AI Governance – як компанії крок за кроком будують управління ШІ

Від Mallbutiken · Факти перевірено 1 жовтня 2026 р. · Приблизний час читання 9 хвилин

AI Governance (керівництво ШІ) — це практична система управління організацією щодо ШІ: хто має право впроваджувати інструменти ШІ, як вони реєструються та класифікуються, які ризики мають бути оцінені, хто схвалює використання та як здійснюється подальший моніторинг. Політика щодо ШІ є важливою складовою, але governance починається там, де закінчується політика — з відповідальності, реєстрів, контролю та рішень, які можна обґрунтувати згодом.

Що таке AI Governance?

AI Governance — це збірна назва для правил, ролей, процесів і документації організації, що стосуються ШІ. Мета полягає в тому, щоб зробити використання ШІ контрольованим. Має бути можливість відповісти на питання: які системи ШІ ми використовуємо? Хто є їхнім власником? Які дані обробляються? Яку роль ми відіграємо згідно з Регламентом про ШІ (AI Act)? Які ризики були прийняті? Коли систему потрібно переглянути?

Тому корисно розрізняти три рівні. Політика описує загальні правила гри. Процес описує, як новий кейс використання проходить шлях від ідеї до схваленої експлуатації. Докази — це документація, яка демонструє, які саме оцінки та рішення були прийняті.

Спочатку прочитайте посібник з політики ШІ для компаній, якщо вам бракує внутрішніх базових правил.

Практична модель AI Governance у вісім кроків

1. Інвентаризація. Складіть перелік інструментів, інтеграцій, вбудованих функцій ШІ, API та локальних моделей, що вже використовуються.
2. Реєстрація. Надайте кожному кейсу використання ID, власника системи, бізнес-власника, постачальника, мету та статус.
3. Класифікація. Оцініть роль організації та те, чи підпадає використання під заборони, правила високого ризику, вимоги до прозорості або інше регулювання.
4. Оцінка даних та ризиків. Задокументуйте персональні дані, комерційні таємниці, безпеку, ризик помилок, дискримінацію, людський контроль та вплив на бізнес.
5. Перевірка постачальника. Перевірте умови, навчання на даних клієнта, зберігання, субпідрядників, безпеку, інциденти та вихід з угоди.
6. Прийняття рішень. Визначте, хто має право схвалювати, встановлювати умови, призупиняти або відхиляти кейс використання.
7. Впровадження та навчання. Прив'яжіть права доступу та навчання до фактичної ролі та використання.
8. Моніторинг. Встановіть дати перегляду та тригери для ранньої перевірки, наприклад, при оновленні версії, використанні нових джерел даних або зміні сфери застосування.

Що має містити реєстр ШІ?

Реєстр особливо цінний, оскільки функції ШІ часто з'являються всередині систем, які організація вже використовує. Тому інвентаризація повинна не лише запитувати «чи використовуєте ви ChatGPT?», але й охоплювати, наприклад, ШІ в CRM, HR-системах, аналітичних інструментах, службі підтримки та платформах для розробки коду. Дивіться окремий посібник з реєстрів ШІ щодо полів та робочого процесу.

Класифікація та оцінка ризиків — це різні речі

Поширена помилка — створювати власну кольорову шкалу ризиків і ставитися до неї як до юридичної класифікації згідно з Регламентом про ШІ. Внутрішня модель може допомогти розставити пріоритети в контролі, але вона не замінює оцінку категорій та зобов'язань Регламенту. Прочитайте також Класифікація ризиків за AI Act — коли система ШІ є системою високого ризику?.

Практична оцінка ризиків може охоплювати захист даних, інформаційну безпеку, галюцинації та якість даних, дискримінацію, вплив на людей, прозорість, авторське право, залежність від постачальника та безперервність. Коли персональні дані несуть імовірний високий ризик, може знадобитися розгляд проведення DPIA згідно зі статтею 35 GDPR.

