Короткий ответ
Аудит внедрения ИИ — структурный разбор того, где компания теряет время, какие данные и люди нужны для исправления и какие риски при этом возникают. Итог — короткий список первых задач с оценкой усилий. Словарь дают NIST, ОЭСР и ЕС, а сама работа — карта ваших собственных процессов.
Что смотрит аудит внедрения ИИ в небольшой компании
Аудит внедрения ИИ отвечает на один простой вопрос: где ИИ сэкономит этой компании реальное время и что нужно, чтобы сделать это безопасно. Это разбор, а не сертификат. Проходного балла никто не выставляет. Итог — короткий документ: какие задачи подходят, какие нет и что каждой потребуется в данных, людях и внимании.
Словарь разбору дают открытые стандарты. Американский институт стандартов NIST опубликовал свою рамку управления рисками ИИ 26 января 2023 года и называет её предназначенной для добровольного использования. ОЭСР приняла принципы по ИИ в 2019 году и обновила в 2024-м. Малой компании не нужно внедрять их целиком: достаточно взять заданные там вопросы и применить к своим нескольким процессам.
Шаг первый: картируем процессы, которые съедают часы
В рамке NIST четыре функции: управление, картирование, измерение и реагирование. На странице самого NIST сказано, что эти действия не образуют чек-лист и не обязательно идут по порядку, а большинство начинает с картирования. Оно, по словам NIST, задаёт контекст: предполагаемое применение системы и возможные последствия, на чём строится первое решение, стоит ли вообще продолжать. Тот же порядок подходит и компании.
Начните с таблицы повторяющихся задач по отделам. Для каждой запишите, кто её делает, как часто, сколько времени уходит, что приходит на вход и что выходит. Спрашивайте исполнителей, потому что руководители описывают процесс, а сотрудники — то, как всё происходит на деле. Одной недели заметок от трёх-четырёх человек обычно хватает, чтобы увидеть закономерность: перенос данных между системами, один и тот же ответ, набранный в десятый раз, отчёты, собираемые вручную.
Шаг второй: смотрим, какие данные нужны каждой задаче
Задача годится в кандидаты, только если нужные сведения существуют в удобном виде. Для каждой отметьте, где они лежат: общий диск, почта, таблица, чья-то голова. Проверьте, актуальны ли они, не противоречат ли друг другу два источника и кому их разрешено видеть. Если процесс держится на знании, которое никто не записал, сначала его нужно описать, и только потом любой инструмент поможет.
Персональным данным нужна отдельная графа. Если задача затрагивает записи о клиентах или сотрудниках, пометьте её и вынесите отдельным вопросом юристу или специалисту по защите данных: ответ зависит от вашей страны и договоров. Аудит этого не решает. Он следит, чтобы вопрос прозвучал до выбора инструмента, а не после.
Шаг третий: сортируем риски раньше, чем инструменты
Европейская комиссия описывает закон об ИИ как рамку на основе риска с четырьмя уровнями. Системы, угрожающие безопасности или правам, запрещены. Применение в таких областях, как трудоустройство, образование и базовые услуги, относят к высокому риску со строгими обязанностями. Чат-боты и подобные системы подпадают под правила прозрачности: человек должен знать, что общается с ИИ. По словам Комиссии, большая часть используемого сегодня ИИ, например спам-фильтры, несёт минимальный риск и особых правил не имеет.
Эта лестница — удобный фильтр, а не юридическое заключение. Отметьте у каждой задачи уровень, которого она может касаться: составление внутренних сводок далеко от отбора кандидатов на работу. Принципы ОЭСР добавляют вопросы для каждого случая: можно ли объяснить результат, надёжна и безопасна ли система, кто отвечает, если она ошиблась. Там, где задача может повлиять на работу человека, кредит или доступ к услуге, перед разработкой нужна проверка специалиста.
Шаг четвёртый: выбираем первые пять задач и ранжируем
Оцените каждого кандидата по пяти простым вопросам. Сколько часов в месяц задача занимает у всей команды. Во сколько обходится ошибка. Готовы ли данные. Насколько чувствителен класс риска из третьего шага. Можно ли быстро проверить результат человеком. Задача с большим числом часов, дешёвыми ошибками, готовыми данными и лёгкой проверкой идёт наверх, а задача с малым числом часов и дорогой ошибкой — вниз, как бы модно она ни звучала.
Оставьте пять, остальные отложите. Пяти хватит на квартал работы, и их достаточно мало, чтобы довести до конца. Запишите каждую фразой, которую коллега сможет проверить: превращать входящие обращения в три строки и категорию, чтобы человек отвечал меньше чем за минуту. Если проверку написать не получается, задача ещё не определена настолько, чтобы её делать.
