De fleste organisationer har allerede noget der hedder overvågning. Et dashboard, et rapporteringsformat, et periodisk møde hvor risici bliver drøftet. Problemet er ikke at dette mangler. Problemet er at AI-overvågning bliver stillet ved siden af som en løsrevet del, med sin egen rytme, sin egen ejer og sin egen skabelon. Den der allerede har tre processer til at følge risiko, kommer ikke til trofast at udfylde en fjerde proces. Det bliver en forpligtelse der bliver klaret af én gang i kvartalet, eller slet ikke.
Det er grunden til at overvågning af AI-brug så ofte ikke giver noget. Ikke fordi spørgsmålene er forkerte, men fordi selve processen forbliver et fremmedlegeme i en organisation der allerede har processer for risiko, compliance og intern kontrol.
Overvågning der giver noget, begynder ikke med et format men med et spørgsmål: hvad ændrer sig, og hvem bemærker det først? For AI-systemer betyder dette tre lag.
Det første lag er brug: bliver et system stadig brugt som tiltænkt, eller har anvendelsen forskudt sig uden at nogen har meldt det? Et værktøj der begyndte som tekstkontrol og nu bliver brugt til at formulere udkast til beslutninger, er en anden risiko end den der blev fastslået ved starten.
Det andet lag er oprindelse: er systemet stadig det samme som da det blev klassificeret? Underliggende modeller bliver udskiftet, leverandører ændrer deres vilkår, et løsrevet værktøj bliver integreret i en større platform. Enhver ændring kan gøre datidens risikovurdering ugyldig uden at nogen vurderer det på ny.
Det tredje lag er signal: er der klager, fejlmeldinger eller afvigelser der peger på at noget ikke fungerer som antaget? Dette er det lag der oftest mangler, fordi ingen har interesse i at melde et problem med et system der officielt ikke findes.
En organisation der allerede har en risikocyklus for operationelle risici, finansielle risici eller databeskyttelse, kommer ikke til at starte en ny cyklus for AI. Det er ikke uvilje; det er et spørgsmål om kapacitet. Den der forsøger det, ser to ting ske. Enten løber den nye overvågning tør, fordi ingen finder tid til at fodre et system som ingen efterspørger. Eller den nye overvågning bliver overtaget af de samme mennesker der allerede driver den eksisterende cyklus, og så forsvinder skellet af sig selv.
Spørgsmålet er derfor ikke om der skal komme en separat AI-overvågningsproces. Spørgsmålet er hvordan AI-signaler havner i den eksisterende cyklus, så de bliver drøftet i det samme møde, med den samme ejer og i den samme rytme som andre risici. Hvordan det præcis bliver indrettet, afhænger af hvordan den eksisterende cyklus allerede fungerer: nogle organisationer har en kvartalsrapportering til revisionsudvalget, andre et månedligt risikomøde på direktionsniveau, atter andre en løbende log der bliver opdateret pr. hændelse. Mere om hvordan De indlejrer overvågning i det der allerede kører i stedet for at stille noget ved siden af findes på en separat side, fordi den mekanisme bliver udformet forskelligt fra organisation til organisation.
Det der derimod passer universelt ind, er en fast form hvori status for AI-systemer bliver fastlagt: hvad kører der, i hvilken rolle, med hvilket risikoniveau, og hvornår er det sidst bekræftet. Ikke som et løsrevet AI-dokument, men som bilag eller fast del af den rapportering der allerede findes. Det kan tilsluttes en bestyrelsesrapportering på én side der sammenfatter risici uden at tilsløre dem, så overvågning ikke bliver en separat informationsstrøm, men en linje i en tabel som direktøren allerede læser.
Denne form fungerer kun hvis den underliggende klassificering selv forbliver aktuel, og den klassificering skal igen tilsluttes den risikostruktur der allerede findes. Uden den tilslutning forbliver overvågning et andet sprog ved siden af det første, og det andet sprog bliver glemt så snart presset stiger. Hvordan den tilslutning ser ud, afhænger af hvordan risikostruktur og AI-klassificering mødes i det en organisation allerede bruger, og kan ikke beskrives i generelle termer uden at kende den eksisterende struktur.
Overvågning der fungerer godt, signalerer ikke kun risiko men også forskydning: systemer der bliver brugt anderledes end tiltænkt, eller opgaver der stille er blevet overtaget uden at nogen har registreret det. De samme signaler er også information om hvor mennesker rent faktisk bruger deres tid, og hvor AI reelt allerede overtager arbejde uden at det er skrevet ned nogen steder. Den der ønsker at gøre det spørgsmål mere konkret end en risikoklassificering tillader, kan hos FTE TO AI's arbejdsscan se hvilken del af arbejdet pr. opgave er egnet til AI, uafhængigt af om det allerede sker eller stadig skal besluttes. Den scan regner ikke i risiko, men i opgaver og timer, og tilslutter sig dermed det overvågning signalerer uden at forklare det.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.