نارتھ برج میوچل (Northbridge Mutual) کا کلیمز (claims) کا شعبہ ایڈجسٹر کے نوٹسز کا خلاصہ تیار کرنے کے لیے ایک ‘جنریٹو اے آئی کو-پائلٹ’ (generative AI copilot) کا نفاذ کرنا چاہتا ہے۔ اس کی منظوری سے قبل، گورننس ٹیم کو یہ طے کرنا ہوگا کہ اس ‘یوز کیس’ (use case) کا مالک کون ہے، یہ کس قسم کا ڈیٹا استعمال کر سکتا ہے، کن خطرات سے نمٹنے کی ضرورت ہے، اور اس فیصلے کی تائید میں کیا شواہد موجود ہیں۔ ہم ایک ایسے پروگرام کا عملی ڈھانچہ تشکیل دیں گے جو اے آئی (AI) کے نفاذ کی درخواستوں کو قابلِ سراغ فیصلوں، کنٹرولز اور بورڈ رپورٹنگ میں تبدیل کر سکے۔
اے آئی انوینٹری (AI inventory) ہر اے آئی سسٹم اور یوز کیس، اس کے مالک، مقصد، ڈیٹا، فراہم کنندہ اور رسک ٹئیر (risk tier) کا ریکارڈ رکھتی ہے۔ اے آئی رسک رجسٹر (AI risk register) ہر نشاندہی شدہ خطرے، اس کے مالک، درجہ بندی، تدارک کے طریقہ کار اور نظرثانی کی تاریخ کا اندراج کرتا ہے۔ مجموعی طور پر، یہ دستاویزات پروگرام کو شفاف بناتی ہیں اور جائزہ لینے والوں کو کام شروع کرنے کے لیے ایک قابلِ اعتماد بنیاد فراہم کرتی ہیں۔ نارتھ برج میوچل کا آپریٹنگ ماڈل درخواست کی وصولی (intake)، درجہ بندی، کنٹرول، نگرانی اور رپورٹنگ کو آپس میں مربوط کرتا ہے:
ایک قابلِ دفاع پروگرام یہ ظاہر کرتا ہے کہ کسی فیصلے کی منظوری دینے، اسے چیلنج کرنے یا روکنے کا اختیار کس کے پاس تھا، اور یہ اس فیصلے کے پیچھے موجود شواہد کو محفوظ رکھتا ہے۔ فیصلہ سازی کے اختیارات (Decision rights) ان ذمہ داریوں کو کاروباری مالکان، رسک اینڈ کمپلائنس (خطرات اور ضوابط کی پاسداری)، سیکیورٹی، قانونی امور، خریداری (procurement)، اور اعلیٰ قیادت کے درمیان تقسیم کرتے ہیں۔ یہ اس بات کو یقینی بناتے ہیں کہ منظوری کا عمل محض ای میلز کا ایک غیر رسمی سلسلہ نہ بن جائے جس کا کوئی ذمہ دار مالک نہ ہو۔
پروگرام کے نفاذ کی بھی ضرورت ہوتی ہے۔ AI گورننس کا سربراہ تنظیم کے طے کردہ نظام الاوقات کے مطابق انوینٹری (فہرست) کی تکمیل اور التوا کا شکار جائزوں (reviews) کی جانچ پڑتال کرتا ہے۔ کنٹرول کے ذمہ داران شواہد فراہم کرتے ہیں۔ کسی بھی خلاف ورزی کی صورت میں تحقیقات اور اصلاحی کارروائی شروع کی جاتی ہے، اور جہاں ضروری ہو، متاثرہ ‘یوز کیس’ (use case) کو معطل کر دیا جاتا ہے۔ ‘استثنیٰ’ (exception) کے تحت کاروباری وجہ، خطرہ قبول کرنے کا اختیار، میعاد ختم ہونے کی تاریخ، اور مسلسل استعمال کے لیے شرائط کا اندراج کیا جاتا ہے۔
شواہد کی اہمیت کوئی پالیسی تب ہی ‘گورننس’ (نظم و نسق) کا درجہ اختیار کرتی ہے جب مقررہ ذمہ داران اس کی جانچ کریں، نتائج کا ریکارڈ رکھیں، اور خلاف ورزیوں پر کارروائی کریں۔
‘چینج کنٹرول’ (تبدیلی کا انتظام) ریکارڈ کو اس وقت تازہ ترین رکھتا ہے جب سسٹم کے مقصد، ڈیٹا کے ذرائع، سپلائر، ماڈل یا متاثرہ آبادی میں تبدیلی آتی ہے۔ یہ عمل NIST AI رسک مینجمنٹ فریم ورک (NIST AI RMF) سے ہم آہنگ ہے، جس کا ‘گورن’ (Govern) کا شعبہ احتساب اور تنظیمی پالیسیوں کا احاطہ کرتا ہے، جبکہ ‘میپ’ (Map)، ‘میژر’ (Measure) اور ‘مینیج’ (Manage) کے مراحل ان فیصلوں کو نشاندہی شدہ خطرات اور ان کے تدارک کے اقدامات سے جوڑتے ہیں۔
یہ پروگرام ایک بار کی منظوری کے مرحلے کے بجائے ایک مسلسل جاری رہنے والے آپریشنل سائیکل کے طور پر کام کرتا ہے۔ پہلی لائن (یعنی ‘یوز کیس’ چلانے والی کاروباری ٹیم) محفوظ استعمال اور شواہد کی ذمہ دار ہوتی ہے۔ دوسری لائن پالیسی وضع کرتی ہے، خطرے سے متعلق فیصلوں کا جائزہ لیتی ہے (یا چیلنج کرتی ہے)، اور ضوابط کی پاسداری کی نگرانی کرتی ہے۔ تیسری لائن اندرونی آڈٹ کے ذریعے آزادانہ یقین دہانی فراہم کرتی ہے۔ معاملہ اعلیٰ قیادت تک اس وقت پہنچایا جاتا ہے جب باقی ماندہ خطرہ (residual risk)، بار بار ضوابط کی خلاف ورزی، یا کوئی اہم تبدیلی تفویض کردہ اختیارات کی حد سے تجاوز کر جائے۔
نارتھ برج میوچل (Northbridge Mutual) اپنے ریکارڈ کو برقرار رکھنے اور آڈٹ کے نتائج (audit findings) بننے سے پہلے ہی خامیوں کی نشاندہی کرنے کے لیے ماہانہ سائیکل کا استعمال کر سکتی ہے۔ ہم اس بات کا سراغ لگا سکتے ہیں کہ ہر سرگرمی کس طرح اگلے فیصلے میں معاونت کرتی ہے: