Spørgsmålet om, hvorvidt en AI-anvendelse inden for jeres organisation gælder som højrisiko, er ikke et spørgsmål, man besvarer én gang og derefter afkrydser. Det er et resultat af en række faktorer, der sammen bestemmer, hvor tungt en anvendelse vejer. Ændrer en af disse faktorer sig, ændrer klassificeringen sig muligvis også. Det gør risikoklassificering mindre til et spørgsmål om udfyldning og mere til et spørgsmål om løbende opfølgning.
Denne side beskriver mekanismen bag den klassificering: hvad afhænger den af, og hvad sker der, når situationen ændrer sig. De aktuelle lovbestemte definitioner og tærskler findes andetsteds; her handler det om, hvad man skal kunne se og påvise i den egne organisation.
En række faktorer spiller strukturelt en rolle i spørgsmålet om, hvorvidt en anvendelse vejer tungt.
Den første er det domæne, hvor anvendelsen tages i brug. Nogle domæner — tænk på beslutninger om mennesker, deres muligheder eller deres rettigheder — vejer tungere end anvendelser, der udelukkende er interne og understøttende. Hvad anvendelsen præcist gør inden for det domæne, gør en forskel: et system, der rådgiver, vejer anderledes end et system, der beslutter automatisk.
Den anden faktor er den rolle, jeres organisation spiller i forhold til systemet. Bygger man det selv, køber man det ind, eller bruger man en tjeneste, hvor AI er indbygget, uden at man har indkøbt det som sådan? Den rolle, man udfylder — udbyder eller bruger — bestemmer blandt andet, hvilke forpligtelser der ligger hos jer, og hvilken del af ansvaret der forbliver hos en leverandør.
Den tredje faktor er, hvad der sker med modellen efter den første ibrugtagning. Et system, der bruges uændret, som det er leveret, er en anden situation end et system, man finjusterer, omkonfigurerer eller lader lære på egne data. Hvad der ændrer sig, når man selv tilpasser en model er derfor et spørgsmål, der skal besvares separat — tilpasning kan gøre, at et system skifter kategori.
Den fjerde faktor er omfanget: hvor mange mennesker berøres, med hvilken frekvens, og hvor reversibel er en fejl. En anvendelse, der bruges sporadisk af et lille team, vejer anderledes end en anvendelse, der dagligt påvirker beslutninger for tusindvis af kunder.
Disse faktorer er ikke statiske. En anvendelse, der i dag gælder som begrænset risiko, kan ikke være det i morgen — ikke fordi reglerne ændrede sig, men fordi anvendelsen selv ændrede sig. Et pilotprojekt, der skaleres op til hele organisationen, et internt hjælpemiddel, der begynder at berøre en kundeproces, en model, der efteruddannes på nye data: hvert af disse skridt kan få klassificeringen til at ændre sig.
Det betyder, at klassificering ikke er en engangsøvelse. Det er et spørgsmål, der skal stilles igen og igen, så snart der sker en ændring i, hvad et system gør, hvem det berører, eller hvem der administrerer det. En governance-struktur, der ikke følger dette, kommer bagud i forhold til praksis.
Ikke alle AI-anvendelser skal igennem hele dette forløb. En del af, hvad der køres inden for en organisation, falder uden for rammerne af risikoklassificering — for eksempel fordi det ikke berører beslutninger om mennesker, eller fordi det udelukkende har en understøttende, ikke-afgørende funktion. Hvor den grænse præcist ligger, og hvilke anvendelser falder uden for scope, afhænger af de samme faktorer som beskrevet ovenfor: domæne, rolle, tilpasning og omfang. Det er derfor ikke en separat liste, men den anden side af den samme vurdering.
En klassificering ændrer i sig selv ikke noget. Den bestemmer kun, hvilke opfølgende skridt der er relevante, og med hvilken hastighed. Nogle handlinger er nødvendige med det samme, andre kan planlægges — og hvad der skal ske nu, og hvad der kan planlægges hænger igen sammen med, hvor tungt anvendelsen vejer, og hvor mange mennesker den berører.
For at gøre disse skridt synlige og efterprøvelige skal beslutninger om klassificering og opfølgende handlinger dokumenteres et sted — ikke som løse notater, men som en del af en oversight-beslutningsliste, der viser, hvem der besluttede hvad, og på baggrund af hvilken information. Uden den dokumentation er en klassificering et øjebliksbillede, som ingen længere kan rekonstruere.
Dette klassificeringsspørgsmål kan kun besvares korrekt, hvis man ved, hvad der faktisk er i drift. En IT-liste med godkendte værktøjer er ikke nok til det: en stor del af anvendelsen opstår uden for den liste, i teams, der er begyndt at bruge et værktøj uden at melde det nogen steder. Den, der vil kortlægge den anvendelse, skal spørge om det — og kun gøre det, uden at der er en afregning knyttet til det, ellers udebliver svaret.
Så snart det er klart, hvilke anvendelser der findes, og hvordan de vejer, opstår et opfølgende spørgsmål, der ikke længere handler om risiko, men om arbejde: hvilken del af en opgave kan et AI-system tage over, og hvilken del forbliver menneskeligt arbejde. Det spørgsmål besvarer arbejdsscanningen fra FTE TO AI, som pr. opgave beregner, hvilken del af arbejdet der kan overtages — en anden indfaldsvinkel end risikoklassificering, men en, der bygger videre på den samme oversigt.
Denne side beskriver mekanismen bag klassificeringen. Selve Responsible AI Scan er under udvikling; den, der vil bruge resultaterne af den, så snart de er tilgængelige, kan tilmelde sig ventelisten.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.