Коли ми говоримо про корпоративне управління, майже вся увага традиційно зосереджується на відповідальності. Міжнародні стандарти детально визначають ролі учасників системи управління, розмежовують повноваження менеджменту, функції управління ризиками, комплаєнсу та внутрішнього аудиту, а також пояснюють, хто приймає рішення, хто здійснює контроль і хто надає незалежну впевненість Наглядовій раді. Такий підхід багато років залишався цілком достатнім, оскільки більшість управлінських рішень приймали люди, а розвиток ризиків, як правило, залишав час для їх аналізу, обговорення та реагування.

Поява автономних AI-систем поступово змінює цю логіку. Якщо алгоритм здатний самостійно приймати тисячі однотипних рішень або взаємодіяти з іншими інформаційними системами без участі людини, питання відповідальності нікуди не зникає, проте його вже недостатньо для ефективного управління. Організація повинна відповісти ще на одне, не менш важливе запитання: хто має право втрутитися, якщо поведінка системи виходить за межі очікуваної, і чи може це втручання відбутися до того, як наслідки стануть незворотними?

На перший погляд відповідь здається очевидною. Логічно припустити, що рішення про призупинення роботи AI повинно приймати керівництво компанії або принаймні власник бізнес-процесу, проте реальна практика виявляється значно складнішою. Якщо інцидент розвивається протягом хвилин, а для прийняття рішення необхідно зібрати інформацію, погодити дії між кількома підрозділами й отримати дозвіл керівництва, організація ризикує втратити найцінніший ресурс — час.

Ось чому AI Governance, на мою думку, поступово виходить за межі традиційної дискусії про ролі та відповідальність. У центрі уваги опиняється питання, яке ще кілька років тому майже не виникало: хто, за яких умов і в які строки має право змінити або зупинити роботу автономної системи?

 

Коли право втрутитися не визначене заздалегідь

Уявімо ситуацію, яка цілком може виникнути в банку. AI-модель автоматично аналізує кредитні заявки фізичних осіб, оцінює фінансовий стан позичальника, перевіряє кредитну історію та формує рішення про погодження або відмову в кредитуванні. Після одного з оновлень аналітик помічає нетипову зміну статистики: частка відмов різко зросла, причому переважно серед клієнтів із достатньо високою платоспроможністю. Перші перевірки показують, що модель почала надмірно «обережно» оцінювати окремі категорії заявників, хоча жодних змін у кредитній політиці банку не відбувалося.

Здавалося б, алгоритм дій очевидний: потрібно призупинити роботу моделі, перевірити причини відхилення та лише після цього відновити автоматичне прийняття рішень, проте виникає несподівана проблема: аналітик бачить відхилення, але не має повноважень втручатися в роботу системи, керівник підрозділу кредитування вважає, що питання потребує додаткової перевірки, ІТ-служба готова технічно вимкнути модель, але не має права робити це без офіційного рішення бізнес-підрозділу, функція управління ризиками погоджується, що ситуація потребує уваги, однак її роль полягає в оцінці ризиків, а не в оперативному управлінні процесом. Поки триває обмін повідомленнями, проводяться наради й уточнюються повноваження, AI продовжує працювати, а кількість необґрунтованих відмов щогодини збільшується.

Цей приклад цікавий тим, що в ньому практично неможливо знайти конкретного винуватця. Усі учасники процесу діють у межах своїх посадових обов’язків, дотримуються внутрішніх процедур і не перевищують наданих повноважень. Водночас організація втрачає можливість своєчасно вплинути на ситуацію не через відсутність контролю, а через те, що право оперативного втручання виявилося або невизначеним, або надмірно розпорошеним між кількома функціями.

І саме тут, на мою думку, виникає принципово нове питання для корпоративного управління. Протягом багатьох років ми детально визначали, хто відповідає за ризик, хто його контролює і хто перевіряє ефективність системи управління, однак майже не замислювалися над тим, хто повинен отримати право діяти негайно, якщо швидкість розвитку подій не залишає часу на звичайні процедури погодження.

