Spørgsmålet om, hvorvidt en AI-anvendelse anses for højrisiko, lyder som en teknisk kvalificering. I praksis er det en indplacering, der afhænger af en række konkrete faktorer, og denne indplacering afgør efterfølgende, hvor meget tilsyn, dokumentation og påviselighed der forventes af Dem. De aktuelle lovmæssige definitioner og grænser findes ikke på denne side; dem finder De et andet sted. Her forklarer vi, hvad indplaceringen afhænger af, og hvad der ændrer sig i Deres organisation, hvis den indplacering ændres.
Der findes ikke ét kendetegn, der gør en anvendelse til højrisiko. Det er en kombination af faktorer, der sammen former billedet: det domæne, hvor anvendelsen tages i brug, i hvilken grad en beslutning har direkte konsekvenser for en person, og spørgsmålet om, hvorvidt der er et menneske, der faktisk kan vurdere AI'ens rådgivning eller resultat og om nødvendigt korrigere det, før det får effekt. En anvendelse, der kun opsummerer tekst, placerer sig normalt anderledes i denne indplacering end en anvendelse, der indgår i en beslutning om en enkeltperson. Også den kontekst, hvori en anvendelse bruges, spiller en rolle: den samme underliggende teknik kan i ét domæne gælde som lav risiko og i et andet som høj risiko, afhængigt af, hvad der sker med resultatet.
Dette er en af årsagerne til, at en liste over godkendt software ikke er nok. Indplaceringen afhænger ikke af mærkatet på pakken, men af, hvordan den faktisk bruges, og hvor den befinder sig i beslutningsprocessen.
Hvis en anvendelse vurderes at have en højere risiko, ændrer der sig noget i forhold til, hvad der forventes af organisationen: mere dokumentation for, hvordan anvendelsen fungerer og er testet, en tydeligere tilsynsmekanisme for resultaterne, og en måde at kunne vise bagudrettet, hvem der har været opmærksom på hvad. Det er ikke en engangshandling, men en løbende forpligtelse: dokumentationen og tilsynet skal forblive aktuelle, så længe anvendelsen er i brug.
Indplaceringen er heller ikke statisk. En anvendelse, der i dag anses for begrænset risiko, kan i morgen blive brugt anderledes — i et andet domæne, med en større indvirkning på enkeltpersoner, eller med mindre menneskelig indgriben end tidligere. De, der fastlægger indplaceringen én gang og derefter ikke reviderer den, risikerer, at klassificeringen ikke længere svarer til den faktiske brug. Det gælder i lige så høj grad for anvendelser, der tilpasses efter anskaffelsen; hvad der præcist ændrer sig, når De selv justerer en model, afhænger af arten af denne tilpasning, som beskrevet på siden om tilpasninger af en model.
Klassificeringen af en anvendelse er kun meningsfuld, hvis den anvendes på det, der faktisk bruges. En stor del af brugen i en organisation forløber uden for det officielle inventar: teams, der bruger en sprogmodel til en kladde til en e-mail, en analytiker, der bruger en ekstern model til en første version af en rapport, en afdeling, der har anskaffet et værktøj uden at melde det. Denne brug opstår ikke af ond vilje. Den opstår, fordi den officielle vej er langsommere end behovet, eller fordi ingen vidste, at der skulle følges en bestemt vej.
Konsekvensen er, at IT-listen sjældent giver et fuldstændigt billede. De, der vil vide, hvad der reelt er behov for med hensyn til risikoklassificering, må selv kortlægge brugen — og det kræver, at man stiller spørgsmål til de mennesker, der udfører arbejdet, uden at det medfører en afstraffelse. De, der allerede ved den første samtale fornemmer, at et ærligt svar vil have konsekvenser, svarer ikke ærligt. Det gør inventariet ubrugeligt, før det er færdiggjort.
Ikke alle anvendelser af AI falder inden for den ramme, hvor risikoklassificering er relevant. Nogle anvendelser falder på grund af deres art eller formål uden for reguleringens anvendelsesområde, og det er tilrådeligt at foretage dette skel tidligt, før De bruger tid på en klassificering, der ikke er nødvendig; hvilke anvendelser det gælder, er beskrevet på siden om anvendelser, der falder uden for forpligtelsernes anvendelsesområde. Også den rolle, Deres organisation spiller — som udbyder af et system eller som bruger af det — påvirker, hvilke forpligtelser der er forbundet med en risikoklassificering, og denne rolle er ikke altid klar på forhånd; hvad der er afgørende i den sammenhæng, kan De læse på siden om sondringen mellem udbyder og bruger. Denne samme rolle kan for øvrigt ændre sig, så snart De tilpasser et system eller udbyder det under eget navn, hvilket bliver nærmere forklaret på siden om de omstændigheder, hvorunder Deres rolle ændres.
En indplacering efter risikoniveau giver næsten altid anledning til det opfølgende spørgsmål om, hvad der er akut, og hvad der stadig kan planlægges. Dette skel er ikke ens for alle organisationer og afhænger af, hvilke anvendelser der allerede er i produktion, og hvilke der stadig er under udvikling. Et overblik over, hvad der som regel kræver opmærksomhed først, og hvad der kan følge senere, findes på siden om hvad der skal ske nu, og hvad De kan planlægge.
Når det først er klart, hvilke anvendelser i Deres organisation der anses for højrisiko, følger der naturligt et andet spørgsmål: hvor meget af det underliggende arbejde der faktisk udføres af AI, og hvor meget af mennesker, der kontrollerer eller supplerer resultatet. Dette spørgsmål ligger uden for denne scans anvendelsesområde, men besvares af FTE TO AI's arbejdsscan, som beregner pr. opgave, hvor stor en del af arbejdet der med rette kan overtages af AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.