Enhver organisation af en vis størrelse har allerede en risikostruktur. Et risikoudvalg, en revisionsfunktion, en rapporteringslinje til bestyrelsen, et format hvor risici bliver klassificeret og fulgt. Den, der sætter et nyt proces ved siden af det, specifikt for AI, med et eget udvalg, en egen kalender og et eget sprog, får inden et år et proces, som ingen længere udfylder. Ikke fordi AI ikke anses for vigtigt, men fordi en anden struktur konkurrerer med den første om tid, opmærksomhed og mandat. Den eksisterende struktur vinder næsten altid, fordi den er indbygget i bedømmelser, funktionscyklusser og bestyrelsesdagsordener. Den nye struktur står udenfor.
Spørgsmålet er derfor ikke, hvordan man bygger en AI-governancestruktur. Spørgsmålet er, hvordan AI får en plads i den struktur, der allerede findes.
De fleste risikostrukturer har allerede en række fastlagte elementer: en risikoinventarisering, der opdateres periodisk, en klassificering efter alvor og sandsynlighed, en ejer per risiko, en eskaleringslinje til et højere niveau, hvis en grænse overskrides, og en rapportering til bestyrelsen på fastlagte tidspunkter. Det er den struktur, AI skal passe ind i, ikke ved siden af.
Det betyder, at en AI-anvendelse ikke skal stå i et separat AI-register, men som risikopunkt i det eksisterende register, med samme felter som alle andre risici: ejer, alvor, sandsynlighed, afhjælpning, statusdato. Klassificeringen efter risikoniveau, som hører til en inventarisering af AI-brug, skal tilpasses den skala, der allerede bruges til operationel risiko, ikke en ny skala, der kun er opfundet til AI. Den, der læser hvad en cio bør vide om ai-risiko, ser, at denne tilpasning netop er der, hvor det ofte går skævt: en teknisk korrekt AI-risikoscore, som ingen kan sammenligne med resten af risikoregistret.
To ting gør indbygning vanskelig. Det første er sprog. Risikomanagere arbejder med begreber som impact, sandsynlighed og afhjælpende foranstaltning. AI-leverandører og tekniske teams arbejder med modelversioner, træningsdata og præstationsmålinger. Et governance-sæt, der kun er skrevet i det tekniske sprog, bliver ikke læst af risikoudvalget. Et governance-sæt, der kun er skrevet i risikosprog, bliver ikke udfyldt af den tekniske ejer. Sættet skal kunne læses i begge retninger: teknisk nok til at stemme, ledelsesmæssigt nok til at lande. Dette princip går igen ved en ai-politik der bliver læst: et dokument, der tilpasser sig, hvordan mennesker allerede læser og beslutter, i stedet for at kræve en ny læsemåde.
Det andet er tempo. Et risikoudvalg mødes i en fast cyklus, ofte kvartalsvis eller månedligt. AI-brug ændrer sig hurtigere: et team begynder denne uge med et nyt værktøj, uden at det er gået forud af et møde. Governance-sættet skal derfor ikke være afhængigt af mødecyklussen for at fungere. Der skal være en lettere mekanisme, der fanger afvigelser mellem de fastlagte tidspunkter, og som først bliver formelt bekræftet ved den næste cyklus. Hvordan den mekanisme fungerer i praksis, er beskrevet ved eskaleringsveje der virker: en rute, der er kort nok til at blive brugt, før det næste kvartalsudvalg samles.
Et governance-sæt, der tilpasser sig en eksisterende risikostruktur, indeholder i hovedtræk: et inventeringspunkt per AI-anvendelse med ejer og risikoklasse, en kobling til den eksisterende eskaleringsvej, så en afvigelse ikke forsvinder i en separat kanal, og en fast plads i den periodiske rapportering til bestyrelsen. Ikke som et separat kapitel om AI, men som en linje i den tabel, bestyrelsen allerede kender. Hvordan denne rapportering kan se ud, uden at introducere et nyt format, er beskrevet ved hvordan får man en bestyrelsesrapportering på en side indbygget i det, der allerede cirkulerer.
Indholdet af reglerne selv, hvad præcist der falder under hvilket risikoniveau og hvilke frister der hører til det, er fastlagt et andet sted og ændrer sig; denne side handler om den mekanisme, der giver dette indhold en plads i den eksisterende struktur, ikke om teksten i disse regler.
Indbygning lykkes kun, hvis inventeringen først stemmer. Og den stemmer kun, hvis folk vover at sige, hvad de bruger. Den, der ved udfyldelsen af risikopunktet fornemmer, at et ærligt svar fører til en notering i en bedømmelse, udfylder det ikke ærligt. Governance-sættet skal derfor fra den første version gøre klart, at målet er overblik, ikke sanktion. Uden denne tilkendegivelse forbliver en del af brugen uden for synsfeltet, og tilpasningen til risikostrukturen er bygget på en ufuldstændig liste. Hvad en bestyrelsesleder bør vide om det, før den første inventering starter, er beskrevet ved hvad bør en bestyrelsesleder vide om ai-risiko.
Denne indbygning handler om risiko, ejerskab og rapportering: den sikrer, at hvad AI gør, er synligt og styrbart inden for den struktur, der allerede findes. Et andet spørgsmål, der logisk følger, når overblikket er der, er, hvad AI inden for dette arbejde faktisk kan overtage. Arbejdsscanen fra FTE TO AI beregner per opgave, hvilken del af arbejdet der kan overtages af AI, som næste skridt efter at governance-siden er i orden.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.