En leverandør tilføjer en funktion, der under motorhjelmen kører på en sprogmodel eller en tredjeparts-API. For leverandøren er det en produktopdatering, ikke en begivenhed, der fortjener at blive meldt. Release notes nævner en ny knap, ikke teknologien bag den. Deres organisation bruger allerede softwaren, kontrakten er underskrevet på baggrund af den gamle funktionalitet, og ændringen kommer ikke gennem indkøb eller sikkerhed — de ser kun, hvad der sker ved nyanskaffelser, ikke hvad et eksisterende produkt stille og roligt får tilføjet.
Mønstret er det samme som ved en browserudvidelse med adgang til Deres mail: adgangen og funktionen findes allerede, før nogen har vurderet dem. Hos en leverandør er afstanden bare større — De kan ikke se i kildekoden og må stole på, hvad leverandøren siger, eller ikke siger.
Der er intet tidspunkt, hvor dette melder sig selv. En medarbejder bruger den nye funktion, fordi den er praktisk, ikke fordi han genkender en AI-komponent. Leverandøren har ikke noget incitament til aktivt at melde dette, så længe ingen spørger: det giver ingen omsætning og kan give anledning til spørgsmål. Og chancen for, at De selv støder på det, er lille, medmindre der sker en hændelse, eller en periodisk kontrol bemærker det.
Dette ligner dermed et internt pilotprojekt, der er blevet hængende: ligesom ved en forsøgsopstilling, der aldrig er blevet slukket mangler det ikke ond vilje, men et tidspunkt hvor nogen stiller spørgsmålet. Hos en leverandør kommer der oveni, at De er afhængig af dennes vilje til at svare.
Udgangspunktet er ikke at håndhæve kontrakten juridisk ved den første tvivl, men først at vide, hvad der foregår. Det begynder med at stille spørgsmål til leverandøren: hvilke dele af produktet bruger AI, hvilke data går derhen, og er dette ændret siden kontrakten blev underskrevet. Leverandører, der kan svare uden konsekvenser, gør det snarere sandfærdigt end leverandører, der formoder, at et ærligt svar bringer kontrakten i fare.
Samme logik gælder internt i organisationen: medarbejdere, der bruger et værktøj, som ingen ved indeholder AI, melder først dette, når det ikke medfører straf. Hvordan De organiserer det, er beskrevet under medarbejdere der bruger et værktøj, som ingen har godkendt. For en leverandør fungerer princippet på samme måde: et spørgsmål uden mistænkeliggørelse får et andet svar end et spørgsmål, der læses som optakt til sanktioner.
Så snart det er klart, hvad leverandøren har tilføjet, er det næste spørgsmål ikke juridisk, men funktionelt: hvilken rolle spiller denne AI-komponent i processen, hvad er risikoniveauet, og hvad skal være dokumenteret om det. De samme spørgsmål stiller De til enhver AI-anvendelse, De selv anvender, uanset om den kommer ind via en leverandør eller via en medarbejder, der bruger et gratis værktøj — se også virksomhedsdata der havner i et gratis chatvindue. Hvad De skal dokumentere pr. anvendelse afhænger af, hvad den pågældende anvendelse gør og med hvilke data, ikke af hvor anvendelsen kommer fra. Et overblik over, hvad der er relevant her, findes på hvad De skal dokumentere pr. anvendelse.
En leverandør, der tilføjer AI uden at melde det, bør derfor ikke behandles separat som en hændelse, men indgå i den oversigt, De allerede opbygger for resten af organisationen. Hvordan denne oversigt i praksis opbygges — herunder hvordan De giver leverandører en plads i den — er beskrevet på hvordan De opbygger en AI-oversigt.
Dette er ikke anledning til en juridisk offensiv mod enhver leverandør, der ikke har meldt noget. At fastslå kontraktbrud er et andet spørgsmål end at fastslå risiko, og de to følges ikke automatisk ad: en leverandør kan have undladt at melde noget, uden at anvendelsen medfører høj risiko, og omvendt. Det første skridt er at vurdere risikoen, ikke skyldsspørgsmålet. Den, der begynder med sanktioner, får fremover mindre information fra leverandører, ikke mere.
Så snart det er klart, hvilke AI-komponenter der via leverandører, medarbejdere eller egne initiativer er aktive i organisationen, opstår et andet spørgsmål: hvad betyder det for selve arbejdet. Ikke enhver AI-anvendelse, der kommer ind, gør rent faktisk noget nyttigt med den proces, den indgår i — og ikke enhver proces, der i dag foregår manuelt, er per definition bedre tjent uden AI. Arbejdsscanen fra FTE TO AI beregner pr. opgave, hvor stor en del af arbejdet AI med rimelighed kan overtage, uafhængigt af spørgsmålet om, hvordan denne AI er kommet ind. Det gør den oversigt, De nu opbygger, ikke kun til et governance-værktøj, men også til et udgangspunkt for at afgøre, hvor AI rent faktisk gør en forskel.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.