Jak zbudować repozytorium systemów AI zgodne z unijnym AI Act za pomocą ArchiMate

Sztuczna inteligencja szybko staje się częścią codziennej działalności biznesowej. Organizacje wdrażają asystentów AI, agentów AI, kopiloty oraz rozwiązania generatywnej AI w obsłudze klienta, tworzeniu oprogramowania, HR, finansach i wielu innych obszarach działalności. Techniczne źródła wykrywania potrafią zidentyfikować komponenty związane z AI, jednak organizacje stają dziś przed innym wyzwaniem: jak nimi zarządzać.

Unijny AI Act wprowadza nowe obowiązki dla organizacji, które tworzą lub wykorzystują systemy AI. Aby zachować zgodność z przepisami, potrzebna jest inwentaryzacja wyjaśniająca, co dany system AI robi, po co powstał, gdzie jest wykorzystywany, kto za niego odpowiada oraz jakie dane i procesy biznesowe są nim objęte.

Ten artykuł przedstawia wzorzec oparty na ArchiMate, który pozwala zbudować takie repozytorium systemów AI.

Zapytaj typową organizację, ilu agentów AI aktualnie używa, a odpowiedź często będzie niepewna. Szybko pojawiają się kolejne pytania:

• Jacy agenci AI są wykorzystywani w całej organizacji?
• Które procesy biznesowe opierają się na AI?
• Które aplikacje mają wbudowane funkcje AI?
• Jakie modele AI są wykorzystywane?
• Kto jest właścicielem każdego agenta AI?
• Jakie dane są przez niego przetwarzane?
• Które systemy AI są uznawane za systemy wysokiego ryzyka zgodnie z unijnym AI Act?

Organizacje mogą korzystać z wielu źródeł wykrywania, w tym Microsoft Entra, Azure AI Foundry, Microsoft Defender, platform chmurowych czy potoków CI/CD, aby zidentyfikować komponenty związane z AI. Choć źródła te dostarczają cennych dowodów na istnienie AI, nie wyjaśniają, po co ona powstała, jak jest wykorzystywana przez biznes ani kto za nią odpowiada.

Unijny AI Act tworzy więc potrzebę posiadania ogólnoorganizacyjnej inwentaryzacji AI, a nie tylko kolejnej listy zasobów technicznych.

AI Act opiera się na podejściu opartym na ryzyku. Choć obowiązki różnią się w zależności od klasyfikacji danego systemu AI, organizacje na ogół muszą utrzymywać informacje takie jak:

• System AI lub agent AI
• Przeznaczenie
• Dostawca
• Podmiot wdrażający
• Właściciel biznesowy
• Klasyfikacja ryzyka
• Kontekst biznesowy
• Przetwarzane dane
• Nadzór ludzki
• Obowiązujące wymogi zarządcze i regulacyjne

W przypadku systemów AI wysokiego ryzyka szczególnego znaczenia nabierają dodatkowe wymagania, takie jak dokumentacja techniczna, rejestrowanie zdarzeń, zarządzanie ryzykiem i nadzór ludzki.

Przepisy nie wymagają jedynie wiedzy o tym, że dany system AI istnieje. Wymagają wykazania, w jaki sposób jest on zarządzany na każdym etapie swojego cyklu życia.

Techniczne wykrywanie dostarcza cennych dowodów na istnienie komponentów związanych z AI w krajobrazie IT organizacji. Jednak osiągnięcie zgodności z unijnym AI Act wymaga umieszczenia tych informacji technicznych we właściwym kontekście biznesowym i architektonicznym.

I właśnie tu z pomocą przychodzi architektura korporacyjna.

Architektura korporacyjna łączy funkcje AI z procesami biznesowymi, które wspierają, aplikacjami, które je realizują, danymi, które przetwarzają, osobami za nie odpowiedzialnymi oraz wymogami zarządczymi, które muszą spełniać. Zamiast utrzymywać rozproszone inwentaryzacje, zapewnia jedno repozytorium łączące perspektywę biznesową, aplikacyjną, danych i zarządczą.

ArchiMate świetnie nadaje się do tego zadania, ponieważ dostarcza pojęć potrzebnych do modelowania tych zależności.

