Odpowiada, kto może zatwierdzać przypadki użycia AI, które modele i dane są dozwolone, jakie testowanie i nadzór ludzki są wymagane, jak obsługiwane jest shadow AI oraz jak incydenty są eskalowane. Ramy takie jak NIST AI Risk Management Framework strukturyzują to jako govern-map-measure-manage; prawa takie jak unijna ustawa o AI coraz częściej zamieniają części tego w obowiązek prawny.
Najważniejsze punkty
Najpierw inwentarz i politykaWiedz, które systemy i funkcje AI są w użyciu — w tym wbudowane AI w narzędziach dostawców — i ustal reguły akceptowalnego użycia przed rozpoczęciem oceny ryzyka.
Imienni właściciele systemówKażdy wdrożony model potrzebuje imiennego właściciela dla swojego ryzyka, wydajności, danych i wycofania — a nie rozmytej rozliczalności komitetowej.
Istotne ograniczenieZarządzanie to rusztowanie, a nie ochrona. Lista zatwierdzonych modeli i strona polityki nie zabezpieczają modelu; wartość pochodzi z kontroli, testowania i monitorowania, których rama wymaga, oraz z egzekwowania za nią.