Нова публікація McKinsey «Governing AI with intention in the social impact sector» дає цікавий привід подивитися на проблему управління штучним інтелектом дещо ширше. Технологія розвивається настільки швидко, що для багатьох організацій головною проблемою стає вже не доступ до нових рішень і навіть не пошук сфер їх застосування, а здатність системи корпоративного управління, ризик-менеджменту та внутрішнього контролю розвиватися з тією ж швидкістю.

Штучний інтелект розвивається настільки швидко, що для багатьох організацій головною проблемою стає вже не доступ до нових технологій і навіть не пошук сфер їх застосування. Дедалі складніше забезпечити, щоб система корпоративного управління, ризик-менеджменту та внутрішнього контролю розвивалася з тією ж швидкістю, і в результаті виникає парадоксальна ситуація: організація технічно готова використовувати нові можливості ШІ, але ще не визначила, хто відповідає за пов’язані з ними ризики, які рішення може приймати система самостійно, де потрібне втручання людини і як контролювати результати її роботи.

Цей огляд підготовлено на основі опублікованого 17 серпня 2026 року інтерв’ю McKinsey «Governing AI with intention in the social impact sector», у якому Cécile Prinsen та Daniel Wallance обговорюють відповідальне впровадження штучного інтелекту, управління його ризиками та майбутнє ШІ-агентів. Хоча публікація присвячена передусім організаціям соціального сектору, більшість порушених у ній питань має значно ширше значення, — йдеться фактично про нову архітектуру корпоративного управління, яка буде потрібна будь-якій організації, що переходить від окремих експериментів із ШІ до його системного використання.

Довіра до ШІ — не обмеження, а умова його використання

Одна з центральних тез McKinsey полягає в тому, що довіра до штучного інтелекту не повинна розглядатися як додаткове обмеження для технологічного розвитку, а навпаки, без відповідального використання ШІ, належного управління системами та контролю пов’язаних із ними ризиків організація просто не зможе повною мірою скористатися можливостями нової технології. Автори називають довіру до ШІ своєрідним «множником» ефекту: недостатньо мати якісну технологію, дані та підготовлених працівників, якщо організація не впевнена у надійності результатів і не розуміє, хто відповідає за прийняті рішення.

Для забезпечення такої довіри пропонується п’ять взаємопов’язаних складових. Перша — стратегія, яка визначає принципи використання ШІ, перелік основних ризиків, допустимий їх рівень і відповідальність за управління ними. Друга — ризик-менеджмент, включно з управлінням ризиками третіх сторін, оскільки більшість організацій використовує зовнішні моделі, програмні інтерфейси, дані та технологічні рішення. Третя складова охоплює технології та дані, зокрема їх якість, можливі упередження та необхідні технічні засоби контролю. Четверта — корпоративне управління і розподіл відповідальності. П’яту складову McKinsey виділяє окремо — управління ШІ-агентами, які вже не просто генерують інформацію, а можуть приймати рішення та виконувати певні дії.

Це розмежування має принципове значення для ризик-менеджменту. Традиційний генеративний ШІ переважно створює результат, який потім оцінює людина. Агентна модель поступово змінює цю конструкцію: система отримує певну мету, планує послідовність дій, взаємодіє з іншими системами та виконує завдання з різним ступенем автономності, при цьому відповідно змінюється і природа ризику — від ризику помилкової відповіді ми переходимо до ризику помилкової дії.

Чим більше автономності — тим іншим має бути контроль

Автори пропонують розглядати ШІ-агентів як певний спектр. На одному його кінці перебувають агенти, які здійснюють пошук інформації, дослідження та готують структурований результат для людини, а на іншому — системи, здатні автономно виконувати завдання, які раніше виконували працівники. Відмінність між ними полягає не лише у технологічній складності, оскільки кожен рівень автономності формує інший профіль ризику і, відповідно, потребує іншого набору засобів контролю.

Для ризик-менеджера тут простежується добре знайома логіка: контроль повинен відповідати ризику. Немає сенсу застосовувати однаково складні процедури до внутрішнього агента, який допомагає працівникові знайти інформацію, і до системи, яка самостійно взаємодіє з клієнтом, використовує його дані або виконує операції від імені організації, тому універсальна політика використання ШІ може бути лише початковим елементом системи. Далі потрібна класифікація сценаріїв використання за рівнем ризику, визначення допустимого рівня автономності, відповідних засобів контролю та випадків, коли рішення обов’язково має залишатися за людиною.

Звідси виникає ще одна важлива тема — межі використання ШІ. McKinsey звертає увагу на поширення спеціальних кодексів поведінки, у яких організації визначають не лише дозволені способи використання технології, а й ситуації, де від неї свідомо відмовляються. До таких правил можуть входити вимоги щодо обов’язкового людського контролю або інформування про використання створеного ШІ контенту. Фактично йдеться про визначення ризик-апетиту щодо ШІ: що організація готова делегувати технології, за яких умов і яку межу автономності вона вважає неприйнятною.

Від окремих агентів — до багатоагентних систем

Одна з найбільш цікавих частин публікації стосується наступного етапу розвитку технології — багатоагентних систем. Замість одного універсального інструменту організація може використовувати кілька спеціалізованих агентів, кожен із яких виконуватиме власне завдання, а окремий агент координуватиме їхню роботу. У наведеному McKinsey прикладі один агент може бронювати місце проведення заходу, інший — організовувати харчування, третій — працювати з учасниками, а координуючий агент управлятиме всім процесом.

