En klassifikation af en AI-anvendelse beskriver en situation på et bestemt tidspunkt: hvilken model, hvilken anvendelse, hvilke brugere, hvilken risiko. Den situation forandrer sig. En leverandør tilpasser en model, et team bruger et værktøj til noget andet end det, det blev anskaffet til, en udbyder tilføjer en funktion uden at nogen anmoder om tilladelse til det. Den klassifikation, du foretog sidste år, beskriver derfor ikke automatisk stadig dagens situation.
Spørgsmålet "hvor ofte" har ikke et fast svar, der gælder for hver organisation. Det afhænger af, hvor mange AI-anvendelser der er, hvor hurtigt de forandrer sig, hvor forskellige de teams er, der arbejder med dem, og hvor strengt tilsynet er i den sektor, hvor De opererer. Et fast årligt tidspunkt er et udgangspunkt, ikke en garanti for, at De ikke overser noget derimellem.
En årlig eller halvårlig fornyet vurdering fungerer godt for anvendelser, De allerede kender, og som er kommet ind via et formelt forløb. For anvendelser, som ingen har meldt, fungerer et fast interval ikke, simpelthen fordi der ikke er noget at revurdere på en fast dato. Hvad gør De med medarbejdere, der bruger et værktøj, som ingen har godkendt beskriver, hvorfor det spørgsmål ikke løses med en tilbagevendende aftale i kalenderen, men med en anden måde at stille spørgsmål til organisationen.
Derudover ændrer risiko sig ikke kun ved, hvad en anvendelse gør, men også ved, hvad den bliver fodret med. Et chatvindue, der i dag bruges til at opsummere offentlig tekst, kan i morgen blive brugt til at opsummere en kontrakt. Hvad gør De med virksomhedsdata i et gratis chatvindue viser, at risikoniveauet for det samme værktøj kan forskyde sig, uden at værktøjet selv ændrer sig.
Udover et fast tidspunkt er der begivenheder, der kalder på en mellemliggende fornyet vurdering. En ændring i en anvendelses funktion, en udvidelse af brugergruppen, en hændelse eller en nær-miss, en ændring i leverandørens vilkår, eller et signal fra en medarbejder om, at noget bruges anderledes end tilsigtet. Disse signaler er ikke alle lige tunge, og ikke alle organisationer vil bemærke dem lige hurtigt.
Spørgsmålet om, hvem der reagerer på disse signaler, og hvem der har ejerskab over selve den fornyede vurdering, er et separat spørgsmål. Hvem er ansvarlig, hvis en AI-anvendelse begår en fejl beskriver, at ansvar ofte først fastlægges på det tidspunkt, hvor noget går galt, mens dette spørgsmål egentlig allerede skulle have været besvaret ved den første klassifikation.
Et rytme for fornyet vurdering, der placeres ved siden af de eksisterende risikoprocesser uden at blive integreret i dem, mister for det meste prioritet inden for et år. Det er et ekstra skridt, som ingen efterspørger, før noget går galt, og netop derfor bliver det liggende. Hvorfor et andet proces ved siden af det eksisterende bliver ignoreret forklarer, hvorfor fornyet vurdering fungerer mere effektivt, når den er indlejret i eksisterende risikoledelse, i stedet for som et selvstændigt forløb, der konkurrerer om opmærksomhed med resten af organisationen.
En klassifikationsmetode kan give en struktur til konsekvent at vurdere AI-anvendelser efter rolle og risikoniveau, og den struktur kan anvendes gentagne gange. Hvad metoden ikke kan, er at garantere, at De ser alt. En klassifikation er kun så god som den information, den bygger på, og den information kommer delvist fra mennesker, der kan have en grund til ikke at melde noget. En medarbejder, der bruger et værktøj, som ikke er godkendt, melder ikke det af sig selv, hvis forventningen er, at der følger en sanktion.
Metoden kan heller ikke forudsige, hvornår en leverandør ændrer en model, eller hvornår en anvendelse, der i dag har lav risiko, i morgen anvendes anderledes. Fornyet vurdering forbliver derfor et spørgsmål om gentagelse og om at organisere åbenhed, ikke om et system, der indstilles én gang og derefter forbliver aktuelt af sig selv. Hvordan De holder det register ajour, uden at det efter et par måneder er bagud igen, er beskrevet i hvordan holder De et AI-register ajour, hvor forskellen mellem en engangsopgørelse og et løbende proces står centralt.
Hertil hører også spørgsmålet om, hvad tilsyn med AI i praksis betyder mellem de fornyede vurderinger: hvem følger med, med hvilken frekvens, og på baggrund af hvilke signaler. Hvad er menneskeligt tilsyn i praksis skaber netop det skel mellem tilsyn som et formelt afkrydsningsfelt og tilsyn som noget, der løbende følger brugen.
En klassifikation fortæller Dem, hvilke anvendelser der findes, hvilken rolle de har, og hvilket risikoniveau der passer dertil. Den klassifikation fortæller Dem ikke, hvor meget af arbejdet der reelt udføres af AI, og hvor meget rum der stadig er til overs pr. opgave. Den, der vil besvare det spørgsmål, kan ikke nøjes med en risikoopgørelse; det kræver et blik på selve arbejdet, opgave for opgave. Arbejdsscanningen fra FTE TO AI beregner pr. opgave, hvor stor en del af den, der kan overtages af AI, som et supplement til det billede, en klassifikation giver.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.