 

Право втрутитися не завжди означає право зупинити

Розглянемо іншу ситуацію, цього разу зі страхової практики. Компанія використовує AI не для автоматичного врегулювання збитків, а для підтримки андеррайтингових рішень: модель аналізує десятки параметрів потенційного страхувальника, оцінює ймовірність збитку, рекомендує розмір страхової премії та звертає увагу андеррайтера на нетипові ризики. Формально остаточне рішення, як і раніше, приймає людина, тому може скластися враження, що жодних нових викликів для корпоративного управління тут не виникає.

Проте через кілька місяців аналітики помічають цікаву закономірність. Андеррайтери дедалі рідше відхиляють рекомендації AI, навіть у тих випадках, коли їхній власний професійний досвід підказує інше рішення. Поступово система перетворюється з інструмента підтримки на фактичного учасника процесу прийняття рішень, хоча жоден внутрішній документ цього не передбачав. Причина цілком зрозуміла: якщо модель у більшості випадків працює якісно, люди природно починають їй довіряти й дедалі рідше ставлять її висновки під сумнів.

Чи потрібно в такій ситуації вимикати AI? Очевидно, ні. Алгоритм працює коректно, не виходить за межі визначених параметрів і не створює очевидної загрози. Водночас організація вже стикається з іншим ризиком — поступовою втратою критичного мислення, коли формальне право людини приймати остаточне рішення зберігається, але фактично вона дедалі рідше ним користується.

Отже, втручання не завжди означає зупинку системи. Іноді достатньо тимчасово перевести окремі категорії рішень на ручний розгляд, переглянути встановлені порогові значення, посилити контроль за певними видами операцій або провести повторну перевірку якості роботи моделі. Іншими словами, корпоративне управління повинно мати не одну кнопку «Стоп», а цілий набір інструментів реагування, які дозволяють пропорційно відповісти на різні типи відхилень.

 

А якщо AI взагалі не помиляється?

Є ще складніша ситуація, яка вже сьогодні активно обговорюється серед фахівців із корпоративного управління. Уявімо, що AI працює бездоганно, його рішення статистично точніші за рішення людей, а всі показники ефективності підтверджують високу якість моделі, і здавалося б, причин для втручання немає.

Проте через певний час керівництво компанії помічає іншу тенденцію: працівники поступово перестають аналізувати складні випадки самостійно, оскільки звикають покладатися на рекомендації алгоритму, молоді фахівці вже не набувають практичного досвіду в тому обсязі, який мали їхні попередники, а найбільш досвідчені працівники дедалі рідше ставлять моделі незручні запитання, адже статистика переконливо свідчить про її високу точність.

На перший погляд це навіть можна вважати успіхом цифрової трансформації, однак виникає інша проблема. Якщо через кілька років організація зіткнеться з новою ситуацією, якої не було в навчальних даних моделі, чи залишаться в компанії люди, здатні незалежно оцінити її рекомендації? Інакше кажучи, чи не починає організація поступово втрачати власну професійну експертизу, передаючи дедалі більшу частину інтелектуальної роботи алгоритмам?

Цей приклад показує, що AI Governance виходить далеко за межі технічних питань. Йдеться вже не лише про надійність моделей або захист інформації, а й про збереження професійної компетентності організації, без якої будь-яке право втрутитися рано чи пізно стане формальністю, адже ніхто вже не зможе впевнено сказати, що система почала помилятися.

 

Право втрутитися повинно належати не посаді, а сценарію

Традиційно корпоративне управління будується навколо організаційної структури. Ми визначаємо, хто є власником ризику, хто здійснює контроль, хто погоджує рішення, а хто проводить незалежну оцінку ефективності всієї системи. Такий підхід добре працює доти, доки розвиток подій дозволяє пройти звичайний управлінський цикл, у якому кожне рішення приймається відповідно до службових повноважень і внутрішніх процедур.

Автономний AI поступово змінює цю логіку. Якщо інцидент розвивається протягом кількох хвилин, організація вже не може щоразу визначати, хто повинен прийняти рішення. Відповідь на це питання має існувати ще до того, як виникне проблема, причому вона повинна бути настільки ж чіткою, як план реагування на пожежу або процедура ліквідації наслідків кібератаки. Інакше дорогоцінний час буде втрачено не через технічні причини, а через спроби з’ясувати, хто має необхідні повноваження.

