Реестр ИИ-систем

Реестр ИИ-систем — это поддерживаемый список всех мест, где в организации применяется ИИ: собственные функции, модели, вызываемые через API, и сторонние продукты, у которых включена ИИ-возможность. Это артефакт, от которого зависит любой другой контроль, потому что и политика, и оценка риска, и аудит должны знать, к чему именно они применяются. Полезная запись фиксирует больше, чем название. Что система делает, кто ею владеет, какую модель и какого поставщика использует, какие данные видит, касается ли она клиентов или только сотрудников, применяется ли её результат автоматически и когда её в последний раз пересматривали. Последнее поле и держит реестр честным: без даты пересмотра запись, сделанная полтора года назад, выглядит так же, как подтверждённая на прошлой неделе. Собрать его сложнее, чем кажется, потому что большая часть ИИ приходит мимо закупок. Он появляется как переключатель внутри инструмента, за который компания уже платит; как личный аккаунт, проведённый через авансовый отчёт; как вызов библиотеки, добавленный в пул-реквест. Отчёты о расходах, логи SSO и удостоверений, исходящий трафик к известным доменам поставщиков и скан зависимостей по репозиториям вскрывают разные срезы, и ни один из них сам по себе не полон. Частая ошибка — считать это разовым упражнением по комплаенсу. Реестр, собранный один раз и подшитый, быстро протухает: поставщики непрерывно добавляют ИИ в существующие продукты, и инструмент, бывший на момент оценки без ИИ, способен получить модельную функцию в рядовом релизе — без всякого решения о покупке с вашей стороны. Поэтому поддержка важнее полноты первого прохода. Держите реестр там, где организация уже держит свои системы учёта, — в каталоге сервисов, CMDB, реестре активов, — а не в отдельной таблице, и сделайте его шагом на путях, порождающих применение ИИ: закупка, архитектурное ревью, пул-реквест, добавляющий SDK поставщика. Реестр, который никто не обязан обновлять, — это снимок, а снимок отвечает на вопросы о прошлом.