Mange governance-initiativer starter med en ny proces: en formular, et godkendelsestrin, et udvalg der skal vurdere AI-brug, før det sættes i gang. Antagelsen er, at medarbejderne vil følge denne proces, fordi den findes. I praksis sker det sjældent. Den, der kan udføre en opgave hurtigere med et værktøj, han selv har fundet, spørger ikke om tilladelse hos et udvalg, hvis dagsorden han ikke kender, og hvis behandlingstid han ikke kan vurdere. Han bruger værktøjet og tier om det.
Det er ikke modvilje. Det er en rationel reaktion på en proces, der står ved siden af arbejdet i stedet for i det. En ekstra proces kræver tid, medfører usikkerhed om resultatet og giver ingen synlig fordel for den, der følger den. Sandsynligheden for, at den ignoreres, er derfor større end sandsynligheden for, at den følges.
Resultatet er ikke, at der ikke bruges AI. Resultatet er, at der bruges AI uden for synsvidde for den, der er ansvarlig. IT's liste over godkendte værktøjer forbliver da en beskrivelse af, hvad der engang er blevet ansøgt om, ikke af hvad der faktisk bruges. Mellem disse to lister kan der være en betydelig forskel, og ingen, der kun kigger på den godkendte liste, kan se den forskel.
Dette berører direkte spørgsmålet om, hvem der er ansvarlig, når en AI-anvendelse begår en fejl. En leder, der vil kunne placere ansvar, må vide, hvilket system der har påvirket en beslutning. Hvis det system aldrig er blevet registreret, fordi registreringsproceduren blev sprunget over, mangler dette grundlag i det øjeblik, det er nødvendigt.
Den metode, vi anvender, starter ikke med en godkendelsesproces, men med en kortlægning, der spørger i stedet for at kontrollere. Forskellen er lille i form og stor i effekt. En medarbejder, der bliver spurgt, hvad han bruger og til hvad, uden at det har konsekvenser for ham selv, har ingen grund til at fortie svaret. En medarbejder, der ved, at et ærligt svar kan føre til et forbud eller en korrektion, har al mulig grund til at justere sit svar.
Dette er et svagt punkt i metoden, og det vil vi hellere påpege end fortie. En kortlægning uden konsekvenser giver et mere ærligt billede end en audit med følger, men den giver ingen garanti for, at al brug bliver meldt. Den, der bruger et værktøj, han har en anelse om er problematisk, kan stadig tie, selv uden en direkte trussel. Kortlægningen sænker tærsklen for at melde det; den fjerner ikke den tærskel fuldstændigt. Hvad metoden derimod giver, er en større sandsynlighed for et fuldstændigt billede end en proces, der på forhånd allerede antyder straf.
En ekstra proces bliver ignoreret. En tilføjelse til en eksisterende proces har større chance for at blive fastholdt. Derfor klassificerer vi AI-brug efter rolle og risikoniveau inden for den risikostruktur, en organisation allerede anvender, i stedet for at sætte en ny struktur op ved siden af. Hvad der klassificeres som høj risiko, ender samme sted som andre høje risici i det eksisterende risikoregister. Det betyder også, at spørgsmålet om, hvor ofte man skal klassificere på ny, ikke kræver en ny kalender, men passer ind i den eksisterende cyklus for risikovurdering.
Denne tilpasning løser ikke alt. Et AI-register, der er udarbejdet én gang, forældes, så snart nogen tager et nyt værktøj i brug uden at melde det. Derfor er spørgsmålet om, hvordan et AI-register holdes ajour, lige så vigtigt som den første kortlægning. Et register, der ikke bliver vedligeholdt, er efter et stykke tid igen blot en beskrivelse af fortiden.
Tilsyn med AI-brug bliver ofte fremstillet som et teknisk spørgsmål: et system der overvåger, et dashboard der melder. Men tilsyn, der fungerer, begynder hos mennesker, der forstår, hvorfor det giver mening at melde, og som ved, hvad der sker med deres svar. Det er et spørgsmål om adfærd, ikke kun om teknik, og det hænger sammen med, hvad menneskeligt tilsyn i praksis betyder ude på arbejdsgulvet, og med hvad AI-kompetence for medarbejdere konkret indebærer. Uden denne forståelse forbliver enhver proces, uanset hvor godt den er udformet, en formular, folk udfylder, fordi de skal, ikke fordi den giver noget udbytte.
Denne fremgangsmåde giver ingen fuld sikkerhed for, at alle AI-anvendelser bliver fundet. Den sænker tærsklen for at melde og passer ind i eksisterende strukturer, men en organisation, der kortlægger for første gang, må tage højde for, at en del af brugen forbliver usynlig, selvom den del efter en omhyggelig kortlægning som regel er mindre end før.
En kortlægning af AI-brug viser, hvad der kører, og hvem der bruger det, men den siger endnu ikke noget om, hvor meget af det underliggende arbejde AI reelt kan overtage. Det spørgsmål ligger et skridt videre og besvares af FTE TO AI's arbejdsscan, der beregner pr. opgave, hvilken del af arbejdet der kan overtages. Den, der først ved, hvilke værktøjer der bruges i organisationen, kan med den scan undersøge, hvad den brug betyder for indretningen af selve arbejdet.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.