Упродовж останніх двох років штучний інтелект став, мабуть, найбільш обговорюваною технологією у світі. Бізнес захоплено обговорював нові можливості, консультанти прогнозували кардинальну зміну цілих галузей економіки, а компанії одна за одною повідомляли про запуск AI-проєктів, намагаючись не відстати від нового технологічного тренду. Здавалося, що головне питання полягає лише в тому, хто швидше інтегрує штучний інтелект у свої бізнес-процеси і зможе отримати конкурентну перевагу.
Проте останні місяці показують, що світовий порядок денний починає досить швидко змінюватися. Якщо ще рік тому більшість професійних конференцій була присвячена можливостям AI, то сьогодні дедалі частіше обговорюються зовсім інші питання: хто відповідає за рішення, які ухвалює штучний інтелект, яким чином контролювати його поведінку після впровадження, як оцінювати нові ризики, хто має право втрутитися в роботу автономної системи і за яких умов це потрібно зробити. Іншими словами, центр уваги поступово зміщується від самої технології до якості корпоративного управління.
Ця зміна не є випадковою, оскільки простежується практично одночасно в діяльності найбільших страховиків, міжнародних брокерів, рейтингових агентств, банків і професійних об’єднань. Компанії, які ще недавно демонстрували переваги генеративного AI, сьогодні створюють центри компетенцій з управління AI-ризиками, розробляють нові методики їх оцінювання, переглядають підходи до внутрішнього контролю і навіть формують нові моделі взаємодії між ризик-менеджментом, комплаєнсом, внутрішнім аудитом та ІТ-підрозділами. Складається враження, що ми стаємо свідками не чергової хвилі розвитку технологій, а початку нового етапу еволюції корпоративного управління.
На мій погляд, це одна з найважливіших тенденцій, яка сьогодні формується у сучасному ризик-менеджменті, адже вперше за багато років професійна дискусія поступово переходить від запитання «Що може AI?» до значно складнішого запитання: «Як компанія повинна управляти AI, щоб довіряти його рішенням?».
Від ейфорії до відповідальності: що змінилося лише за один рік
Якщо уважно проаналізувати міжнародні професійні публікації за останні дванадцять-вісімнадцять місяців, можна побачити досить цікаву закономірність. Ще зовсім недавно більшість матеріалів була присвячена продуктивності генеративного AI, новим бізнес-моделям, економічному ефекту від автоматизації та швидкому впровадженню мовних моделей у діяльність компаній, при цьому ризики також згадувалися, але переважно як один із багатьох факторів, які необхідно враховувати під час цифрової трансформації.
Сьогодні інформаційний порядок денний виглядає зовсім інакше, оскільки практично кожного тижня з’являються повідомлення про створення нових механізмів управління AI-ризиками, спеціалізованих центрів компетенцій, галузевих ініціатив або інструментів оцінювання корпоративної готовності до використання штучного інтелекту. При цьому цікаво не стільки кожне окреме повідомлення, скільки їхня сукупність, оскільки всі вони, незалежно від галузі чи країни, демонструють один і той самий напрям розвитку.
Характерним прикладом стала поява AI Risk Analyzer, представленого міжнародним брокером Aon. На перший погляд це може виглядати як ще один консультаційний продукт, однак його поява свідчить про значно глибшу зміну, і якщо раніше страховий ринок намагався відповісти на запитання, чи можна застрахувати ризики, пов’язані зі штучним інтелектом, то сьогодні дедалі важливішим стає інше питання — наскільки зрілою є система управління AI-ризиками у потенційного страхувальника. Фактично страховики починають оцінювати не лише ризик події, а й здатність компанії ефективно управляти цією подією ще до її виникнення.
Не менш показовим є підхід Allianz, яка оголосила про створення спеціалізованого AI Claims Center of Excellence. Ще кілька років тому подібна ініціатива, найімовірніше, концентрувалася б навколо автоматизації врегулювання збитків або підвищення продуктивності працівників, сьогодні ж акцент зміщується в інший бік — забезпечення контролю за використанням AI, розроблення єдиних підходів до його застосування і накопичення експертизи, яка дозволяє оцінювати не лише ефективність технології, а й ризики, що виникають у процесі її використання.
Не менш важливими є й сигнали, які надходять поза страховим сектором. Moody’s звертає увагу на новий тип концентраційного ризику, пов’язаного зі зростаючою залежністю фінансових установ від обмеженої кількості великих постачальників AI-рішень, тоді як JPMorgan ініціює міжгалузеву співпрацю для вироблення підходів до управління такими ризиками. Ще кілька років тому подібні теми навряд чи опинилися б у центрі уваги найбільших фінансових організацій світу, проте сьогодні вони дедалі частіше визначають зміст професійних дискусій.
