Et AI-register er allerede delvist forældet den dag, det leveres. Der er kommet et nyt værktøj til, en person har udvidet et eksisterende abonnement med en AI-funktion, et team er stoppet med noget, der stod på listen. Et register er ikke et dokument, man færdiggør. Det er en proces, der fortsætter, eller den går i stå efter få måneder.
Spørgsmålet "hvordan holder man det ajour" er derfor vigtigere end "hvordan opretter man det". En første kortlægning er et øjebliksbillede. Værdien ligger i det, der sker bagefter.
Den vigtigste årsag er ikke sløseri. Det er, at AI spreder sig anderledes end anden software. Et nyt værktøj kræver ofte ingen indkøbsproces, ingen IT-godkendelse, ingen budgetrunde. En person tilmelder sig med en arbejds-mailadresse og begynder at bruge det. Ingen behøver at melde det, og ingen føler sig forpligtet til det — særligt ikke hvis forventningen er, at det at melde det er det samme som et forbud. Hvad der sker med medarbejdere der bruger et værktøj, som ingen har godkendt afgør, om disse meldinger overhovedet kommer ind.
Derudover ændrer eksisterende værktøjers karakter sig. En pakke, der sidste år ikke havde AI-funktionalitet, kan have det i år, som standard slået til i en opdatering. IT's leverandørliste ændrer sig så ikke, men risikoprofilen for de samme værktøjer gør.
At holde det ajour kræver en tilbagevendende rytme i stedet for en engangshandling. Den rytme består af nogle få elementer, der går igen:
Et fast spørgsmål til teams, på et fast tidspunkt, om hvad der er kommet til eller ændret sig. Ikke som et kontrolspørgsmål, men som del af et tilbagevendende møde — kvartalssamtale, teammøde, udviklingssamtale. Spørgsmålet skal være tilpas lavtærskel til at få et ærligt svar.
Et signal fra indkøb eller IT-drift, når et nyt abonnement tegnes, eller en eksisterende kontrakt fornyes. Ikke ethvert signal fører til en ændring af registret, men ethvert signal skal gennemgås.
En revurdering af eksisterende punkter, når konteksten ændrer sig: et værktøj får en ny funktion, et team begynder at bruge en AI-anvendelse til et andet formål end det, den blev klassificeret til. Hvor ofte den revurdering er nødvendig, afhænger af risikoniveauet for anvendelsen og af, hvor hurtigt omgivelserne ændrer sig — mere om det på siden, der beskriver hvor ofte man skal klassificere igen.
Ingen fremgangsmåde fanger alt. Et register, der udelukkende afhænger af selvindberetning, går per definition glip af det, folk ikke indberetter — af uvidenhed, bekvemmelighed, eller fordi de ikke forstår, at et værktøj falder under definitionen af AI. Et register, der udelukkende afhænger af IT-signaler, går glip af det, der anskaffes uden om IT, hvilket i dag udgør den største del af skygge-AI.
Den realistiske tilgang kombinerer begge dele, vel vidende at kombinationen heller ikke er komplet. Et godt vedligeholdt register er en tilnærmelse, der kommer tættere på virkeligheden end intet register, ikke en garanti for, at alt står i det.
Der er også en organisatorisk fælde: en ekstra proces, der lægges ved siden af en eksisterende proces, bliver ofte simpelthen ignoreret, selv om den formelt er obligatorisk. Hvorfor det sker, og hvordan man kan undgå det, er beskrevet på siden om hvorfor en ekstra proces ved siden af den eksisterende bliver ignoreret. Den underliggende lære er, at ajourføring holder bedst, når den bygges ind i eksisterende rutiner, ikke når den bliver en ny, separat forpligtelse.
Et ajourført register afhænger i sidste ende af mennesker, der forstår, hvorfor det er nyttigt at indberette, og hvad der sker med deres indberetning. Det hænger sammen med et bredere punkt om hvad AI-kompetence betyder for medarbejdere: den, der ikke ved, hvad der falder under definitionen af AI, indberetter heller ikke det, der burde indberettes. Og den, der er bange for en sanktion, indberetter under alle omstændigheder ikke — heller ikke det, der falder under definitionen.
Dertil hører også samtalen om virksomhedsdata. En medarbejder, der indsætter kundedata eller interne dokumenter i et gratis chatvindue, bruger ofte ikke et forbudt værktøj i streng forstand — det værktøj er muligvis ingen steder registreret som "forbudt". Risikoen ligger i brugen, ikke kun i tilstedeværelsen på en liste. Hvad man kan gøre ved det, er beskrevet på siden om hvad man gør med virksomhedsdata i et gratis chatvindue.
Et sidste element i et levende register er tilsynet med det, der allerede står i det. En anvendelse, der ved klassificering krævede menneskelig kontrol, kan i praksis miste den kontrol, uden at registret afspejler det. Hvad tilsyn betyder i praksis, og hvordan det adskiller sig fra tilsyn på papiret, findes på siden om hvad menneskeligt tilsyn indebærer i praksis.
Et ajourført register fortæller, hvad der er i gang, og med hvilken risiko. Det fortæller ikke, hvilken del af det underliggende arbejde der reelt udføres eller overtages af AI, og hvilken del der forbliver hos mennesker. Det spørgsmål ligger et niveau dybere: ikke hvilke værktøjer der findes, men hvor meget af en konkret opgave AI kan klare. Arbejdsscanen fra FTE TO AI beregner det pr. opgave og giver dermed et billede, der passer sammen med registret — det ene siger, hvad der findes, det andet, hvad det reelt gør.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.