У травні 2026 року Gartner оприлюднив прогноз, згідно з яким до 2027 року 40% підприємств будуть змушені знизити рівень автономності AI-агентів або повністю відмовитися від частини таких рішень через проблеми корпоративного управління. Причиною можливих невдач Gartner називає, зокрема, застосування однакових правил до систем із різним рівнем автономності та різним доступом до корпоративних ресурсів. Майже одночасно компанія опублікувала матеріал із показовою назвою «AI Governance Requires More Than Policies», у якому прямо зазначила: політики визначають очікування, але не здатні самі забезпечити виконання правил у реальному часі, коли AI-системи діють у складному та мінливому середовищі.

У квітні Gartner звернув увагу ще на одну проблему — неконтрольоване поширення AI-агентів усередині компаній. Йдеться про ситуацію, коли різні підрозділи створюють або підключають власні інструменти, а організація поступово втрачає повне уявлення про їх кількість, призначення, права доступу та взаємодію з корпоративними системами. Серед запропонованих заходів Gartner назвав створення механізмів управління агентами, визначення правил їх розроблення та використання, ведення реєстру і контроль доступу. Отже, предметом AI Governance стає вже не лише зміст внутрішньої політики, а реальна архітектура контролю над технологією.

Цей самий висновок дедалі частіше з’являється і в професійних публікаціях. У липні TechRadar опублікував матеріал про те, що значна частина корпоративних систем AI Governance вже не відповідає сучасному рівню розвитку технологій. Документи, розроблені переважно для контролю використання публічних генеративних моделей, виявляються недостатніми для AI-агентів, які можуть отримувати доступ до внутрішніх систем, самостійно планувати послідовність дій і виконувати операції без постійного втручання людини. Автори пропонують оцінювати не лише наявність політики, а й можливість швидко визначити повноваження агента, обмежити його доступ та негайно зупинити його роботу в разі небажаної поведінки.

Таким чином, у міжнародній дискусії відбувається важлива зміна акцентів. Ще недавно головним питанням було те, чи має компанія AI Policy, етичні принципи та орган, відповідальний за використання штучного інтелекту. Тепер цього вже недостатньо. На перший план виходить здатність компанії бачити всі AI-системи, розуміти їхні функції та права доступу, контролювати їхню поведінку, відстежувати відхилення і втручатися до того, як технологічна помилка перетвориться на фінансові втрати, порушення прав клієнтів або регуляторну проблему.

Цей перехід — від правил до механізмів їх виконання — і є предметом статті. Йдеться не про те, що AI Governance як концепція виявилася хибною. Проблема полягає в іншому: багато компаній звели її до підготовки документів і розподілу формальної відповідальності, тоді як реальне управління починається лише там, де правила вбудовуються у технологічні рішення та бізнес-процеси.

Документ визначає правила, але не забезпечує їх виконання

Внутрішня політика необхідна, оскільки без неї компанія не матиме єдиного розуміння дозволених способів використання AI, відповідальності працівників, вимог до даних, перевірки результатів і погодження нових рішень. Проте політика залишається нормативним документом, оскільки описує бажану поведінку організації, але не гарантує, що ця поведінка буде реалізована у кожному конкретному процесі.

Наприклад, страховик може заборонити передавання персональних даних клієнтів до непогоджених AI-сервісів, але ця заборона не спрацює автоматично, якщо працівник може відкрити публічний сервіс зі свого робочого комп’ютера і завантажити туди матеріали страхової справи. Політика може вимагати перевірки сформованого AI висновку людиною, але вона не забезпечить такої перевірки, якщо у процесі врегулювання не визначено, хто повинен її проводити, що має бути перевірено, як це документується і хто відповідає за використання помилкового результату.

З агентним AI ця проблема стає ще гострішою. Звичайний генеративний сервіс переважно формує текстову відповідь на запит користувача. AI-агент може звертатися до баз даних, відкривати документи, надсилати повідомлення, створювати завдання, змінювати записи або запускати інші системні дії, тому ризик визначається вже не лише якістю відповіді моделі, а й тим, які повноваження вона має, до яких систем підключена та наскільки далеко може просунутися без додаткового погодження.

Універсальна AI Policy поступово втрачає здатність бути основним інструментом контролю. Однакове правило не може однаково застосовуватися до внутрішнього чат-бота, який допомагає працівникові редагувати текст, і до агента, який отримує доступ до страхової інформаційної системи та формує проєкт рішення щодо виплати. Різний рівень автономності, доступу до даних і потенційного впливу потребує різних контрольних механізмів.