На мій погляд, усі ці приклади демонструють одну й ту саму тенденцію: світ перестає сприймати штучний інтелект виключно як нову технологію і починає розглядати його як новий об’єкт корпоративного управління, для якого вже недостатньо традиційних підходів до внутрішнього контролю, комплаєнсу або ризик-менеджменту, і це означає, що головною конкурентною перевагою найближчих років стане не швидкість упровадження AI, а здатність організації довести, що вона вміє ним управляти.
Від управління AI-ризиками до управління AI: нова роль корпоративного управління
Якщо уважніше придивитися до наведених прикладів, можна помітити ще одну зміну, яка, на мою думку, є навіть важливішою за появу нових інструментів оцінювання або спеціалізованих центрів компетенцій. Усі вони демонструють, що професійна дискусія поступово відходить від традиційного розуміння AI-ризиків як ще однієї категорії технологічних ризиків і починає розглядати штучний інтелект як об’єкт корпоративного управління, для якого необхідно визначити відповідальність, механізми контролю, порядок прийняття рішень і правила втручання в його роботу. Інакше кажучи, питання вже полягає не в тому, чи створює AI нові ризики, а в тому, чи готова система корпоративного управління працювати в умовах, коли окремі рішення дедалі частіше приймаються алгоритмами.
Саме тому останнім часом у професійній літературі дедалі рідше зустрічаються дискусії про точність мовних моделей або швидкість їх навчання, натомість усе частіше обговорюються такі поняття, як AI Governance, Human Oversight, Human-in-the-Loop (участь людини у процесі прийняття рішень), Intervention Rights, Continuous Monitoring, Independent Assurance. На перший погляд може здатися, що йдеться лише про нову термінологію, однак за цими поняттями приховується принципово інший підхід до управління ризиками, який поступово змінює архітектуру корпоративного управління.
Досить показовою є ситуація, яка вже сьогодні виникає у фінансовому секторі: банк використовує AI для автоматичного аналізу кредитних заявок, страхова компанія — для первинної оцінки страхових випадків, а велика логістична компанія — для управління ланцюгами постачання. У кожному з цих прикладів алгоритм може працювати швидше за людину, аналізувати значно більші обсяги інформації і приймати рішення за частки секунди, проте виникає інше запитання: хто і за яких умов повинен втрутитися, якщо поведінка моделі починає відхилятися від очікуваної? Відповідь уже не може обмежуватися словами «це відповідальність ІТ-підрозділу» або «це питання ризик-менеджменту», оскільки проблема стосується всієї системи корпоративного управління.
Цю тенденцію добре ілюструє й розвиток міжнародних професійних стандартів. Інститут внутрішніх аудиторів (IIA), COSO, міжнародні консультанти та провідні фінансові організації дедалі частіше говорять не про створення окремої системи управління AI-ризиками, а про інтеграцію нових механізмів контролю до вже існуючих моделей корпоративного управління, трьох ліній, систем внутрішнього контролю і процесів управління ризиками. Такий підхід виглядає цілком логічним, оскільки AI не замінює корпоративне управління, а лише висуває до нього нові вимоги.
На мій погляд, ця зміна є головною тенденцією останнього року. Світ перестає будувати окремі механізми для управління штучним інтелектом і дедалі більше інтегрує його до вже існуючої архітектури управління ризиками, внутрішнього контролю і корпоративного управління, ¾ все це значно складніше завдання, ніж створення нової політики або призначення відповідального працівника, проте саме воно визначатиме зрілість організацій у найближчі роки.
Що це означає для українських компаній
На перший погляд може скластися враження, що всі ці процеси стосуються лише найбільших міжнародних корпорацій, які інвестують сотні мільйонів доларів у розвиток штучного інтелекту, тоді як для більшості українських компаній подібні питання поки що не є пріоритетними. Насправді ситуація виглядає зовсім інакше, оскільки генеративний AI уже використовується для підготовки договорів, аналізу документів, створення програмного коду, роботи з клієнтськими зверненнями, маркетингових кампаній, підготовки управлінської звітності та десятків інших повсякденних завдань, причому в багатьох випадках це відбувається без окремих корпоративних політик, без оцінки ризиків і навіть без повного розуміння керівництвом масштабів такого використання.