У цьому, на мою думку, і полягає одна з головних відмінностей AI Governance від багатьох традиційних моделей корпоративного управління. Організація повинна заздалегідь визначити не лише відповідальних осіб, а й перелік подій, після настання яких право на втручання виникає автоматично, іншими словами, першочергове значення має не посада конкретної людини, а сценарій розвитку подій, який запускає наперед погоджений механізм реагування.

Наприклад, страхова компанія може визначити, що автоматичне погодження виплат припиняється, якщо середній розмір відшкодування за певною категорією збитків за короткий проміжок часу відхиляється від історичних значень більше ніж на встановлений поріг. Банк може передбачити автоматичний перегляд рішень AI, якщо частка відмов у кредитуванні певної групи клієнтів починає різко зростати без очевидних економічних причин. Онлайн-платформа може встановити правило, за яким алгоритм ціноутворення негайно переводиться в режим ручного контролю після досягнення визначених меж коливання цін. У кожному з цих випадків організація не витрачає час на обговорення того, чи потрібно втручатися, вона заздалегідь домовилася про умови, за яких втручання стає обов’язковим.

На мою думку, такий підхід поступово стане новою практикою корпоративного управління. Ми не можемо передбачити всі можливі помилки автономних систем, але цілком здатні визначити ознаки їх нетипової поведінки й заздалегідь погодити порядок дій, який буде автоматично активований після появи таких ознак. Тоді дискусія переноситься з питання «хто має право натиснути кнопку «Стоп»» на значно важливіше питання: «За яких умов ця кнопка повинна бути натиснута?»

 

Висновки

Дискусія про AI Governance сьогодні здебільшого зосереджена навколо моделей штучного інтелекту, якості даних, прозорості алгоритмів, етичних принципів та вимог регуляторів. Усі ці питання, безумовно, залишаються надзвичайно важливими, проте наведені приклади свідчать про інше: розвиток автономних AI-систем поступово змінює не лише технології, а й фундаментальні принципи корпоративного управління.

Протягом десятиліть ми вдосконалювали архітектуру відповідальності, визначаючи власників ризиків, розподіляючи повноваження між першою, другою та третьою лініями, розробляючи політики, процедури та механізми незалежного контролю. Усі ці елементи залишаються необхідними й сьогодні, однак вони вже не вичерпують усіх вимог до ефективного управління, якщо окремі рішення приймаються алгоритмами із швидкістю, яка суттєво перевищує швидкість традиційних управлінських процедур.

Як на мене, корпоративне управління поступово входить у новий етап свого розвитку, коли організаціям доведеться проєктувати не лише систему відповідальності, а й систему оперативного втручання. Це означає, що поряд із відповіддю на питання «хто відповідає?» дедалі більшого значення набуватимуть інші питання: за яких умов втручання стає обов’язковим, хто має право його ініціювати, які дії можуть бути виконані без додаткових погоджень і як забезпечити, щоб уся ця система працювала зі швидкістю розвитку ризику, а не зі швидкістю внутрішнього документообігу.

Можливо, через кілька років ми вже не будемо оцінювати якість AI Governance лише за наявністю політик, комітетів або розподілу ролей, оскільки значно важливішим стане інше: чи здатна організація своєчасно побачити, що автономна система почала поводитися не так, як очікувалося, і чи має вона механізми, які дозволять негайно втрутитися, не порушуючи принципів корпоративного управління та не створюючи нових ризиків.

На мій погляд, професійна дискусія найближчих років поступово зміщуватиметься від питання «Хто відповідає за AI?» до значно складнішого питання: «Чи готове корпоративне управління діяти зі швидкістю, з якою сьогодні розвиваються ризики?», і якщо відповідь на це питання поки що не є очевидною, то це означає тільки одне — ми стоїмо лише на початку нового етапу розвитку AI Governance.

 

Сергій БАБИЧ