Kennisbank

AI-governance for energiselskaber: styr på hvad der reelt kører

Hvad der gør energisektoren anderledes

Et energiselskab kombinerer to verdener, der sjældent har samme ejer. På den ene side står den operationelle teknik: måle- og reguleringssystemer, netdrift, vedligeholdelse af kritisk infrastruktur. På den anden side står kontoret: kundekontakt, fakturering, planlægning, juridiske og compliance-afdelinger. AI dukker op i begge dele, men med et andet forhold mellem risiko og fordel. I det operationelle lag berører en AI-anvendelse hurtigt systemer, hvor udfald eller en forkert beslutning har direkte konsekvenser uden for organisationen. I kontorlaget handler det oftere om tekst, data og beslutningsstøtte, med en risiko der er mere sammenlignelig med andre sektorer. Governance, der behandler disse to lag under ét, misser pointen: hvad der i det ene lag er en effektivitetsgevinst, er i det andet lag et spørgsmål om sikkerhed og tilsyn.

Dertil kommer, at energiselskaber ofte er underlagt skærpet tilsyn, er bundet af sektorspecifikke meldepligter og arbejder med data, der berører national infrastruktur. Det gør spørgsmålet "hvem har brugt AI her, og på hvad" mere vægtigt end i en gennemsnitlig kontormiljø. Regelindholdet bag dette — hvilke forpligtelser der præcist gælder og hvornår — behandles andetsteds; her handler det om mekanismen, hvormed en organisation får og bevarer overblik over, hvad der sker.

IT-listen er ikke det fulde billede

Den, der spørger, hvilke AI-systemer der er i brug, får fra IT-afdelingen en liste over godkendte værktøjer. Den liste er et udgangspunkt, ikke virkeligheden. En planlægger, der bruger en sprogmodel til at sammenfatte vedligeholdelsesrapporter, en analytiker, der fodrer en ekstern model med måledata for at genkende mønstre, en kontraktmedarbejder, der konsulterer en chatbot ved en driftsforstyrrelsesprotokol: det sker ofte uden at en anmodning er indgivet eller en godkendelse er indhentet. Ikke af modvilje, men fordi det virker, og ingen har spurgt om det.

Kernen i en inventarisering er derfor ikke at afkrydse de kendte systemer, men at få et billede af, hvad der reelt sker. Det kræver en anden tone end en audit. Den, der vil vide, hvad en medarbejder bruger, skal spørge uden at der er en afregning knyttet til det — ellers forsvinder svaret lige så hurtigt som brugen selv. Hvordan denne samtale ser ud, og hvorfor en sanktion virker mod hensigten, er beskrevet i hvordan De forhindrer, at medarbejdere bruger et værktøj, som ingen kender til. En specifik risiko inden for dette bredere billede er indtastning af virksomhedsdata — måledata, kontraktvilkår, netværksdata — i et gratis chatvindue uden for organisationen; hvad der her er på spil, og hvordan det kan genkendes, står i hvordan De forhindrer, at virksomhedsdata forsvinder i et gratis chatvindue.

Klassificering efter rolle og risiko, ikke efter afdeling

Efter inventariseringen følger spørgsmålet om, hvad et system egentlig gør. En AI-anvendelse, der omskriver tekst til et kundebrev, har en anden rolle end en model, der medbestemmer om vedligeholdelsesplanlægning på baggrund af sensordata. Klassificeringen skal fastlægge denne rolle og det tilhørende risikoniveau, uafhængigt af hvilken afdeling der tilfældigvis bruger værktøjet. Det er her, energisektoren kræver sin egen tilgang: et værktøj, der er uskadeligt i et marketingteam, kan få en anden vægt i et netdriftsteam, fordi resultatet slår igennem i et fysisk system.

Denne tilgang — inventarisering, klassificering, indplacering i eksisterende governance — er ikke unik for energisektoren. Sammenlignelige spørgsmål gør sig gældende hos organisationer, der arbejder med fysiske installationer og sikkerhedsrisici, som beskrevet i AI-governance hos installationsvirksomheder med en teknisk og udførende praksis og i AI-governance i byggeriet, hvor planlægning og udførelse mødes. Også sektorer med strenge tilsynskrav, som det fremgår af AI-governance i sundhedssektoren, hvor patientsikkerhed og tilsyn mødes, viser, at governance-formen forskydes, i takt med at konsekvenserne af en fejl bliver større. Den, der drager denne sammenligning, ser, at energisektoren ikke er unik i spørgsmålet, men i tyngden af svaret.

Tilpasning til det, der allerede findes

Et governance-sæt, der lægges sammen med den eksisterende risikostruktur, fungerer bedre end en ny ramme derudover. Energiselskaber har som regel allerede en risikostyringsstruktur for operationel sikkerhed og compliance. AI-governance bør være en forlængelse af denne, med de samme rapporteringslinjer til bestyrelse og tilsynsmyndighed, ikke en løsrevet proces, der skal føres separat, og som en dag ligger side om side med de øvrige risikorapporteringer uden nogensinde at mødes.

Fra overblik til indsigt i selve arbejdet

Så snart det er klart, hvilke AI-anvendelser der findes, og hvilken risiko de repræsenterer, følger et andet spørgsmål: hvad betyder det for det arbejde, mennesker udfører nu. En inventarisering viser, hvad der kører; en arbejdsscan viser, hvad dette kørende betyder for opgaver, funktioner og kapacitet. Arbejdsscanen fra FTE TO AI beregner for hver opgave, hvor stor en del af arbejdet der kan overtages af AI, og lægger dermed også kapacitetsbilledet side om side med risikobilledet. Det er det logiske næste skridt efter en inventarisering: ikke blot at vide, hvad der sker, men også hvad det betyder for den organisation, der skal arbejde med det.