En AI-programleder får typisk ét mandat: sørg for at AI bliver adopteret, at teams bliver hurtigere af det, at programmet viser resultater. Der kommer sjældent et andet mandat til: sørg for at alt, hvad der i mellemtiden opstår, er forsvarligt. Alligevel bliver han holdt ansvarlig for begge, så snart noget går galt. Det er kernen i hans risiko: han er ansvarlig for et program, hvis grænser han ikke kender.
Hvad han vinder med adoption — hurtigere processer, tilfredse teams, en synlig fornyelseshistorie — står over for hvad han taber, hvis det går galt: en hændelse med et værktøj, der ikke stod på hans liste, en audit der stiller spørgsmål, han ikke kan besvare, en bestyrelse der spørger, hvorfor programmet ikke så, hvad der allerede var i gang. Den asymmetri gør hans position sårbar, selv når programmet i sig selv fungerer godt.
Hans spørgsmål er ikke "hvilke AI-værktøjer har vi godkendt". Den liste har han, og den er ofte kortere end virkeligheden. Hans spørgsmål er: hvad bruger teams, der ikke står på min liste, og hvordan får jeg indblik i det, uden at folk gemmer det. En programleder, der vil fremme adoption, kan ikke tillade sig, at brugere skjuler deres værktøjer af frygt for en korrektion. Den, der spørger, hvad der bliver brugt, og derefter gør det til et problem, får ikke svar på det næste spørgsmål. Governance og adoption modarbejder hinanden her, hvis det bliver grebet forkert an.
Et svar han ikke accepterer, er en enkelt blokering: "AI-brug er ikke tilladt uden godkendelse." Det svar tilfredsstiller en revisor for et øjeblik, men flytter brugen til steder, ingen ser. Det er det modsatte af, hvad en programleder ønsker at opnå: han vil have, at AI-brug er synligt og vejledt, ikke at det går under jorden. Et forbud uden en mekanisme til at melde og lære er for ham et tab, selv hvis det lyder compliant på papiret.
Han accepterer heller ikke et svar, der behandler alt ens. Et værktøj, der opsummerer tekst til internt brug, er ikke den samme risiko som et værktøj, der automatisk træffer beslutninger om kunder eller medarbejdere. Uden et skel mellem rolle og risikoniveau kan et program ikke prioritere, og en programleder, der ikke kan prioritere, kan ikke udføre sit mandat.
Hvad der virker, er en kortlægning, der starter ved det, der findes, ikke ved det, der er godkendt. Det betyder at stille spørgsmål til teams om, hvad de rent faktisk bruger, og gøre det på en måde, der ikke medfører en afregning. Kun da kommer skygge-AI i billedet — de systemer, der er indført uden et formelt forløb, ofte fordi de lettede arbejdet, og ingen så en grund til at vente på godkendelse.
Derefter følger klassificering: hvilken anvendelse berører kunder, hvilken berører kun den interne proces, hvilken træffer beslutninger uden et menneske imellem. Den indeling bestemmer, hvor tilsynet skal være tungt, og hvor det kan forblive let. Uden den indeling behandler et program alt lige tungt eller lige let, og begge er et problem: det første bremser adoption, det andet lader risici være uden opsyn.
Den governance-struktur, der følger derefter, skal tilpasses det, der allerede findes i organisationen — de eksisterende risikoudvalg, de eksisterende rapporteringslinjer — ikke et nyt kredsløb ved siden af. Det er også dér, en programleder adskiller sig fra andre roller i organisationen: en bestyrelsesleder vil vide hvad en bestyrelsesleder skal vide om AI-risiko på niveauet af det overordnede ansvar, en CIO griber det an fra systemer og adgang, som beskrevet i hvad en CIO skal vide om AI-risiko, og en General Counsel kigger på ansvar og dokumentationspligt via hvad en General Counsel skal vide om AI-risiko. En programleder skal kunne betjene disse tre perspektiver uden at tabe sin egen opgave — adoption.
Hvilke konkrete forpligtelser der gælder for hvilken risikokategori, og inden for hvilke frister, er ikke emnet for denne side. Den tekst ændrer sig, bliver skærpet og forklaret på andre steder. Her handler det om mekanismen: hvordan et program får overblik over, hvad der foregår, hvordan det omsætter det til risikoniveauer, og hvordan det gør det påviseligt for bestyrelse og tilsyn, uanset hvad den præcise regeltekst foreskriver på et givet tidspunkt.
Så snart det er klart, hvad der er i gang, og hvem der er ansvarlig for det, opstår et andet spørgsmål: hvad giver det, hvis det arbejde bliver indrettet ordentligt. Det er et spørgsmål, der skal besvares per opgave, ikke per organisation. Werkscan fra FTE TO AI beregner på det niveau, hvilken del af arbejdet der kan overtages af AI, så en programleder ikke kun ved, hvad der er i gang, men også hvor det at tilføje kapacitet faktisk gør en forskel.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.