Начинать нужно с результата, а не с технологии

Первый вопрос совета должен звучать так: какой именно бизнес-результат улучшит ИИ?

Решение об инвестициях стоит связывать с конкретными целями — ростом выручки, повышением производительности, улучшением качества обслуживания, более точными решениями, снижением рисков или укреплением операционной устойчивости. Сначала нужно определить ожидаемый результат, а затем проверить, был ли он достигнут.

Количество запущенных пилотов, купленных лицензий или обученных сотрудников показывает активность, но само по себе не доказывает ценность программы. От менеджмента следует требовать отчёта о фактическом эффекте, затратах, ограничениях и рисках — наряду с показателями внедрения.

Такой подход помогает избежать двух противоположных ошибок: бесконечного накопления разрозненных экспериментов без перспективы масштабирования и блокирования полезных решений, когда никто заранее не определил критерии успеха. Фокус на стратегии, выборе сценариев и отдаче от инвестиций должен связать расходы на ИИ с общими приоритетами организации.

Стихийное использование ИИ сотрудниками нужно встроить в систему управления

Сотрудники могут уже пользоваться ИИ-инструментами неформально или самостоятельно создавать рабочие процессы. Рекомендация гида — не закрывать на это глаза, а превратить полезные эксперименты в управляемую компетенцию организации.

Совет должен убедиться, что менеджмент понимает:

• какие инструменты и сценарии уже используются;
• кто отвечает за каждый из них;
• какие данные обрабатываются;
• какие ограничения и меры контроля действуют.

Среди ключевых шагов — документирование созданных с помощью ИИ инструментов, установление правил их использования и проверка требований безопасности.

На практике это означает корпоративные правила для одобренных сервисов, конфиденциальной информации, распределения ответственности, мониторинга и эскалации инцидентов. Одновременно важно развивать уже имеющиеся навыки сотрудников, а не представлять внедрение ИИ исключительно как инициативу «сверху».

Стратегия без плана обучения, модели ответственности и рабочих процедур вряд ли позволит надёжно перейти от экспериментов к масштабному применению.

Совет директоров должен быть достаточно грамотным в ИИ, чтобы задавать неудобные вопросы

Гид рассматривает ИИ-грамотность как компетенцию всего совета. Директорам не обязательно становиться инженерами по машинному обучению, однако совет в целом должен понимать, как ИИ меняет отрасли, операционные модели, конкуренцию, принятие решений и профиль рисков.

Несколько директоров должны быть способны критически оценивать предположения менеджмента, заявления о выгоде и оценки рисков. Кроме того, у совета должен быть доступ как минимум к одному специалисту — директору, советнику или члену комитета, — который обладает достаточной технической глубиной, чтобы обсуждать архитектуру систем, данные, тестирование и контрольные процедуры.

Речь идёт не о том, чтобы просто передать тему ИИ технологическому комитету и получать от него периодические отчёты. ИИ становится частью стратегического и фидуциарного надзора совета, хотя для узкоспециализированных технических вопросов по-прежнему нужны внешние эксперты.

Права на принятие решений нужно определить до запуска системы

Управление ИИ становится практическим, когда организация заранее устанавливает, кто может одобрить, эксплуатировать, контролировать и остановить систему. Совет должен потребовать риск-ориентированных границ полномочий, которые разделяют:

• решения, принимаемые менеджментом в рамках утверждённых лимитов;
• решения, требующие передачи на уровень совета или комитета;
• решения, которые ИИ не имеет права принимать автономно.

Чем серьёзнее возможные последствия, тем строже должны быть меры контроля. Для значимых решений в сфере занятости — найма, продвижения, увольнения и оценки эффективности — нужны жёсткие ограничения: содержательная проверка человеком и конкретный ответственный за итоговое решение.

Результат работы ИИ не должен превращаться в безоговорочное автоматическое решение, способное определить судьбу человека на работе. Общий принцип таков: ИИ поддерживает человеческое суждение, а не незаметно подменяет его.

До запуска системы должны быть понятны её владелец, порог согласования, этап человеческого контроля и процедура остановки.

