En leverandør leverer et bogføringssystem, et HR-system eller et kundeserviceværktøj. Der er en kontrakt, en databehandleraftale, muligvis en sikkerhedsaudit. Så tilføjer leverandøren i en opdatering en AI-funktion: automatisk klassificering, tekstforslag, en chatbot der er sat løs på Deres data. Release notes kalder det en forbedring. Ingen i Deres organisation har haft noget at sige om det, fordi ingen vidste, at det var på vej.
Dette er ikke en undtagelse fra, hvordan software leveres. Det er blevet standarden. Leverandører konkurrerer på AI-funktionalitet og indbygger den så hurtigt som muligt, ofte som del af et abonnement De allerede betaler for. Spørgsmålet om, hvorvidt dette falder ind under Deres eksisterende aftaler, bliver sjældent stillet, før funktionen går i luften.
En indkøbsafdeling vurderer en leverandør ved anskaffelsen. Derefter flytter opmærksomheden sig til faktura, driftstid og support. Funktionelle opdateringer løber uden om denne proces, fordi de falder under vedligeholdelse, ikke under en ny anskaffelse. Hvem skulle melde det? Leverandøren ser det som en produktforbedring. Indkøberen ser ikke opdateringen, eller ser den og tænker, at det er en andens ansvar. Brugeren i organisationen bemærker primært, at en knap gør noget klogere, og spekulerer ikke over, om der bag ved ligger en sprogmodel, som behandler data eksternt.
Mønstret ligner det, der sker med en browserudvidelse med adgang til Deres mail: adgangen gives i et øjeblik, hvor ingen tænkte på AI, og forbliver derefter aktiv uden at blive bemærket. Hos leverandører er skalaproblemet større, fordi det ikke handler om én medarbejder, men om en hel organisation, som eksponeres via én kontrakt.
En kontraktbestemmelse, der pålægger meldepligt ved AI-funktionalitet, hjælper ved nye kontrakter. Ved eksisterende kontrakter findes bestemmelsen ikke, og det er ikke en selvfølge, at en leverandør accepterer den med tilbagevirkende kraft. Desuden løser en klausul ikke detektionsproblemet: hvis ingen periodisk kontrollerer, hvad en leverandør reelt har tilføjet, forbliver meldingen afhængig af leverandørens vilje til selv at melde det.
Hvad der derimod virker, er en fast øjebliksregistrering: en periodisk kortlægning af, hvad hver kerneleverandør på nuværende tidspunkt leverer af AI-funktionalitet, løsrevet fra hvad der blev vurderet ved anskaffelsen. Det er ikke et juridisk instrument, men en faktuel oversigt, som derefter kan vurderes mod risikokategorien for den proces, leverandøren opererer i.
Samme dynamik, der holder skygge-AI hos medarbejdere i live, gør sig gældende her, blot på leverandørniveau. Den, der stiller spørgsmålet "bruger I AI til dette", vil have et ærligt svar, ikke en forsvarsreaktion fra account manageren. Det betyder, at spørgsmålet ikke bør stilles som optakt til kontraktopsigelse, men som del af en fast proces, hvor svaret ikke har anden konsekvens end klassificering. Se hvordan det fungerer hos medarbejdere, der bruger et værktøj, som ingen har godkendt: den brugbare information kommer først frem, når det at stille spørgsmål er løsrevet fra det at straffe.
En leverandørliste er et udgangspunkt, ikke et slutpunkt. For hver leverandør, der har adgang til produktionsdata, kundedata eller personaledata, er det relevant, om der nu er indbygget AI-funktionalitet, hvad den funktionalitet gør med dataene, og om den anvendelse falder inden for samme risikokategori, som leverandøren oprindeligt blev godkendt til. En leverandør, der for fem år siden blev vurderet som lav risiko, fordi vedkommende kun fakturerede, kan nu køre et modul, der automatisk klassificerer fakturaer baseret på en sprogmodel, der er trænet eksternt. Det er en anden risikokategori, selv om det samme navn står på fakturaen.
Denne kortlægning bør ikke stå isoleret fra resten af AI-governance i en organisation. Den samme klassificering, der anvendes på internt byggede værktøjer eller på en prøveopstilling, der aldrig blev slukket, bør også anvendes på det, leverandører bringer med sig. Én oversigt, én risikoskala, uanset om AI'en er bygget internt, er bragt med af en medarbejder, eller er tilføjet af en leverandør uden varsel.
Så snart det er klart, hvilken AI der kommer ind via leverandører, opstår et opfølgende spørgsmål, der går videre end risiko alene: hvad gør den AI reelt med det arbejde, der nu udføres af mennesker, og hvor overlapper det med opgaver, der alligevel er kandidater til automatisering. Arbejdsscanningen fra FTE TO AI beregner pr. opgave, hvor stor en del af arbejdet der kan overtages af AI, uanset hvilken leverandør eller hvilket system der i sidste ende udfører det. Det gør kortlægningen, der starter med risiko, også brugbar til det spørgsmål, der kommer bagefter: ikke blot hvad der kører, men hvad arbejdet reelt er værd.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.