Шаг пятый: честно оцениваем трудозатраты вместе с проверкой
По каждой из пяти оцените три вида усилий: создание, проверку и поддержку. Первое называют поставщики. Второе забывают, хотя NIST пишет, что системы нужно испытывать до запуска и регулярно во время работы. Третье — постоянная цена перемен: меняются запросы, документы и инструменты. Задача, которая экономит четыре часа в неделю и требует трёх часов еженедельной проверки, ничего не экономит.
Записывайте трудозатраты диапазонами и называйте то, что их изменит. Не выдумывайте экономию, которую нечем подтвердить, и не обещайте её самим себе. Добавьте по строке на случай сбоя: кто заметит, как быстро и каков запасной путь. Функция NIST «реагирование» посвящена именно этому: действиям при инцидентах, восстановлению и информированию.
Затем задайте порядок. Обычно первая задача дешёвая, малорисковая и легко проверяется: ранний успех учит команду работать с инструментом. Ясное «нет» — тоже результат. Отказаться от задачи после разбора стоит один вечер, а узнать о её непригодности посреди разработки — целый проект.
Где ошибаются самодельные аудиты
Чаще всего начинают с инструмента, а не с задачи: команда выбирает продукт, а потом ищет, чем его занять. Второй промах — список желаний без ранжирования, который превращается в очередь, никогда не заканчивающуюся. Третий — опрос одних руководителей, из-за чего карта не видит настоящей работы. Четвёртый — пропуск граф о данных и рисках, потому что они похожи на бумажную работу.
NIST отмечает, что его рамка пересматривается, а сопутствующее руководство добровольно и не является списком требований, и это напоминание о том, что никакой документ не заменяет суждение. Помогает и второй взгляд по простой причине: посторонний спрашивает, зачем нужен тот или иной шаг, и половина экономии находится именно в этом вопросе.
Что подготовить перед заказом аудита ИИ
Подготовьте короткий список из десяти задач, на которые команда жалуется чаще всего, с примерным временем в неделю на каждую. Назовите по одному человеку на задачу, кто знает, как она устроена на самом деле. Решите, в каких системах лежат данные и кому разрешено их открывать. Принесите правила, которых вы уже придерживаетесь в работе с данными клиентов. Это вечер работы, а аудит от неё становится точнее, и смета — тоже.
Студия VITON13 продаёт эту работу пакетом «ИИ-аудит: где он экономит часы». Вы получаете карту основных процессов, пять главных возможностей с трудозатратами, инструментами и рисками для каждой и предлагаемый порядок старта. До оплаты студия полностью описывает первые две возможности, чтобы вы увидели степень детализации на материале своего бизнеса.
Фиксированная цена — 53 $, работа занимает 3–5 рабочих дней. Экономия аудитом не обещается, потому что она зависит от того, как вы работаете и что решите построить; вы получаете упорядоченный список с оценкой затрат, по которому можно решать. Точные условия — на странице пакета и на странице бесплатного черновика.
Практический чеклист
- Составьте список десяти задач, которые занимают больше всего часов, и оцените время в неделю.
- Расспросите тех, кто делает работу, а не только руководителей: как задача идёт на самом деле.
- Для каждой задачи отметьте, где лежат данные, насколько они свежие и кому их можно открывать.
- Пометьте задачи с персональными данными или решениями о людях для проверки специалистом.
- Расставьте кандидатов по порядку и запишите первые пять фразой, проверяемой за неделю.
Вопросы и ответы
Аудит внедрения ИИ и оценка готовности — это одно и то же?
На практике слова пересекаются: в обоих случаях это структурный разбор процессов, данных и рисков, который заканчивается списком задач по порядку. Иногда аудитом называют и проверку уже работающей ИИ-системы, поэтому уточняйте, что именно вы получите.
Нужно ли следовать рамке NIST?
Нет. NIST называет её предназначенной для добровольного использования и не считает чек-листом. Малая компания может брать вопросы о картировании, измерении и реагировании, не внедряя рамку официально и не добиваясь никакой сертификации.
Касается ли закон ЕС об ИИ моего небольшого бизнеса?
Может касаться, если вы используете ИИ-системы в ЕС. Комиссия пишет, что закон относится к поставщикам и к тем, кто применяет системы, и делит применение по уровню риска; большая часть обычных задач попадает в низший. Свой случай проверьте у юриста.
Сколько длится такой разбор?
Карту можно составить за несколько дней, если люди, знающие работу, доступны. Основное время уходит на разговоры с ними и выяснение, где лежат данные, а не на анализ. Спешка приводит к тому, что пропускаются самые важные задачи.
Что, если аудит не найдёт ничего, что стоит автоматизировать?
Это законный результат. Если разбор показал малые часы, неготовые данные или слишком высокий риск, он уберёг вас от затрат на то, что не окупится. Вернитесь к вопросу, когда изменятся работа или инструменты.