Перевіряйте постачальника ШІ, перш ніж використання стане критичним

Перевірка постачальника має відповідати не лише на питання, чи є сервіс «сумісним з GDPR». Перевірте, де обробляються дані, чи використовуються дані клієнтів для навчання моделей, як дані видаляються, які субпідрядники залучені, які функції безпеки існують і що відбувається у разі інцидентів або зміни постачальника.

Для практичного процесу закупівлі та схвалення використовуйте чек-лист для оцінки постачальника ШІ. Якщо постачальник обробляє персональні дані від вашого імені, може знадобитися угода про обробку персональних даних (DPA). Дивіться посібник щодо PUB/DPA. Якщо функція ШІ є частиною хмарного сервісу, SaaS-угода також є частиною управління.

Хто має приймати рішення щодо ШІ?

Уникайте моделі, де «IT відповідає за ШІ» без чіткого розподілу обов'язків. Один кейс використання може одночасно стосуватися IT, захисту даних, HR, юристів, інформаційної безпеки та власників бізнес-процесів. Тому призначте принаймні бізнес-власника та власника системи і визначте, які функції повинні бути залучені у разі підвищеного ризику.

Проста модель схвалення може мати три результати: схвалено, схвалено з умовами або не схвалено. Задокументуйте умови, наприклад, що конфіденційні персональні дані не повинні вводитися, що результати мають проходити перевірку або що використання дозволено лише у певній корпоративній версії.

ШІ-грамотність має бути прив'язана до ролі

Стаття 4 Регламенту про ШІ вимагає, щоб постачальники та організації-користувачі вживали заходів для підтримки розвитку ШІ-грамотності серед персоналу та інших осіб, які використовують системи ШІ від їхнього імені. Слід враховувати, зокрема, технічні знання, досвід, навчання, контекст використання та осіб, на яких це впливає.

Це свідчить на користь рольового навчання: базові правила для широкого кола користувачів, поглиблене вивчення для власників систем та спеціалізоване навчання для HR, розробників або осіб, що схвалюють нові системи.

Чек-лист для ефективної системи AI Governance

• Чи є відповідальний власник AI Governance?
• Чи маєте ви актуальний реєстр систем ШІ?
• Чи існує процес для нових інструментів та нових кейсів використання?
• Чи розрізняєте ви внутрішню класифікацію ризиків та юридичну класифікацію?
• Чи проводиться перевірка GDPR/DPIA та інших відповідних вимог?
• Чи перевіряються зовнішні постачальники ШІ перед схваленням?
• Чи документуються схвалення та умови?
• Чи чітко визначений людський контроль?
• Чи адаптоване навчання до ролі та ризиків?
• Чи існують дати та тригери для перегляду?

Побудуйте цілісний робочий процес AI Governance

Пакет Mallbutiken AI Governance 2026 містить політику ШІ, реєстр систем ШІ, оцінку ризиків, оцінку постачальника, оцінку впливу та інструменти управління/схвалення у форматах Word, PDF та Excel. Ціна в магазині: 199 крон.

Переглянути пакет AI Governance

Часті питання

Чи є AI Governance тим самим, що й політика ШІ?

Ні. Політика встановлює правила гри. Governance також охоплює інвентаризацію, класифікацію, ролі, оцінку ризиків, контроль постачальників, рішення та подальший моніторинг.

Чи кожен інструмент ШІ повинен проходити однакову перевірку?

Ні. Контроль має бути пропорційним до використання та ризику. Простий інструмент з низьким ризиком зазвичай не потребує такої глибини перевірки, як система, що впливає на людей або критичні процеси.

Чи потрібен AI Governance малим підприємствам?

Якщо ШІ використовується у важливих робочих процесах, базове управління є цінним навіть для малих підприємств. Модель може бути простішою, але все одно має бути чітко визначено, які інструменти схвалені та хто приймає рішення.