Mange organisationer går ud fra, at indelingen i udbyder eller bruger er éngangs: et system bliver indkøbt et sted, og dermed er organisationens rolle fastlagt. I praksis er det mere nuanceret. Den rolle De har i forhold til et AI-system afhænger af, hvad De gør med det, ikke af hvor systemet kommer fra. Samme organisation kan for det ene system være bruger og for det andet, uden at nogen har benævnt det sådan, udbyder.
Kernespørgsmålet er ikke, hvem der har bygget systemet, men hvem der bringer det på markedet eller anvender det under eget navn. En organisation, der anskaffer et færdigt AI-system og bruger det til egen proces, er som regel bruger. Så snart samme organisation tilpasser, videreudvikler, omdøber eller under eget navn tilbyder et system til andre, forskydes dette billede. Graden af kontrol over modellen spiller også en rolle: hvem bestemmer, hvilke data der trænes med, hvem fastsætter parametrene, hvem bærer ansvaret for systemets adfærd i produktion. Disse spørgsmål besvares ikke én gang ved anskaffelsen, men forbliver relevante, så længe systemet er i brug.
En organisations rolle er altså ikke et fast mærke, men et resultat af faktisk brug. Det betyder, at interne ændringer — en ny anvendelse af et eksisterende system, en tilpasning foretaget af den egen it-afdeling, at en AI-funktion leveres videre til en kunde eller datterorganisation — kan ændre indelingen, uden at der er gået en formel beslutning forud for det. Hvad dette betyder i praksis, og på hvilket tidspunkt en rolle faktisk forskydes, uddybes på siden om det tidspunkt hvor Deres rolle i forhold til et AI-system ændrer sig. Det væsentlige er, at denne forskydning ofte ikke bemærkes, fordi den finder sted på afdelingsniveau, langt fra hvor politikken fastlægges.
Spørgsmålet om, hvorvidt De er udbyder eller bruger, står ikke alene. Det er sammenflettet med spørgsmålet om, hvilket risikoniveau en anvendelse har, og med spørgsmålet om, hvorvidt en anvendelse falder inden for reguleringens anvendelsesområde. Et system, der som bruger anvendes med lav påvirkning, kan kræve en anden behandling end når samme organisation tilpasser systemet yderligere og dermed kommer tættere på rollen som udbyder. Hvad et højere risikoniveau konkret betyder for den egen organisation, beskrives på siden om hvad et højt risikoniveau betyder for Deres organisation. Ligeledes falder ikke alle anvendelser inden for scope for de samme krav; hvilke anvendelser der falder udenfor, og hvad det afhænger af, står på siden om hvilke anvendelser der falder uden for scope.
Grunden til, at denne indeling forbliver uklar for mange organisationer, er ikke, at reglerne mangler. Den aktuelle tekst og de præcise kriterier findes andetsteds og ændres ikke af dette stykke. Problemet ligger forud for det: for at vide, hvilken rolle der gælder, skal man først vide, hvilke AI-systemer der faktisk er i brug, af hvem, og med hvilken grad af tilpasning. Denne inventering mangler i de fleste organisationer. Den officielle liste over it-godkendte værktøjer beskriver sjældent, hvad der reelt bruges. Afdelinger tager værktøjer i brug, tilpasser modeller med egne data, eller bygger en AI-funktion ind i en intern proces, uden at dette registreres centralt nogen steder. Den, der vil vide, om organisationen er udbyder eller bruger, skal altså først vide, hvad der kører — og det er et spørgsmål, der ikke besvares med et politikdokument, men med en inventering, der vover at spørge folk, hvad de bruger, uden at knytte en afregning til det.
Fordi en organisations rolle kan forskydes uden formel beslutning, er det for bestyrelse og tilsynsmyndigheder vigtigt, at rapporteringen følger dette. En governance-tilgang, der går ud fra en statisk rollefordeling, går glip af det tidspunkt, hvor en intern tilpasning faktisk bringer organisationen i en anden position. Hvordan en AI-politik kan udarbejdes, så den gør denne type forskydninger synlige i stedet for at skjule dem, og faktisk bliver læst af den, der er ansvarlig for den, behandles på siden om en AI-politik der passer til praksis i stedet for til skabet.
Spørgsmålet om, hvorvidt Deres organisation er udbyder eller bruger, handler om ansvar og forpligtelser. Det siger endnu ikke noget om, hvad AI betyder for selve arbejdet: hvilke opgaver der overtages, ændres eller understøttes af det. Dette spørgsmål ligger i forlængelse af rollebestemmelsen, men kræver et andet blik — ikke på governance, men på arbejdsindholdet. Arbejdsscanningen fra FTE TO AI beregner for hver opgave, hvilken del af arbejdet der kan overtages af AI, uanset hvilken rolle organisationen indtager i forhold til det underliggende system.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.