Де насправді виникає розрив між політикою та практикою

Перший розрив виникає на етапі інвентаризації. Компанія може мати затверджені правила використання AI, але не знати, які саме інструменти вже застосовуються працівниками. Частина сервісів впроваджується централізовано, частина з’являється як функціональність у вже придбаному програмному забезпеченні, а частину співробітники використовують самостійно. У результаті орган управління затверджує політику щодо об’єкта, повного переліку якого компанія фактично не має.

Другий розрив стосується класифікації. Не кожне використання AI створює однаковий ризик. Інструмент, який допомагає підготувати рекламний текст, і система, що впливає на тариф, відмову у страхуванні чи суму виплати, не можуть проходити однакову процедуру погодження. Якщо політика не трансформується у практичні критерії ризиковості, компанія або контролюватиме все однаково жорстко, створюючи зайву бюрократію, або застосовуватиме поверхневий контроль до рішень, які можуть мати істотні наслідки.

Третій розрив виникає під час експлуатації. Навіть належно перевірена модель може змінити поведінку через оновлення, зміну даних, нові інтеграції або розширення сценаріїв використання. Разове погодження перед запуском не дає відповіді на питання, чи залишається система надійною через пів року. Саме тому сучасні підходи наголошують на безперервному моніторингу, перевірці та виконанні правил протягом усього життєвого циклу AI-системи.

Від AI Policy до системи операційного контролю

Якщо уважно проаналізувати останні міжнародні публікації, можна побачити одну спільну тенденцію. Фактично всі вони пропонують відмовитися від сприйняття AI Governance як окремого набору внутрішніх документів, натомість у центрі уваги опиняється система операційного контролю, яка супроводжує використання штучного інтелекту протягом усього його життєвого циклу.

Це означає, що предметом управління стає вже не документ, а сама AI-система. Компанія повинна розуміти, які рішення використовуються, хто їх впровадив, які функції вони виконують, до яких даних мають доступ, які рішення можуть приймати самостійно та які бізнес-процеси підтримують, і лише після цього можна говорити про ефективне управління ризиками.

У такій моделі AI Governance поступово набуває рис, добре знайомих фахівцям з управління ризиками. З’являється необхідність вести реєстр AI-систем, визначати їх власників, класифікувати рішення за рівнем ризику, встановлювати допустимий рівень автономності, регулярно переглядати ризиковий профіль та оцінювати зміни після оновлень моделей або інтеграції нових функцій. Іншими словами, штучний інтелект починають управляти так само системно, як кредитним, операційним або кіберризиком.

Особливу увагу міжнародні експерти приділяють контролю повноважень AI. Якщо традиційні генеративні моделі переважно відповідали на запити користувачів, то сучасні AI-агенти дедалі частіше отримують можливість взаємодіяти з корпоративними системами. Вони можуть створювати документи, виконувати пошук інформації, запускати бізнес-процеси, взаємодіяти з іншими програмними сервісами, а в перспективі — ініціювати окремі управлінські рішення. У таких умовах питання «чи правильно відповідає модель?» поступово відходить на другий план. Значно важливішим стає питання «що саме їй дозволено робити?».

Сучасні системи AI Governance дедалі більше нагадують систему управління доступом до корпоративних ресурсів. Для кожної AI-системи необхідно визначити перелік дозволених функцій, межі автономності, джерела даних, які вона може використовувати, а також механізми оперативного блокування або обмеження її роботи у разі виявлення небажаної поведінки. Без таких інструментів навіть найдосконаліша політика залишатиметься декларацією.

AI Governance стає частиною корпоративного управління

Мабуть, найцікавіший висновок останніх місяців полягає в тому, що AI Governance поступово перестає бути окремим напрямом діяльності компанії. Воно дедалі глибше інтегрується у вже існуючі елементи системи корпоративного управління.

Питання використання AI вже неможливо вирішити лише силами ІТ-підрозділу або спеціально створеного комітету. Якщо система використовується під час андеррайтингу, до процесу повинні бути залучені власники цього бізнес-процесу. Якщо AI допомагає у врегулюванні збитків, відповідальність за контроль ризиків виникає у підрозділу врегулювання. Якщо агент отримує доступ до персональних даних клієнтів, необхідною стає участь інформаційної безпеки, комплаєнсу та юридичної служби.