Проверять нужно не только точность, но и справедливость системы

Ответственный процесс одобрения не может ограничиваться вопросом о том, насколько хорошо модель работает в среднем. Советам следует спрашивать, как организация:

• проверяет качество данных;
• документирует ограничения системы;
• выявляет возможную предвзятость;
• отслеживает работу модели после внедрения.

Если система существенно влияет на людей, у них должен быть понятный способ разобраться в решении, оспорить результат и потребовать пересмотра человеком. Объяснение не обязано раскрывать коммерческую или техническую тайну, но должно быть достаточно содержательным для подотчётной проверки и апелляции.

Это часть более широкой системы контроля. Материалы SID по корпоративному управлению подчёркивают необходимость прозрачных и подотчётных решений с использованием ИИ, а также соблюдения регуляторных и этических стандартов. Задача совета — превратить эти принципы в документированные процессы, за которые кто-то отвечает и эффективность которых можно подтвердить.

ИИ — одновременно киберугроза и элемент операционной устойчивости

Искусственный интеллект создаёт двустороннюю проблему безопасности. Организациям нужно готовиться к фишингу, социальной инженерии, мошенничеству, автоматизированным атакам и ускоренному поиску уязвимостей с помощью ИИ. Одновременно необходимо защищать сами ИИ-системы от утечек данных, prompt injection — манипуляций через специально сформулированные запросы, — изменения поведения модели и рисков со стороны поставщиков и других третьих лиц.

Поэтому риски ИИ должны входить в отчётность по киберустойчивости, процедуры проверки и планы реагирования на инциденты, а не оставаться в отдельном технологическом «силосе». Советам следует выяснить:

• кто может отключить систему;
• как сообщается об инциденте;
• как расследуются затронутые данные и решения;
• как организация восстановится, если ИИ-сервис станет недоступным или будет скомпрометирован.

Такой подход продолжает более широкую линию SID в вопросах киберустойчивости: её следует встраивать в корпоративную стратегию, а не считать исключительно технической задачей.

Для критически важных систем планка должна быть выше

Последствия сбоя зависят от сценария использования. Внутренний инструмент для малорисковых задач не требует такого же надзора, как система, поддерживающая важные услуги, критическую инфраструктуру или другие операции с серьёзными последствиями.

В таких средах совет должен требовать более строгих стандартов устойчивости, безопасности, тестирования, мониторинга, эскалации и восстановления. Сбой или компрометация могут повлиять не только на финансы и репутацию компании, но и на работу важных сервисов и более широкий круг операций.

Риск-ориентированный подход не ставит все ИИ-приложения в один ряд. Он предлагает соотносить полномочия и контроль с потенциальным ущербом от отказа системы.

Как может выглядеть советский дашборд по ИИ

Рекомендации гида можно превратить в краткий реестр или дашборд для совета. Для каждого существенного сценария использования ИИ менеджмент должен уметь указать:

1. Владельца системы и её результатов.
2. Ожидаемый бизнес-результат и способ измерения успеха.
3. Права на принятие решений и пороги эскалации.
4. Источники данных и правила их обработки.
5. Уровень риска и обоснование его присвоения.
6. Контрольные меры, включая проверки безопасности, справедливости и качества данных.
7. Точку человеческого контроля и сотрудника, отвечающего за итоговое решение.
8. Результаты тестирования и мониторинга, включая известные ограничения.
9. Инциденты, жалобы и апелляции, а также способы их разрешения.
10. Дату следующего пересмотра или условие для внеплановой проверки.

Такая структура объединяет создание ценности и управление рисками в одной записи. Директора получают факты для проверки, а не общие заверения о том, что организация «ответственно использует ИИ».

Что делать директорам уже сейчас

Гид SID не противопоставляет внедрение ИИ его регулированию. Он предлагает подходить к полезным сценариям с той же дисциплиной, что и к другим существенным стратегическим инвестициям: определить ценность, назначить ответственных, понять риски, протестировать контроль и регулярно проверять результат.

Непосредственные шаги для совета — включить ИИ в постоянную повестку, составить перечень существенных сценариев использования и найти пробелы в ИИ-грамотности, распределении ответственности, правах на принятие решений, человеческом контроле, тестировании и устойчивости.

Сильная стратегия в области ИИ — не та, где больше всего активности. Это стратегия, которую совет может объяснить, измерить и контролировать.

