Meget monitorering af AI-brug bliver til som et separat initiativ: en ny formular, et nyt møde, et nyt dashboard. Det ser komplet ud på lanceringstidspunktet. Et år senere er det udvandet. Ikke fordi indholdet var dårligt, men fordi det stod ved siden af den eksisterende struktur i stedet for i den.
Spørgsmålet er derfor ikke kun, hvad der skal monitoreres, men hvor den monitorering lander. En proces, som ingen behøver at huske, fordi den allerede er en del af en rutine, der alligevel kører, overlever. En proces, der kræver et ekstra trin af mennesker, der allerede er fuldt optaget, springes over efter noget tid. Det er ikke uvillighed. Det er en forudsigelig konsekvens af, hvordan organisationer forvalter tid og opmærksomhed.
Enhver organisation har allerede en rytme: kvartalsrapporteringer, risikokomitéer, revisionscyklusser, teammøder. Hvis monitorering af AI-brug introducerer en ny rytme, konkurrerer den med alt det, der allerede findes — og taber som regel. Der er intet punkt på dagsordenen for den, ingen ejer, der ser den som en kerneopgave i sin stilling, intet tidspunkt, hvor den naturligt kommer op.
Hvis monitorering derimod bliver et spørgsmål, der allerede stilles — i det eksisterende risikokomité, i den eksisterende interne kontrol, i den eksisterende rapporteringslinje til bestyrelsen — behøver ingen at huske noget nyt. Spørgsmålet "hvilke AI-anvendelser er kommet til eller ændret" bliver da lige så naturligt som "er der nye leverandører" eller "har der været hændelser". Hvordan denne tilslutning konkret udformes, afhænger af, hvordan tilslutning til den eksisterende risikostruktur allerede er indrettet hos jer — den struktur er angrebspunktet, ikke noget ved siden af.
Et fungerende monitoreringsdokument er kort nok til at blive brugt gentagne gange og specifikt nok til at melde noget, hvis der ændrer sig noget. Det indeholder i hvert fald:
Dokumentets værdi ligger ikke i fuldstændighed på dag ét. Det er sjældent opnåeligt og heller ikke nødvendigt. Værdien ligger i, at det bliver holdt ved lige, og at det at holde det ved lige ikke kræver en separat indsats oven i det, der allerede sker.
Monitorering afhænger af, hvad mennesker er villige til at melde. Så snart det at melde er ensbetydende med risikoen for at blive holdt ansvarlig for noget, stopper informationen. En person, der leverer en opgave hurtigere end forventet ved hjælp af et AI-værktøj, melder ikke det, hvis konsekvensen er inddragelse af budget eller en ubehagelig samtale. Listen forbliver da formelt komplet og indholdsmæssigt tom — præcis det problem, der opretholder skygge-AI.
Konsekvensen er, at monitorering kun virker, hvis spørgsmål stilles uden bebrejdelse. Ikke fordi brug ikke bør have konsekvenser, men fordi det første trin — at vide, hvad der foregår — kræver en anden indstilling end det andet trin — at vurdere, om det er passende. Den, der lader disse to trin falde sammen, får et ærligt svar på ingen af dem.
Denne skelnen er også der, hvor governance og ansvarlighed mødes. Synlighed for bestyrelsen behøver ikke betyde, at hver enkelt anvendelse kommer på bordet; det handler om et rapporteringsniveau, der gør det muligt at foretage en vurdering uden at drukne i detaljer, som beskrevet ved en bestyrelsesrapportering på én side. Det, der ligger under det — registreringen af beslutninger om konkrete anvendelser — hører snarere hjemme i en oversight-beslutningsliste end i det dokument, der går opad.
Om et politikdokument selv bliver læst, er et lignende spørgsmål: en tekst, som ingen slår op i, giver lige så lidt holdepunkt som en monitoreringsproces, som ingen udfylder. Se hertil en AI-politik, der bliver læst. Og for den, der spekulerer på, hvilken del af dette ansvar der hører hjemme ved bestyrelsesbordet, og hvilken del der hører hjemme i IT-governance, er der en skelnen mellem hvad en bestyrelsesleder bør vide om AI-risiko og hvad en CIO bør vide om AI-risiko — begge kræver forskellige detaljeringsniveauer inden for den samme monitoreringsproces.
En monitoreringsstruktur, der tilslutter sig det, der allerede findes, giver på et tidspunkt et pålideligt billede af, hvilke AI-anvendelser der er i brug, og til hvad. Den kortlægning er et andet spørgsmål end, hvor meget af det underliggende arbejde der faktisk udføres af AI, og med hvilken effekt. Den, der ønsker at få det udregnet pr. opgave — hvilken del af en funktion eller proces der kan overdrages til AI, baseret på de opgaver, som de udføres nu — finder det i arbejdsscanningen fra FTE TO AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.