Enhver organisation af en vis størrelse har allerede en risikostruktur. Et risikoudvalg, et auditkomité, en linje af kontrolfunktioner, et format hvori risici bliver optaget, behandlet og afsluttet. Den proces har en rytme, et sprog og ejere, der ved, hvor de står.
Hvis AI-governance kommer til at stå derudover — et eget udvalg, en egen rapporteringslinje, en egen kalender — så opstår der en anden proces. Og en anden proces sideløbende med en eksisterende proces bliver ikke udført. Ikke fordi mennesker er uvillige, men fordi kapaciteten allerede er tildelt den proces, der findes. Den, der behandler AI-risiko som et separat emne, beder om ekstra tid, ekstra møder og ekstra rapportering ud over alt det, der allerede kører. Det taber hver gang.
Inventariseringen og klassificeringen af AI-systemer giver ikke en ny risikoramme. De giver input til den ramme, der allerede findes. Det betyder konkret:
Governance-sættet, der følger af scanningen, er derfor ikke et selvstændigt dokument. Det er et sæt, der er skrevet til at passe på det, der allerede findes: risikomatrixen, rapporteringsstrukturen, eskaleringslinjerne. Hvor disse ting endnu ikke fungerer, som de skal, gælder samme logik som for AI: det handler om indlejring, ikke om et nyt system. Hvordan det ser ud for en konkret del, er beskrevet i hvordan en AI-politik bliver indlejret i eksisterende beslutningstagning i stedet for at stå løsrevet ved siden af den, i hvordan en oversight-beslutningsliste bliver indlejret i det møde, der allerede findes og i hvordan eskaleringsveje for AI bliver indlejret i den eksisterende hændelseslinje.
En separat AI-risikoramme lyder omhyggelig, men skaber et parallelt kredsløb. Der opstår to sandheder: den risikorapportering, bestyrelsesmedlemmet allerede kender, og en AI-rapportering, der lever derudover, med egne definitioner af risikoniveau og egne ejere. I det øjeblik disse to kredsløb ikke stemmer overens — og det sker før eller senere — er det ikke klart, hvilket kredsløb der har autoritet. Det er præcis det scenarie, hvor tilsyn eksisterer på papiret, men hvor ingen i praksis kan holdes ansvarlig.
Governance-sættet, der følger af inventariseringen, er derfor rettet mod at forsvinde ind i den eksisterende proces. Ikke et nyt dashboard, ikke et nyt møde, ikke en ny godkendelsesformular — men en udvidelse af det format, risikoudvalget allerede bruger, med AI som fast bestanddel. Det er også den måde, hvorpå et bestyrelsesmedlem får noget ud af det: ikke som et separat AI-rapport, der blades igennem, men som en linje i den rapportering, der allerede læses. Hvordan den rapportering ser ud, når den er kompakt nok til faktisk at blive læst, er beskrevet på opbygningen af en board-rapportering, der fylder én side.
Grunden til at tilslutning til den eksisterende struktur også juridisk og organisatorisk er det stærkere valg, ligger i dokumenterbarhed. En tilsynsmyndighed eller revisor, der spørger, hvordan AI-risiko bliver styret, foretrækker svaret "via den risikoproces, vi allerede fører, med AI som fast bestanddel" frem for "via et separat AI-spor, der løber sideløbende med den almindelige proces". Det første svar viser en organisation, der styrer risiko integreret. Det andet viser en organisation, der behandler AI som en undtagelse — med den risiko, at denne undtagelse bliver sluppet, så snart opmærksomheden flytter sig.
Samme logik gælder for overvågning. Et løsrevet AI-dashboard, som ingen konsulterer, giver ikke noget. Overvågning, der er indlejret i det overblik, risikomanagere og bestyrelsesmedlemmet allerede bruger, bliver set, fordi det allerede står der, hvor der bliver kigget. Hvad det kræver, er beskrevet på hvordan overvågning af AI-systemer bliver indlejret i det overblik, der allerede bruges og, mere bredt, på hvordan tilslutningen til den eksisterende risikostruktur opbygges i praksis.
En risikostruktur, der har indlejret AI, giver svar på spørgsmålet om, hvad der kører, og hvem der er ansvarlig for det. Det er et andet svar end spørgsmålet om, hvad AI kunne overtage i det daglige arbejde. Det andet spørgsmål besvares af arbejdsscanningen fra FTE TO AI, der pr. opgave beregner, hvilken del af arbejdet der kommer i betragtning til overtagelse. Begge svar hører sammen: risikostrukturen bestemmer, under hvilke betingelser AI må tages i brug, arbejdsscanningen viser, hvor den anvendelse faktisk ændrer arbejdet.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.