En eskaleringsvej for AI-hændelser, der lægges ved siden af den eksisterende struktur, bliver i praksis sprunget over. Ikke fordi ingen vil bruge den, men fordi der allerede findes en vej: for datalæk, for klager, for driftsforstyrrelser. Den der på tidspunktet for en hændelse skal vælge mellem to ruter, vælger den rute, han allerede kender. En anden proces ved siden af den første er ikke ekstra sikkerhed, det er en forgrening, der forsvinder under pres, når den første bliver presset.
Spørgsmålet er ikke, om der skal være en eskaleringsvej. Spørgsmålet er, hvor den kobler sig på. En eskaleringsvej for AI virker, når den ikke åbner en ny skranke, men giver en eksisterende skranke en ekstra indgang. Det betyder: samme meldestruktur, som allerede bruges til hændelser, udvidet med et spørgsmål om, hvorvidt AI spillede en rolle. Samme ejer, der allerede er ansvarlig for risikohåndtering, med et klart billede af, hvornår et AI-relateret signal skal ende hos ham. Samme rapporteringslinje opad, uden en separat AI-linje ved siden af.
Hvad der hører til deri, er dermed mindre en liste med trin og mere et sæt tilslutningspunkter: hvem melder, hvor det kommer ind, hvem vurderer om det eskalerer, og til hvem. Ved hvert af disse punkter er spørgsmålet ikke "hvordan bør dette virke" men "hvor sker dette allerede, og hvad skal tilføjes der for at tage AI med". En eskaleringsvej, der er opbygget på den måde, kræver ingen separat instruktion, fordi den ikke kræver anden adfærd end det, der allerede er kendt.
Der er et genkendeligt mønster: en organisation opretter en AI-specifik proces, med en egen formular, et eget udvalg, et eget rapporteringstidspunkt. På papiret er det komplet. I praksis bliver det ignoreret, og ikke af uvillighed. En anden proces kræver, at nogen på tidspunktet for en hændelse først fastslår, om det handler om AI, før han ved, hvilken vej han skal følge. Det ekstra skridt falder bort, så snart der er tidspres, og den eksisterende vej — den vej, der alligevel allerede bruges til lignende situationer — vinder.
Hertil kommer, at en løsreven AI-proces normalt får en separat ejer, uafhængig af den, der allerede er ansvarlig for risikoeskalering generelt. Det splitter overblikket i et øjeblik, hvor overblik er nødvendigt. Den, der modtager et signal om et AI-system, der ikke fungerer som tilsigtet, skal kunne placere det ved siden af andre risikosignaler, ikke i en isoleret kanal, hvor det bliver vurderet løsrevet fra resten af organisationen.
At indarbejde betyder, at eskaleringsvejen for AI ikke er en synlig separat del, men en udvidelse af det, der allerede findes. Det kræver et par konkrete valg, uanset sektor: hvilken eksisterende meldekanal får spørgsmålet om AI-involvering tilføjet, hvilken eksisterende risikoejer får bemyndigelse til at vurdere, om noget skal videre, og på hvilket eksisterende rapporteringstidspunkt bliver AI taget med i stedet for at sætte et nyt tidspunkt op ved siden af.
Disse valg afhænger af, hvordan organisationen allerede er indrettet. En organisation med en stærk compliance-funktion lægger vurderingen der; en organisation, hvor risikostyring er placeret i den operationelle linje, lægger den der. Der er ikke et fast skema, der giver den samme eskaleringsvej for hver organisation, fordi eskaleringsvejen per definition er et spejl af den struktur, den lægges ind i.
Denne indarbejdelse berører, hvordan risici allerede klassificeres — hvordan denne tilpasning til den eksisterende risikostruktur ser ud, er udfoldet på siden om tilpasning til den eksisterende risikoklassificering — og hvad der sker med en eskalering, når den når bestyrelsesbordet, som beskrevet på siden om en bestyrelsesrapportering, der fylder én side. Uden den tilpasning bliver en eskaleringsvej et dokument, der ligger et sted, i stedet for en rute, nogen faktisk følger, når det er nødvendigt.
En eskaleringsvej er kun nyttig, hvis der er noget, der eskalerer. Det kræver en form for overvågning, der giver signaler, før en hændelse udfolder sig, ikke blot en rekonstruktion bagefter. Hvordan den overvågningsdel indrettes, uden at det bliver en ny rapporteringsbyrde, står på siden om overvågning der tilpasses eksisterende rapportering i stedet for at tilføje et nyt lag. Sammen udgør kortlægning, overvågning og eskalering en kæde: uden en af de tre virker resten heller ikke fuldt ud.
Den, der tegner denne vej op, gør det normalt fra en rolle med ansvar for risiko eller governance. Hvad en bestyrelsesleder skal vide i den forbindelse, er sammenfattet på siden hvad en bestyrelsesleder skal vide om AI-risiko; den tekniske og operationelle side af samme spørgsmål findes på siden hvad en CIO skal vide om AI-risiko. Begge vinkler mødes i selve eskaleringsvejen, som virker i skæringspunktet mellem bestyrelsesansvar og operationel udførelse.
Denne side beskriver mekanismen; den præcise indretning afhænger af organisationen og fastlægges ikke her. FTE TO AI arbejder på værktøjer, der understøtter denne indarbejdelse; den, der allerede arbejder med dette nu, kan tilmelde sig ventelisten.
En eskaleringsvej regulerer, hvad der sker, når noget går galt eller er ved at gå galt. Et andet spørgsmål, der ofte forbliver løsrevet ved siden af, er, hvad AI allerede gør dagligt i det almindelige arbejde. Arbejdsscanningen fra FTE TO AI beregner for hver opgave, hvilken del af arbejdet der kan overtages af AI, og giver dermed et billede af den side af AI-brug, der ikke er tilfældig, men strukturel — et billede, der er nyttigt sammen med den risikokortlægning, denne side handler om.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.