En bestyrelse får periodisk rapporteringer: finansielle, operationelle, om risici der allerede har en plads i den eksisterende struktur. En rapportering om AI, der ligger løst ved siden af, med sin egen rytme og sit eget format, bliver i praksis overset. Ikke fordi emnet er uvigtigt, men fordi et andet proces ved siden af et eksisterende proces kræver en separat indsats, der konkurrerer med alt, hvad der allerede står på agendaen. Hvad der derimod bliver læst, er det, der passer ind i den eksisterende rapporteringslinje: samme rytme, samme længde, samme plads i mødet.
En bestyrelsesrapportering om AI har ikke brug for en fuldstændig teknisk oversigt. Bestyrelsen har brug for et svar på et begrænset antal spørgsmål: hvilke AI-anvendelser findes der, i hvilken risikokategori falder de, hvad har ændret sig siden sidste rapportering, og har der været eskaleringer. Sidstnævnte punkt er der, hvor de fleste rapporteringer forbliver tomme — ikke fordi der ikke sker noget, men fordi der ikke findes en rute, hvorigennem et signal når bestyrelsen. Uden fungerende eskaleringsveje der fungerer er en rapportering et øjebliksbillede uden historie: den viser, hvad der er nu, ikke hvad der er gået galt eller nær var gået galt undervejs.
Rapporteringen bygger på det, der allerede er fastlagt. En oversigt over oversight-beslutninger med hvem der har godkendt hvad, er den kilde, hvorfra siden bliver sammenfattet, ikke et separat dokument der eksisterer løst ved siden af. Hvad der står på siden, er en fortætning af beslutninger, der allerede er truffet; det er ikke en ny bedømmelse, som bestyrelsen selv skal foretage på grundlag af rådata.
Organisationer har allerede en risikostruktur: et revisionsudvalg, et risikoudvalg, en fast plads på bestyrelsesagendaen for operationelle risici. En AI-rapportering, der introducerer sit eget udvalg, sin egen kalender eller sin egen skabelon, kræver, at alle der allerede deltager, gør noget ekstra ud over det, de allerede gør. Det ekstra arbejde bliver udskudt, så snart agendaen bliver fuld, og agendaen bliver altid fuld. Resultatet er, at rapporteringen falder bort efter et par gange, ikke fordi nogen besluttede, at AI-risiko ikke var vigtig, men fordi ingen besluttede, at det var vigtigere end det, der allerede lå der.
Løsningen ligger ikke i mere vægt på emnet, men i mindre friktion ved at inkludere det. En side, der udkommer i samme kvartalsrytme som de andre risikorapporteringer, der bruger samme layout og sidder på samme plads i pakken, bliver læst, fordi det ikke kræver en separat handling at læse den. Hvad der derimod ikke fungerer, er en separat AI-governance-cyklus, der kører løst fra den eksisterende cyklus — den bliver ignoreret, så snart den første travle måned melder sig.
En rapportering på én side kan kun være kort, hvis den underliggende struktur er komplet. Den forudsætter en oversigt à la hvad skal en bestyrelse vide om AI-risiko over roller og ansvar, så siden ikke hver gang skal forklare på ny, hvem der er ansvarlig for hvad. Den forudsætter en fortegnelse, der ikke kun indeholder det, IT har godkendt, men også det, afdelinger selv er begyndt at bruge uden at melde det — skygge-AI, der først bliver synlig, når mennesker uden konsekvenser må fortælle, hvad de faktisk bruger. En rapportering, der kun viser den godkendte liste, rapporterer en fiktion.
Siden forudsætter også, at der sker noget mellem rapporteringerne: monitorering der giver noget i stedet for en logbog, ingen slår op i. Uden dette mellemliggende lag er kvartalssiden en overraskelse ved hver udgave, i stedet for en sammenfatning af noget, der er blevet fulgt hele kvartalet. Og den forudsætter, at den underliggende politik ikke er dokumentation for formens skyld, men en AI-politik der bliver læst af de mennesker, der bruger systemerne dagligt — for en rapportering om efterlevelse af en politik, ingen kender, rapporterer først og fremmest om sig selv.
Bestyrelsessiden er en fortætning; underbygningen ligger et lag dybere, hos den, der kender systemerne. Hvad en CIO bidrager med hertil, er beskrevet på hvad skal en CIO vide om AI-risiko, og disse to lag — bestyrelsesmæssigt overblik og operationel viden — skal passe sammen, før siden med et kvarters læsning faktisk siger noget om, hvad der sker i organisationen.
Denne struktur bliver opbygget, ikke tilbudt som et færdigt produkt. Den, der vil have den scan, der leverer denne fortegnelse, klassifikation og rapporteringsstruktur, kommer på en venteliste; det er under opbygning og bliver ikke solgt som et færdigt redskab, før det faktisk er det.
Når det først er klart, hvilken AI der kører, og i hvilken risikokategori den falder, følger et andet spørgsmål, som ikke handler om risiko, men om indretningen af selve arbejdet: hvilken del af de opgaver, der nu udføres, er egnet til at blive overtaget af AI. Det er et separat regnestykke, der ikke er bygget på risiko, men på opgaver. Arbejdsscanneren fra FTE TO AI beregner pr. opgave, hvilken del af arbejdet der er egnet til overtagelse, som næste skridt, når det først er klart, hvad der allerede findes af AI i organisationen.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.