Начинать нужно с результата, а не с технологии

Первый вопрос совета должен звучать так: какой именно бизнес-результат улучшит ИИ?

Решение об инвестициях стоит связывать с конкретными целями — ростом выручки, повышением производительности, улучшением качества обслуживания, более точными решениями, снижением рисков или укреплением операционной устойчивости. Сначала нужно определить ожидаемый результат, а затем проверить, был ли он достигнут.

Количество запущенных пилотов, купленных лицензий или обученных сотрудников показывает активность, но само по себе не доказывает ценность программы. От менеджмента следует требовать отчёта о фактическом эффекте, затратах, ограничениях и рисках — наряду с показателями внедрения.

Такой подход помогает избежать двух противоположных ошибок: бесконечного накопления разрозненных экспериментов без перспективы масштабирования и блокирования полезных решений, когда никто заранее не определил критерии успеха. Фокус на стратегии, выборе сценариев и отдаче от инвестиций должен связать расходы на ИИ с общими приоритетами организации.

Стихийное использование ИИ сотрудниками нужно встроить в систему управления

Сотрудники могут уже пользоваться ИИ-инструментами неформально или самостоятельно создавать рабочие процессы. Рекомендация гида — не закрывать на это глаза, а превратить полезные эксперименты в управляемую компетенцию организации.

Совет должен убедиться, что менеджмент понимает:

• какие инструменты и сценарии уже используются;
• кто отвечает за каждый из них;
• какие данные обрабатываются;
• какие ограничения и меры контроля действуют.

Среди ключевых шагов — документирование созданных с помощью ИИ инструментов, установление правил их использования и проверка требований безопасности.

На практике это означает корпоративные правила для одобренных сервисов, конфиденциальной информации, распределения ответственности, мониторинга и эскалации инцидентов. Одновременно важно развивать уже имеющиеся навыки сотрудников, а не представлять внедрение ИИ исключительно как инициативу «сверху».

Стратегия без плана обучения, модели ответственности и рабочих процедур вряд ли позволит надёжно перейти от экспериментов к масштабному применению.

Совет директоров должен быть достаточно грамотным в ИИ, чтобы задавать неудобные вопросы

Гид рассматривает ИИ-грамотность как компетенцию всего совета. Директорам не обязательно становиться инженерами по машинному обучению, однако совет в целом должен понимать, как ИИ меняет отрасли, операционные модели, конкуренцию, принятие решений и профиль рисков.

Несколько директоров должны быть способны критически оценивать предположения менеджмента, заявления о выгоде и оценки рисков. Кроме того, у совета должен быть доступ как минимум к одному специалисту — директору, советнику или члену комитета, — который обладает достаточной технической глубиной, чтобы обсуждать архитектуру систем, данные, тестирование и контрольные процедуры.

Речь идёт не о том, чтобы просто передать тему ИИ технологическому комитету и получать от него периодические отчёты. ИИ становится частью стратегического и фидуциарного надзора совета, хотя для узкоспециализированных технических вопросов по-прежнему нужны внешние эксперты.

Права на принятие решений нужно определить до запуска системы

Управление ИИ становится практическим, когда организация заранее устанавливает, кто может одобрить, эксплуатировать, контролировать и остановить систему. Совет должен потребовать риск-ориентированных границ полномочий, которые разделяют:

• решения, принимаемые менеджментом в рамках утверждённых лимитов;
• решения, требующие передачи на уровень совета или комитета;
• решения, которые ИИ не имеет права принимать автономно.

Чем серьёзнее возможные последствия, тем строже должны быть меры контроля. Для значимых решений в сфере занятости — найма, продвижения, увольнения и оценки эффективности — нужны жёсткие ограничения: содержательная проверка человеком и конкретный ответственный за итоговое решение.

Результат работы ИИ не должен превращаться в безоговорочное автоматическое решение, способное определить судьбу человека на работе. Общий принцип таков: ИИ поддерживает человеческое суждение, а не незаметно подменяет его.

До запуска системы должны быть понятны её владелец, порог согласования, этап человеческого контроля и процедура остановки.