Фактично AI Governance повторює той самий шлях, який свого часу пройшло управління операційним ризиком. На початковому етапі відповідальність часто концентрувалася в окремому підрозділі або комітеті. Згодом стало зрозуміло, що жодна функція управління ризиками не здатна самостійно контролювати всі процеси компанії. Реальне управління можливе лише тоді, коли власники бізнес-процесів відповідають за ризики у своїх сферах діяльності, а функція управління ризиками формує методологію, координує процес і здійснює незалежний контроль.

Схожа трансформація відбувається сьогодні й у сфері AI Governance. Поступово стає очевидним, що окрема AI Policy або навіть спеціалізований AI Committee не можуть ефективно управляти технологією, яка інтегрується практично в усі бізнес-процеси. Управління штучним інтелектом стає складовою корпоративного управління, а не окремою функцією.

Що це означає для українського страховика?

Хоча більшість міжнародних публікацій присвячена великим фінансовим установам, висновки, які вони містять, однаково актуальні й для українських страховиків. Причина проста: штучний інтелект дедалі швидше інтегрується у стандартне програмне забезпечення. Навіть якщо компанія не реалізує власні AI-проєкти, вона вже використовує або найближчим часом почне використовувати системи, у яких відповідні функції постачаються разом із продуктом.

Сьогодні доцільно поставити собі кілька практичних запитань. Чи знає компанія, які AI-функції вже використовуються її працівниками? Чи ведеться реєстр таких рішень? Чи визначено, які з них можуть впливати на прийняття страхових рішень, врегулювання збитків або взаємодію з клієнтами? Чи існує порядок погодження нових AI-інструментів до їх впровадження, а не після того, як вони вже стали частиною робочого процесу?

Не менш важливим є питання відповідальності. У багатьох організаціях AI Governance поки що сприймається як завдання ІТ-підрозділу або служби інформаційної безпеки. Проте міжнародна практика демонструє інший підхід. Якщо AI використовується під час андеррайтингу, відповідальність за належне використання технології має нести власник цього бізнес-процесу. Якщо AI допомагає у врегулюванні збитків, саме керівник відповідного підрозділу повинен розуміти, як працює система, які рішення вона підтримує та які ризики виникають у разі її помилки. Функція управління ризиками при цьому не перебирає на себе операційне управління, а забезпечує методологію, незалежну оцінку та координацію процесу.

Окремої уваги заслуговує ще одна обставина. Українські страховики поступово переходять на сучасні програмні продукти міжнародних розробників, які активно інтегрують генеративний AI та агентні функції. Це означає, що питання управління AI виникатиме навіть у тих компаніях, які не приймали спеціального рішення про його впровадження. Технологія приходить разом із черговим оновленням програмного забезпечення, і саме тому управління такими змінами має стати частиною загальної системи корпоративного управління.

Висновки

Останні міжнародні публікації свідчать про те, що AI Governance входить у новий етап розвитку. Якщо перші роки після появи генеративного штучного інтелекту були присвячені розробленню політик, етичних принципів і моделей корпоративного управління, то сьогодні увага дедалі більше зміщується до практичних механізмів контролю.

Головний висновок останніх місяців полягає не в тому, що внутрішні політики втратили свою цінність. Вони залишаються необхідною основою корпоративного управління, проте вони більше не можуть розглядатися як достатній інструмент управління ризиками. Документ визначає правила, але не забезпечує їх виконання. Реальний контроль виникає лише тоді, коли ці правила інтегровані в архітектуру інформаційних систем, бізнес-процеси, процедури прийняття рішень та механізми безперервного моніторингу.

AI Governance поступово перестає бути окремим напрямом діяльності. Воно інтегрується у вже існуючі системи корпоративного управління, операційного ризик-менеджменту, інформаційної безпеки, управління змінами, внутрішнього контролю та безперервності діяльності. Це природний етап розвитку будь-якої технології, яка перестає бути експериментом і стає невід’ємною частиною бізнесу.

Для українських страховиків це є важливим сигналом. Конкурентною перевагою найближчих років буде не кількість внутрішніх документів про використання штучного інтелекту, а здатність компанії керовано впроваджувати AI у свої бізнес-процеси, розуміти пов’язані з ним ризики та своєчасно реагувати на їх зміну. Саме ця здатність, а не наявність окремої AI Policy, дедалі більше визначатиме зрілість корпоративного управління в епоху штучного інтелекту.

Сергій БАБИЧ