להתחיל ממיפוי של העבודה, לא מהכלי
אסטרטגיית AI טובה מתחילה מהבנה של מה הארגון עושה היום. רשמו תהליכים שחוזרים על עצמם, שדורשים קריאה או כתיבה של טקסט, או שבהם אנשים מחפשים מידע בכמה מערכות. לכל תהליך ציינו מי מבצע אותו, באיזו תדירות ואיפה הוא נתקע.
לצד התהליכים, מפו את הנתונים: איפה הם נמצאים, מי הבעלים שלהם, מה רמת הרגישות ומי רשאי לגשת אליהם. מיפוי כזה אינו צריך להיות מושלם. מטרתו לאפשר שיחה על אפשרויות אמיתיות במקום על רעיונות כלליים.
לבחור שימוש אחד או שניים לפי ערך, היתכנות וסיכון
מתוך הרשימה, בחרו מקרה שימוש אחד או שניים להתחלה. דרגו כל מועמד בשלושה צירים: כמה ערך הוא יכול לייצר לעבודה, כמה הוא בר ביצוע עם הנתונים והצוות הקיימים, ומה המחיר של טעות. מקרה עם ערך בינוני וסיכון נמוך הוא לעיתים קרובות התחלה טובה יותר מפרויקט שאפתני.
הדירוג אינו נוסחה מדויקת. הוא כלי לשיחה שמבהיר למה בוחרים דבר אחד ודוחים אחר. תעדו את הנימוקים, כדי שתוכלו לחזור אליהם אחרי שהניסוי הראשון ילמד אתכם משהו חדש.
- ערך: איזו עבודה תתקצר, תשתפר או תהיה עקבית יותר?
- היתכנות: האם הנתונים זמינים, נקיים מספיק ונגישים בהרשאה מתאימה?
- סיכון: מה קורה כשהתוצאה שגויה, ומי יזהה את זה?
מוכנות נתונים והרשאות
מערכת AI שמחוברת לנתונים ארגוניים יורשת את כל הבעיות שלהם: מסמכים כפולים, מידע לא עדכני והרשאות שהוגדרו בחופזה. לפני החיבור, בדקו שהמערכת תציג למשתמש רק מידע שהוא רשאי לראות, ושאפשר לזהות את המקור ואת מועד העדכון של כל תשובה.
החליטו מראש אילו נתונים אסור לשלוח לשירות חיצוני, ובדקו את תנאי השימוש והשמירה של הספק. החלטות כאלה כדאי לקבל יחד עם האחראים על אבטחת מידע ופרטיות בארגון, ולא אחרי שהניסוי כבר רץ.
- מי הבעלים של כל מקור נתונים, ומי מאשר את החיבור?
- האם ההרשאות במערכת החדשה משקפות את ההרשאות במקור?
- אילו נתונים נשארים בתוך הארגון ואילו מותר לעבד אצל ספק?
הערכה, פיקוח אנושי וממשל
לפני שמרחיבים שימוש, בנו אוסף דוגמאות אמיתיות שכולל גם מקרי קצה, והגדירו איך תבדקו שהתוצאה סבירה. החליטו היכן אדם חייב לאשר לפני פעולה, ואיך משתמש מדווח על תשובה שגויה. בדיקה כזאת צריכה לחזור אחרי כל שינוי במודל, בהנחיות או במקורות.
לממשל אין צורך להתחיל ממדיניות ארוכה. מסגרות כמו NIST AI RMF מציעות שפה משותפת לזיהוי, מדידה וניהול סיכונים, ואפשר להשתמש בהן כרשימת שאלות ולא כטופס. גם רשימת OWASP לסיכונים ביישומי LLM שימושית לבדיקת נקודות תורפה מוכרות.
תוכנית ל־30, 60 ו־90 יום
מפת דרכים ראשונה צריכה להיות קצרה ולהסתיים בהחלטה. שלושה חודשים הם מסגרת סבירה לבדוק מקרה שימוש אחד ברצינות, אבל הלוח בפועל תלוי בנתונים, בצוות ובתהליכי האישור אצלכם.
בסוף התקופה, החליטו על אחד משלושה צעדים: להרחיב, לשנות כיוון או לעצור. כל אחת מהתוצאות האלה היא למידה שימושית, כל עוד היא נשענת על מה שנמדד ולא על התרשמות מהדגמה.
- 30 יום: מיפוי, בחירת מקרה שימוש, הגדרת מדדי הצלחה ובדיקת נתונים והרשאות.
- 60 יום: ניסוי מוגבל עם משתמשים אמיתיים, אוסף דוגמאות להערכה ותיעוד טעויות.
- 90 יום: סיכום תוצאות, החלטה על המשך, ותוכנית תפעול ובעלות אם ממשיכים.