Finansielle tjenesteudbydere kender risikostyring som fag. Der findes allerede rammer for kreditrisiko, operationel risiko, modelrisiko og compliance. Det er præcis derfor, AI-governance ligger anderledes her end i sektorer, der starter med en ren tavle: spørgsmålet er ikke, om der findes en risikostruktur, men om AI allerede er indarbejdet i den, eller om det er vokset op siden af den. Modeller til kreditscoring, fraudedetektion eller kundesegmentering har ofte eksisteret længere, end mærkatet 'AI' har været sat på dem. Governance-spørgsmålet er derfor ikke: bygger vi noget nyt, men: passer eksisterende tilsyn stadig på det, der i dag er i drift.
Forholdet mellem det, der er kendt af et modelrisikoudvalg eller en compliance-afdeling, og det, der reelt er i brug, varierer betydeligt fra institution til institution. Hos den ene er stort set alt på et tidspunkt gået gennem en valideringsproces, hos den anden kører der ud over de godkendte modeller også værktøjer, som enkelte medarbejdere eller teams selv er begyndt at bruge, uden at nogen har fået dem afprøvet. Hvilket forhold der gælder for en konkret organisation, kan ikke fastslås uden at have undersøgt det.
En institution med et modent modelrisikoramme går nogle gange ud fra, at AI dermed er dækket. Modelrisikostyring er bygget op omkring statistiske modeller med fast input og output. En sprogmodel, der opsummerer kundeforespørgsler, et værktøj, der genererer konceptsprog til et rådgivningsbrev, eller et system, der gennemsøger kontrakter, falder ikke altid inden for denne definition og glider derved igennem den eksisterende maske. Governance-spørgsmålet er derfor ikke kun, hvilke modeller der findes, men også hvilke værktøjer der genkendes som AI, og hvilke der ikke gør.
Desuden er AI'ens rolle i processen afgørende. Et værktøj, der understøtter en rådgiver i udarbejdelsen af en rådgivning, er noget andet end et værktøj, der selv genererer rådgivningen eller påvirker en accept-beslutning. Samme teknologi kan i én anvendelse være et hjælpemiddel og i en anden et led, der direkte berører en beslutning i forhold til en kunde. Klassificering efter rolle og risikoniveau er derfor nødvendig, før en institution kan sige, hvilket niveau af tilsyn der passer til hvilken anvendelse.
IT-listen over godkendte applikationer er ikke det, der bruges. Medarbejdere i den finansielle sektor arbejder med kundedossierer, transaktionsdata og fortrolige rådgivningsoplysninger, og netop denne gruppe er ikke immun mod at indsætte en tekst i et gratis chatvindue for hurtigere at få et resumé eller et konceptsvar. Hvordan denne risiko konkret opstår, og hvad der kan gøres mod den, er beskrevet i tilgangen mod virksomhedsdata i et gratis chatvindue.
Årsagen til, at denne brug forbliver usynlig, er sjældent modvilje. Det er oftere en konsekvens af uklarhed om, hvad der er tilladt, kombineret med tidspres. Den, der vil vide, hvad der reelt bruges, skal spørge direkte, og det virker kun, hvis medarbejderne ikke er bange for en sanktion på svaret. En tilgang, der tager højde for dette, er beskrevet på siden om at kortlægge værktøjer, som ingen har godkendt.
Hvad der også kendetegner den finansielle sektor, er vanen med at aflægge regnskab. En risikomanager eller General Counsel i denne sektor er vant til at kunne vise en tilsynsmyndighed eller bestyrelsen, hvordan en risiko er blevet vurderet, og hvilke foranstaltninger der følger deraf. For AI betyder det, at en oversigt ikke kan stå isoleret fra den eksisterende risikoramme; den skal passe ind i den, med samme opdeling i risikoklasser og samme rapporteringslinjer, som allerede gælder for andre risikokategorier. Et governance-sæt, der lægges ved siden af det eksisterende rammeværk i stedet for at blive indarbejdet i det, giver ekstra arbejde ved næste revisionsrunde i stedet for holdepunkt.
Indholdet af de regler, der gælder for AI, ændrer sig og holdes ajour et andet sted. Denne side beskriver mekanismen: kortlægge, hvad der er i drift, klassificere efter rolle og risiko, og indbygge resultatet i eksisterende governance-strukturer, så en institution ved et spørgsmål fra tilsynsmyndighed eller bestyrelse har et svar, der stemmer overens med, hvordan risiko allerede styres.
Spændingen mellem eksisterende tilsyn og ny brug af AI er ikke unik for den finansielle sektor. Sammenlignelige mønstre kan ses i den måde, hvorpå governance omkring AI indrettes i energisektoren, i den måde, hvorpå byggebranchen forholder sig til AI-anvendelser på arbejdspladsen og i designprocessen, og i, hvordan ejendomssektoren ser på AI i vurdering og forvaltning. Hvad der er forskelligt, er ikke mekanismen, men det sted, hvor risikoen lander: hos en bank eller et forsikringsselskab er det ofte en beslutning, der direkte berører en kunde.
En oversigt over AI-brug og den tilhørende risikoklassificering viser, hvad der er i drift, og under hvilket tilsyn det bør falde. De viser ikke, hvad denne brug betyder for indretningen af arbejdet selv: hvilken del af en opgave, som f.eks. udarbejdelse af en rådgivningsrapport, gennemgang af et dossier eller opsummering af en kundesamtale, der er egnet til at blive overtaget af AI, og hvilken del der forbliver hos en medarbejder. Dette spørgsmål ligger uden for rækkevidden af en governance-scanning og besvares af FTE TO AI's arbejdsscanning, der for hver opgave beregner, hvilken del af arbejdet der kan overdrages til AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.