Проверять нужно не только точность, но и справедливость системы

Ответственный процесс одобрения не может ограничиваться вопросом о том, насколько хорошо модель работает в среднем. Советам следует спрашивать, как организация:

• проверяет качество данных;
• документирует ограничения системы;
• выявляет возможную предвзятость;
• отслеживает работу модели после внедрения.

Если система существенно влияет на людей, у них должен быть понятный способ разобраться в решении, оспорить результат и потребовать пересмотра человеком. Объяснение не обязано раскрывать коммерческую или техническую тайну, но должно быть достаточно содержательным для подотчётной проверки и апелляции.

Это часть более широкой системы контроля. Материалы SID по корпоративному управлению подчёркивают необходимость прозрачных и подотчётных решений с использованием ИИ, а также соблюдения регуляторных и этических стандартов. Задача совета — превратить эти принципы в документированные процессы, за которые кто-то отвечает и эффективность которых можно подтвердить.

ИИ — одновременно киберугроза и элемент операционной устойчивости

Искусственный интеллект создаёт двустороннюю проблему безопасности. Организациям нужно готовиться к фишингу, социальной инженерии, мошенничеству, автоматизированным атакам и ускоренному поиску уязвимостей с помощью ИИ. Одновременно необходимо защищать сами ИИ-системы от утечек данных, prompt injection — манипуляций через специально сформулированные запросы, — изменения поведения модели и рисков со стороны поставщиков и других третьих лиц.

Поэтому риски ИИ должны входить в отчётность по киберустойчивости, процедуры проверки и планы реагирования на инциденты, а не оставаться в отдельном технологическом «силосе». Советам следует выяснить:

• кто может отключить систему;
• как сообщается об инциденте;
• как расследуются затронутые данные и решения;
• как организация восстановится, если ИИ-сервис станет недоступным или будет скомпрометирован.

Такой подход продолжает более широкую линию SID в вопросах киберустойчивости: её следует встраивать в корпоративную стратегию, а не считать исключительно технической задачей.

Для критически важных систем планка должна быть выше

Последствия сбоя зависят от сценария использования. Внутренний инструмент для малорисковых задач не требует такого же надзора, как система, поддерживающая важные услуги, критическую инфраструктуру или другие операции с серьёзными последствиями.

В таких средах совет должен требовать более строгих стандартов устойчивости, безопасности, тестирования, мониторинга, эскалации и восстановления. Сбой или компрометация могут повлиять не только на финансы и репутацию компании, но и на работу важных сервисов и более широкий круг операций.

Риск-ориентированный подход не ставит все ИИ-приложения в один ряд. Он предлагает соотносить полномочия и контроль с потенциальным ущербом от отказа системы.

Как может выглядеть советский дашборд по ИИ

Рекомендации гида можно превратить в краткий реестр или дашборд для совета. Для каждого существенного сценария использования ИИ менеджмент должен уметь указать:

1. Владельца системы и её результатов.
2. Ожидаемый бизнес-результат и способ измерения успеха.
3. Права на принятие решений и пороги эскалации.
4. Источники данных и правила их обработки.
5. Уровень риска и обоснование его присвоения.
6. Контрольные меры, включая проверки безопасности, справедливости и качества данных.
7. Точку человеческого контроля и сотрудника, отвечающего за итоговое решение.
8. Результаты тестирования и мониторинга, включая известные ограничения.
9. Инциденты, жалобы и апелляции, а также способы их разрешения.
10. Дату следующего пересмотра или условие для внеплановой проверки.

Такая структура объединяет создание ценности и управление рисками в одной записи. Директора получают факты для проверки, а не общие заверения о том, что организация «ответственно использует ИИ».

Что делать директорам уже сейчас

Гид SID не противопоставляет внедрение ИИ его регулированию. Он предлагает подходить к полезным сценариям с той же дисциплиной, что и к другим существенным стратегическим инвестициям: определить ценность, назначить ответственных, понять риски, протестировать контроль и регулярно проверять результат.

Непосредственные шаги для совета — включить ИИ в постоянную повестку, составить перечень существенных сценариев использования и найти пробелы в ИИ-грамотности, распределении ответственности, правах на принятие решений, человеческом контроле, тестировании и устойчивости.

Сильная стратегия в области ИИ — не та, где больше всего активности. Это стратегия, которую совет может объяснить, измерить и контролировать.