Для ризик-менеджменту це означає появу нового рівня складності. Якщо результат сформований не одним алгоритмом, а послідовністю взаємодій кількох автономних систем, традиційне питання «хто прийняв рішення?» стає значно складнішим, і тут потрібно розуміти, який агент ініціював дію, які дані використовувалися, як передавалася інформація між системами, де були встановлені контрольні точки і хто мав право зупинити процес. Відповідно зростає значення журналювання дій, простежуваності рішень, розмежування повноважень та чітко визначених процедур втручання людини.

McKinsey при цьому не пропонує модель повністю автономної організації, а навпаки, у прикладах зберігаються контрольні точки: перед укладенням угоди чи виконанням важливої дії потрібне погодження людини. Такий підхід дозволяє побачити можливу майбутню модель корпоративного управління: людина вже не виконує кожну операцію, але визначає правила, межі автономності та рішення, які технологія не може прийняти без її участі.

Коли корпоративне управління стає «вузьким місцем»

Найважливішою для ризик-менеджменту є, мабуть, заключна частина інтерв’ю. Автори прямо говорять про розрив між швидкістю розвитку ШІ та швидкістю розвитку систем корпоративного управління. За їхніми спостереженнями, цей розрив уже починає перешкоджати впровадженню нових технологій: організація має готовий сценарій використання ШІ, але не може перейти до практичної реалізації, оскільки ще не визначила, як ним управляти.

Це принципово змінює традиційне уявлення про співвідношення інновацій і контролю. Зазвичай ризик-менеджмент сприймається як механізм, який має стримувати надмірний ризик, але недостатньо розвинена система управління також може створювати ризик — уже у вигляді втраченої можливості. Якщо погодження нового рішення триває довше, ніж технологічний цикл його розвитку, організація може програти конкурентам не через відсутність технологій, а через нездатність достатньо швидко приймати обґрунтовані рішення щодо їх використання.

Відповідь McKinsey полягає не у послабленні контролю, а в його калібруванні відповідно до фактичної зрілості використання ШІ. Організації, яка лише проводить внутрішні експерименти, не потрібна така сама складна система, як компанії, де автономні агенти безпосередньо взаємодіють із клієнтами, ось чому корпоративне управління повинно будуватися паралельно з розвитком технології, залишатися практичним і ризик-орієнтованим та ускладнюватися разом зі зростанням реального ризику.

Українські реалії: технологія вже рухається, система управління ще формується

Для України ця дискусія має особливе значення. Розвиток практичного використання ШІ відбувається паралельно з формуванням державної політики та нормативних підходів до його регулювання. У червні 2026 року Міністерство цифрової трансформації винесло на громадське обговорення проєкт Стратегії розвитку штучного інтелекту в Україні до 2030 року та операційний план на 2026–2028 роки, метою якого визначено формування цілісного стратегічного державного підходу до впровадження та розвитку ШІ, а серед пріоритетних напрямів названо державне управління, цифрові послуги, освіту, охорону здоров’я та оборону.

Україна вже реалізує поступовий підхід до майбутнього регулювання ШІ: опубліковано Білу книгу, розроблено рекомендації щодо відповідального використання технології, започатковано добровільний кодекс поведінки, запущено Sandbox для тестування ШІ- та блокчейн-рішень. Наступним етапом має стати законодавче регулювання: чинний урядовий план передбачає у IV кварталі 2026 року розроблення та подання Кабінету Міністрів законопроєкту щодо правового врегулювання у сфері розвитку штучного інтелекту. Таким чином, нормативна архітектура ще формується, тоді як практичне впровадження технології вже є одним із напрямів державної політики.

І тут висновки McKinsey набувають для України практичного змісту. Головний ризик полягає не лише в можливому відставанні нормативного регулювання від розвитку технології, оскільки законодавство не здатне передбачити кожний конкретний сценарій використання ШІ у страховій компанії, банку, державному органі чи іншій організації. Значна частина рішень неминуче залишатиметься на рівні корпоративного управління: хто дозволяє використання конкретної системи, хто оцінює її ризики, які дані їй можна передавати, які рішення вона може приймати, де потрібна участь людини і хто відповідає за наслідки помилки.

Для українського фінансового сектору це означає, що очікування завершення формування всього нормативного поля навряд чи може бути достатньою стратегією управління ризиками ШІ. Ризик-орієнтований підхід у такій ситуації означає не створення максимально складної системи контролю наперед, а визначення правил відповідно до фактичного масштабу, автономності та потенційних наслідків кожного сценарію використання.

Управління повинно розвиватися разом із технологією

Публікація McKinsey цікава тим, що фактично змінює постановку питання. Дискусія вже не зводиться до того, потрібне чи не потрібне регулювання штучного інтелекту, —  питання полягає в тому, як побудувати систему управління, яка одночасно контролює ризик і не стає перешкодою для використання технології.

Для ризик-менеджерів це знайома дилема: якісний ризик-менеджмент не повинен ані безумовно дозволяти ризиковані рішення, ані автоматично їх блокувати, оскільки його завдання — створити умови, за яких організація розуміє ризик, визначає його допустимий рівень, встановлює необхідні засоби контролю та приймає усвідомлене рішення. Штучний інтелект не змінює цього принципу, але значно підвищує вимоги до швидкості його практичної реалізації.

Тому одним із головних ризиків найближчих років може стати не відсутність політики щодо ШІ, а розрив між швидкістю розвитку технології та здатністю організації нею управляти. Якщо технологія випереджає систему контролю, організація отримує некерований ризик. Якщо система управління безнадійно відстає або стає надмірно громіздкою, організація втрачає можливості. Зрілість управління ШІ, вочевидь, визначатиметься здатністю утримувати баланс між цими двома крайнощами.

Докладніше за посиланням

Сергій БАБИЧ