Уявімо цілком реалістичну ситуацію. Працівники юридичного департаменту використовують генеративний AI для підготовки проєктів договорів, маркетинговий підрозділ — для створення рекламних матеріалів, служба підтримки клієнтів — для формування відповідей на типові запити, а ІТ-фахівці — для написання програмного коду. Кожне з цих рішень окремо може бути цілком виправданим і навіть економічно ефективним, однак у певний момент Правління цілком закономірно може поставити запитання: які саме AI-системи використовуються в компанії, які дані до них передаються, хто перевіряє правильність отриманих результатів, хто має право затвердити їх використання в бізнес-процесах і хто нестиме відповідальність, якщо алгоритм припуститься критичної помилки? Мій особистий досвід показує, що саме на цьому етапі багато організацій уперше усвідомлюють: проблема полягає не у відсутності технології, а у відсутності системи управління нею.
На мою думку, українським компаніям уже сьогодні варто починати не з придбання нових AI-рішень, а з відповідей на значно простіші запитання: Які процеси вже використовують штучний інтелект? Які рішення можуть ухвалюватися автоматично, а які повинні обов’язково залишатися під контролем людини? Хто має право призупинити використання AI, якщо виникають сумніви щодо правильності його роботи? Яким чином документуються зміни моделей і хто перевіряє їхній вплив на бізнес? Відповіді на ці запитання дедалі більше визначатимуть не лише якість корпоративного управління, а й довіру клієнтів, партнерів, регуляторів і страховиків до компанії.
І якщо ще зовсім недавно конкурентною перевагою вважалася швидкість упровадження штучного інтелекту, то найближчими роками дедалі більшого значення набуватиме здатність організації довести, що вона контролює його використання, розуміє пов’язані з ним ризики і здатна своєчасно втрутитися, коли цього вимагатиме ситуація.
Висновки: ми спостерігаємо не черговий технологічний тренд, а зміну архітектури корпоративного управління
Ще кілька років тому більшість дискусій про штучний інтелект розвивалися приблизно за однаковим сценарієм. Одні говорили про безпрецедентні можливості нової технології, інші — про потенційні ризики, треті намагалися оцінити її вплив на ринок праці, економіку або окремі професії. Усі ці питання залишаються актуальними й сьогодні, проте вони вже перестають бути головними, але поступово формується інший порядок денний, у центрі якого перебуває не штучний інтелект як технологія, а здатність організації управляти ним так само системно, як вона управляє фінансовими, операційними або комплаєнс-ризиками.
На користь такого висновку свідчать не окремі заяви експертів, а ціла низка подій, що відбулися протягом останнього року: Aon пропонує інструменти оцінювання зрілості AI-ризиків, Allianz створює спеціалізований центр компетенцій, Moody’s звертає увагу на концентрацію критичної залежності від кількох глобальних AI-провайдерів, JPMorgan ініціює міжгалузеву співпрацю щодо управління AI-ризиками, професійні організації переглядають роль внутрішнього аудиту, систем внутрішнього контролю і трьох ліній у нових умовах. Кожна з цих новин сама по собі виглядає важливою, проте лише разом вони дозволяють побачити головне — світ переходить від етапу впровадження AI до етапу побудови інституційної системи управління його використанням.
Для ризик-менеджерів це означає появу принципово нового напряму роботи. Якщо раніше основним завданням було виявити новий ризик і оцінити його потенційний вплив, то тепер дедалі більшого значення набуває аналіз того, наскільки існуюча система корпоративного управління взагалі здатна працювати в середовищі, де рішення дедалі частіше приймаються або пропонуються алгоритмами. Це вже питання не окремої політики щодо AI і не нового контрольного листа для внутрішнього аудиту, йдеться про перегляд ролей, повноважень, процедур ескалації, механізмів контролю, підходів до моніторингу і навіть принципів прийняття управлінських рішень.
На мою думку, найближчими роками саме цей напрям стане одним із ключових для професійної спільноти ризик-менеджерів. Ми вже бачимо перші ознаки того, що міжнародні стандарти, професійні рекомендації та галузеві практики починають рухатися до інтеграції AI в існуючу систему корпоративного управління, а не до створення паралельної моделі управління новою технологією, і це означає, що успішними будуть не ті організації, які першими впровадять чергову мовну модель або автономного AI-агента, а ті, які першими навчаться ефективно керувати їх використанням.
Історія корпоративного управління неодноразово демонструвала одну й ту саму закономірність: спочатку з’являється нова технологія, потім бізнес починає масово її використовувати, а вже після цього формується система правил, контролів і відповідальності. Зі штучним інтелектом цей процес відбувається значно швидше, але його логіка залишається незмінною. Сьогодні ми, ймовірно, спостерігаємо початок нового етапу, коли конкурентною перевагою стає не здатність використовувати AI, а здатність довести клієнтам, акціонерам, регуляторам і страховикам, що організація вміє управляти ризиками, які він створює.
Сергій БАБИЧ