En oversight-beslutningsliste er ikke en ny formular og ikke et nyt møde. Det er et fast sted, hvor det registreres, hvilken AI-anvendelse der er vurderet, af hvem, på baggrund af hvilken risikovurdering, og med hvilken beslutning. Godkendt, afvist, med betingelser, eller midlertidigt tilladt i afventning af yderligere undersøgelse. Uden den liste findes en beslutning kun i hukommelsen hos dem, der var med, og den forsvinder, så snart nogen skifter funktion, eller samtalen ikke er blevet ført til protokol.
Listen indeholder for hver anvendelse en kort beskrivelse af opgaven, klassificeringen efter rolle og risikoniveau, navnet på procesejeren, dato for vurderingen, den trufne beslutning og årsagen hertil. Ingen teknisk specifikation, ingen leverandørdokumentation: det hører til i dossieret for anvendelsen selv, ikke i beslutningslisten. Listen er et overblik ét niveau højere op — hvem besluttede hvad, og hvornår den beslutning senest blev bekræftet igen. En anvendelse, der for et år siden blev godkendt til en opgave med begrænset risiko, kan nu bruges til noget andet. Uden periodisk genbekræftelse gælder en gammel beslutning stadig for en situation, der ikke længere findes.
Årsagen til, at separate AI-registre ofte forbliver tomme, er ikke uvilje, men rækkefølge. Enhver organisation har allerede et sted, hvor risici diskuteres og registreres: et risikoudvalg, et revisionsudvalg, et direktionsmøde med et fast punkt på dagsordenen om operationel risiko. Den, der derudover opsætter en separat AI-logbog, beder folk om at føre en anden administration for noget, der indholdsmæssigt hører til den første. Den anden proces taber, strukturelt, til dagens travlhed. Oversight-beslutningslisten fungerer kun, hvis den er indlejret i det, der allerede findes — som fast del af et eksisterende møde, med en fast plads på dagsordenen, i stedet for som en ny forpligtelse derudover.
Det betyder også, at listen bruger samme skala og sprog som resten af risikostrukturen. En anvendelse med et højt risikoniveau får samme slags opmærksomhed som et andet dossier med et højt risikoniveau: fast rapporteringsfrekvens, fast ejer, fast eskaleringslinje. Hvordan den kobling ser ud i praksis, afhænger af organisationens eksisterende governance og er beskrevet på siden om tilslutning til den eksisterende risikostruktur.
En beslutningsliste er nyttesløs uden en rute for, hvad der sker, når nogen er uenig med den, eller når en anvendelse ændrer sig, uden at nogen melder det. Den rute hører ikke til i selve listen, men skal kunne kobles til den: hvem der vil bestride en afvisning, hvem der skal forlænge en midlertidig tilladelse, og hos hvem en sag ender, hvis procesejeren og risikofunktionen ikke er enige. Hvordan disse linjer forløber, uden at hvert spørgsmål ender helt i toppen af organisationen, er beskrevet under eskaleringsveje der fungerer.
Beslutningslisten er hukommelsen; bestyrelsen har derudover brug for et resumé, der ikke behøver at blive sammensat på ny hvert kvartal fra løse mødenotater. Hvad der bør stå i det resumé — og hvad ikke, fordi det allerede findes i beslutningslisten — er beskrevet på siden om en board-rapportering på én side. Uden det skridt forbliver beslutningslisten et dokument, som kun procesejerne læser, mens bestyrelsen juridisk stadig er ansvarlig for det, der besluttes.
At registrere en beslutning er ikke det samme som at vide, om beslutningen efterleves. En anvendelse, der er afvist, kan alligevel forblive i brug, hvis ingen kontrollerer, om afvisningen er blevet gennemført. Det er årsagen til, at en beslutningsliste uden opfølgning giver lidt udbytte: den dokumenterer intentioner, ikke adfærd. Hvad der er nødvendigt for at se, om en beslutning også holder, og hvilke signaler der hører til det, er beskrevet på siden om monitorering der giver noget.
En beslutningsliste kan kun indeholde det, der er blevet meldt ind. Den, der er afhængig af meldinger via IT-afdelingen, ser kun en brøkdel af det, der egentlig bruges: den største del af AI-brug i en organisation opstår uden for formelle indkøbsprocesser, i teams, der prøver et værktøj, fordi det virker. Om de anvendelser nogensinde ender på beslutningslisten, afhænger af, om medarbejderne vover at fortælle, hvad de bruger — og det sker kun, hvis spørgsmål om det ikke opleves som forstadiet til en sanktion.
Det første spørgsmål, der hjælper her, er ikke 'hvilken AI er godkendt', men 'hvilken del af dette arbejde bliver egentlig allerede, eller kunne blive, udført af AI'. Det er en anden indgang end en beslutningsliste, og et mere komplet udgangspunkt: arbejdsscanningen fra FTE TO AI beregner for hver opgave, hvilken del af arbejdet der kan overtages af AI, og lægger dermed et grundlag, der ikke afhænger af, hvad der tilfældigvis er blevet meldt ind. Fra det resultat bliver det synligt, hvilke anvendelser der egentlig allerede er i gang, før beslutningslisten overhovedet ved det.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.