika AI objevovala v reportingu kybernetické odolnosti, v kontrolních a ověřovacích činnostech i v plánech reakce na incidenty — nikoli v odděleném technologickém silu. Mezi klíčové otázky patří, kdo může systém deaktivovat, jak se incidenty hlásí, jak se vyšetřují dotčená data a rozhodnutí a jak organizace obnoví provoz, pokud služba AI přestane být dostupná nebo je napadena.

Tento důraz navazuje na obecnější očekávání v oblasti kybernetické odolnosti a řízení rizik. Kybernetický průvodce SID rovněž chápe odolnost jako součást podnikové strategie, nikoli jako čistě technickou úlohu.

U kritických systémů musí být laťka výš

Dopad selhání AI se výrazně liší podle konkrétního použití. Nízce rizikový interní nástroj pro zvýšení produktivity nepotřebuje stejný dohled jako systém podporující základní služby, kritickou infrastrukturu nebo jiný provoz s vážnými následky.

V těchto prostředích by správní rady měly vyžadovat přísnější pravidla pro odolnost, bezpečnost, testování, monitorování, eskalaci a obnovu. Selhání nebo kompromitace systému totiž nemusí zasáhnout jen finance či pověst organizace, ale také důležité služby a širší fungování provozu.

Rizikově odstupňovaný přístup neukládá všem aplikacím AI stejná pravidla. Namísto toho vyžaduje, aby pravomoci a kontrolní mechanismy odpovídaly možnému dopadu selhání.

Jak může vypadat přehled pro správní radu

Doporučení průvodce lze převést do stručného registru nebo přehledu na úrovni správní rady. U každého významného případu využití AI by vedení mělo umět uvést:

1. Vlastníka odpovědného za systém a jeho výsledky.
2. Zamýšlený obchodní výsledek včetně způsobu měření úspěchu.
3. Rozhodovací pravomoci a prahové hodnoty pro eskalaci.
4. Zdroje dat a pravidla pro jejich zpracování.
5. Rizikovou kategorii a důvod jejího přiřazení.
6. Kontrolní mechanismy, včetně ověřování bezpečnosti, férovosti a kvality dat.
7. Bod lidského dohledu a osobu odpovědnou za konečné rozhodnutí.
8. Výsledky testování a monitorování, včetně známých omezení.
9. Incidenty, stížnosti nebo odvolání a způsob jejich vyřešení.
10. Datum příští revize nebo podmínku, která vyvolá nové posouzení.

Taková struktura propojuje tvorbu hodnoty a řízení rizik v jediném záznamu. Ředitelé pak mohou pracovat s konkrétními důkazy, místo aby se spoléhali na obecná tvrzení, že organizace „používá AI odpovědně“.

Co z toho plyne pro ředitele

Průvodce SID nestaví adopci AI a její správu proti sobě. Správní rady vyzývá, aby užitečné aplikace podporovaly se stejnou disciplínou jako jiné významné strategické investice: definovaly jejich přínos, určily odpovědnost, porozuměly rizikům, otestovaly kontroly a pravidelně vyhodnocovaly výsledky.

Bezprostředním krokem pro ředitele by mělo být zařazení AI na pravidelný program jednání, přezkoumání významných případů jejího využití a hledání mezer v odbornosti, vlastnictví, rozhodovacích pravomocích, lidském dohledu, testování a odolnosti.

Nejlepší strategie AI není ta, která vykazuje nejvíce aktivity. Je to strategie, kterou správní rada dokáže vysvětlit, změřit a skutečně řídit.