Wzorzec ArchiMate do dokumentowania agentów AI

W tym wzorcu agent AI jest modelowany jako specjalizacja usługi aplikacyjnej (ang. Application Service). Agent AI jest powiązany z procesami biznesowymi i rolami biznesowymi, które z niego korzystają, komponentem aplikacyjnym, który go realizuje, modelem bazowym (LLM) dostarczającym jego funkcje AI, oraz obiektami danych, które przetwarza. Obowiązujące ograniczenia (ang. Constraints) odzwierciedlają wymogi regulacyjne, takie jak AI Act, lub wewnętrzne polityki zarządcze. Dodatkowo artefakty wykryte w toku automatycznego monitoringu mogą zostać powiązane z agentem AI, dostarczając dowodów jego istnienia i pomagając zidentyfikować nieudokumentowane funkcje AI.

Poza tymi relacjami sam agent AI przechowuje istotne informacje zarządcze jako właściwości (ang. properties), w tym swoje przeznaczenie, właściciela biznesowego, klasyfikację ryzyka, status wysokiego ryzyka, wersję, status cyklu życia oraz krytyczność. Razem te relacje i właściwości tworzą kompleksową inwentaryzację funkcji AI, zarówno z perspektywy biznesowej, jak i zarządczej.

Wzorzec ArchiMate stanowi fundament praktycznego zarządzania AI. ADOIT wprowadza ten wzorzec w życie, wspierając pełny cykl życia zarządzania inwentaryzacją AI:

Formularze – rejestruj i utrzymuj agentów AI, ich kontekst biznesowy, własność, klasyfikację ryzyka i informacje zarządcze w uporządkowany sposób.

Formularze w ADOIT do rejestrowania agentów AI

Raporty – generuj inwentaryzacje AI, raporty zgodności, przeglądy własności oraz inną dokumentację wymaganą do celów zarządczych, audytów i raportowania regulacyjnego.

Raportowanie na temat agentów AI w ADOIT

Klasyfikacja ryzyka wspierana przez AI – analizuj udokumentowanych agentów AI i automatycznie proponuj klasyfikację ryzyka zgodną z unijnym AI Act na podstawie ich metadanych. Asystent AI wyjaśnia swoją ocenę, wskazuje brakujące informacje i wspiera przejrzyste, weryfikowane przez człowieka decyzje dotyczące zgodności.

Klasyfikacja ryzyka w ADOIT wspierana przez AI

Kokpity (ang. dashboards) – wizualizuj inwentaryzacje AI, poziom pokrycia dokumentacją, systemy AI wysokiego ryzyka, status zarządczy oraz wykryte artefakty wymagające przeglądu.

Wizualizacja inwentaryzacji AI na kokpicie w ADOIT

Integracje – łącz się ze źródłami wykrywania, takimi jak Microsoft Entra, Azure AI Foundry, ServiceNow czy inne systemy korporacyjne, aby identyfikować artefakty związane z AI i wspierać ciągłą synchronizację między wykrywaniem technicznym a repozytorium architektury.

Konfiguracja konektora w ADOIT

Największym wyzwaniem, jakie niesie ze sobą unijny AI Act, nie jest wykrywanie AI. Jest nim zarządzanie nią.

Techniczne źródła wykrywania potrafią zidentyfikować komponenty związane z AI, ale nie potrafią wyjaśnić, po co dany agent AI istnieje, kto jest jego właścicielem, jakie procesy biznesowe są od niego zależne ani jakie obowiązki regulacyjne go dotyczą.

Architektura korporacyjna wypełnia tę lukę, dostarczając kontekst biznesowy, którego samo wykrywanie techniczne nie jest w stanie zapewnić.

Wykorzystanie ArchiMate jako języka modelowania pozwala organizacjom zbudować niezależne od dostawcy repozytorium AI, które łączy biznes, aplikacje, dane, zarządzanie i dowody z monitoringu w jednym modelu architektury. Tworzy to solidny fundament dla zarządzania AI, zgodności z unijnym AI Act oraz świadomego podejmowania decyzji w miarę dalszego rozwoju wykorzystania AI.

Łącząc automatyczne wykrywanie z architekturą korporacyjną, organizacje mogą wyjść poza proste inwentaryzacje zasobów w kierunku „żywego” repozytorium AI, które wspiera przejrzystość, zarządzanie i ciągłą zgodność.