Før et risikoniveau, en forpligtelse eller en governance-foranstaltning får betydning, skal det stå fast, hvilken rolle din organisation spiller. Den, der bringer et AI-system på markedet, har andre ansvar end den, der anvender et system, som en anden har bygget. Det udtryk, der bruges til dette, er velkendt: udbyder over for bruger. Men indplaceringen i sig selv ligger ikke fast i et organigram. Den afhænger af, hvad en organisation gør med et konkret system, og det kan variere fra system til system, fra afdeling til afdeling og fra tidspunkt til tidspunkt.
Det centrale spørgsmål er ikke, hvem der har købt eller installeret systemet, men hvem der har bragt det på markedet eller stiller det til rådighed under eget navn. En organisation, der indkøber og anvender software som leveret, er som regel bruger. En organisation, der udvikler et system, lader det udvikle under eget navn, eller ændrer et eksisterende system så meget, at det funktionelt bliver noget andet, kan derved komme til at indtage rollen som udbyder. Det sidste er ofte det punkt, hvor organisationer tager fejl: at finjustere en model, bygge et eget lag oven på et eksternt system, eller træne en chatbot på eget data kan flytte rollen, uden at nogen har opfattet det som et bevidst valg. Hvad der præcis tæller som en ændring, der skifter rollen, er beskrevet på hvad ændrer sig, når du selv tilpasser en model.
De fleste organisationer er ikke udelukkende udbyder eller udelukkende bruger. En bank, der anvender en ekstern sprogmodel til kundeservice, er dermed bruger, men hvis samme bank stiller en internt udviklet risikomodel til rådighed for en anden afdeling eller for en kunde, opstår en udbyderrolle for dette system. Det betyder, at indplaceringen skal foretages pr. anvendelse, ikke én gang for hele organisationen. En oversigt, der for hvert system registrerer, hvem der har bygget det, hvem der har tilpasset det, og hvem der bruger det, er derfor den eneste måde at besvare dette spørgsmål struktureret i stedet for ad hoc.
Rollen er ikke en fast egenskab ved en organisation, men en status, der kan ændre sig. En leverandør kan ændre sit system på en måde, der påvirker risikoprofilen. En intern udvikler kan videreudvikle et internt hjælpemiddel til noget, der udbydes uden for organisationen. Et system, der engang blev indført som et simpelt værktøj, kan efter en opdatering udføre opgaver, der placerer det i en anden risikokategori. På hvilke tidspunkter denne forskydning konkret indtræffer, og hvad det betyder for, hvem der herefter er ansvarlig, er forklaret på hvornår ændrer din rolle sig. For organisationer, der vil forstå, hvad en forskydning mod et højere risikoniveau i praksis medfører, giver hvad betyder et højt risikoniveau for din organisation en yderligere udfoldning.
Ikke alle anvendelser, der betegnes som kunstig intelligens, falder inden for den ramme, hvor rollefordelingen er relevant. Nogle systemer falder uden for det anvendelsesområde, denne indplacering er lavet for, og det er for en organisation lige så vigtigt at vide, hvad der falder uden for, som at vide, hvad der falder inden for. Ellers bruges tid på klassificering af noget, der ikke havde brug for klassificering, eller noget overses, fordi det syntes for lille. Hvilke anvendelser der falder uden for denne ramme, og hvorfor, er beskrevet på hvilke anvendelser falder uden for scope.
At fastlægge rollen er et første skridt, ikke resultatet af et governance-forløb. Efter indplaceringen følger spørgsmålet om, hvad der reelt skal ske for hver rolle og hvert risikoniveau, og det spørgsmål falder i to kategorier: hvad der kræver øjeblikkelig opmærksomhed, og hvad der kan planlægges på længere sigt. Disse to kategorier blandes ofte sammen, hvilket betyder, at akutte sager bliver liggende, mens der bruges tid på noget, der endnu ikke er akut. En oversigt over, hvad der har prioritet i den forbindelse, findes på hvad skal der ske nu, og hvad kan planlægges. Den, der ønsker at gå yderligere i dybden med spørgsmålet om rollefordelingen, med de præcise kriterier, der afgør grænsen mellem udbyder og bruger, finder den udfoldning på er du udbyder eller bruger: hvad afhænger det af.
Denne indplacering er kun meningsfuld, når den anvendes på det, der reelt kører i organisationen, ikke på det, der står på en godkendt liste. Systemer, der er taget i brug uden tilladelse, tæller lige så meget med, og den rolle, der hører til dem, skal fastlægges lige så grundigt. Det kræver en oversigt, der går videre end IT-administrationen.
Så snart det er klart, hvilken rolle en organisation spiller pr. system, flytter opmærksomheden naturligt til et andet spørgsmål: hvad gør disse systemer egentlig, og hvilken del af arbejdet overtager de. Dette spørgsmål ligger uden for governance-scanningen, men er direkte forbundet med den. Arbejdsscanningen fra FTE TO AI beregner pr. opgave, hvilken del af arbejdet der kan overtages af AI, og giver dermed et billede af et systems effekt ud over billedet af de tilhørende forpligtelser.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.