Som bestyrelsesmedlem undersøger De ikke selv, hvilken AI-model der producerer hvilket output. De stiller et andet spørgsmål: hvis dette går skævt, kan jeg da vise, at vi vidste det, at vi har set på det, og at vi har gjort noget. Det spørgsmål er bestyrelsesmæssigt, ikke teknisk. Og det svar, De ikke accepterer, er en liste over godkendte applikationer fra IT. Ikke fordi den liste er forkert, men fordi den er ufuldstændig. Den beskriver, hvad der er ansøgt om, ikke hvad der bruges.
Risikoen for en bestyrelse er ikke, at en medarbejder bruger en sprog-AI til at skrive et udkast. Risikoen er, at De ikke kan sige noget om det i det øjeblik, det betyder noget: ved en incident, et tilsynsspørgsmål, et ansvarsspørgsmål. Påviselighed er da det eneste, der tæller. Ikke om De dengang kunne have vidst det, men om De kan vise, at der var en struktur til at vide det. En bestyrelse, der siger "det havde vi ikke overblik over", står i en anden position end en bestyrelse, der siger "det faldt i en kategori, som vi bevidst har behandlet på den måde". Forskellen mellem disse to sætninger er, hvad denne scan giver.
Det er ikke hensigten at forbyde eller bremse al brug af AI. Størstedelen af det, medarbejdere selv er begyndt at bruge, er funktionelt og giver noget. Gevinsten for en bestyrelse ligger ikke i at bremse det, men i at kunne skelne: dette er lav risiko og kan fortsætte, dette berører personoplysninger eller beslutninger om mennesker og skal behandles anderledes, dette er uklart og skal undersøges. Uden denne skelnen behandler De alt ens — og det er som regel for strengt for de fleste og for lempeligt for den undtagelse, der betyder noget.
Skygge-AI opstår ikke af ond vilje. Det opstår, fordi en medarbejder havde et problem og fandt et værktøj, der løste det, uden at der var en ansøgningsproces, der gik hurtigere end værktøjet selv. Disse værktøjer optræder ikke på en indkøbsliste. De optræder først, når nogen spørger om dem — og kun hvis det ikke straks fører til en sanktion at spørge. En organisation, der vil se skygge-AI, skal først gøre klart, at det ikke er en risiko at melde det. Det er et bestyrelsesmæssigt valg, ikke et teknisk.
Responsible AI Scan begynder med en opgørelse af, hvad der reelt bruges, uafhængigt af hvad der engang er godkendt. Dernæst klassificeres hver brug efter rolle — hvem bruger det, til hvad — og efter risikoniveau. Denne klassifikation fører til et governance-sæt: en måde at håndtere hver kategori, der passer til den risikostruktur, Deres organisation allerede har, i stedet for et nyt rammeværk oven på det. Selve indholdet af reglerne — hvilke forpligtelser der præcist gælder, inden for hvilke frister — findes andetsteds; det er ikke, hvad denne scan fokuserer på. Denne scan fokuserer på mekanismen: at vide, hvad der kører, kunne kategorisere det, og kunne vise, at De har gjort det.
Med en klassifikation efter rolle og risikoniveau kan De vise en tilsynsmyndighed, en revisor eller et bestyrelsesråd en struktur i stedet for et løfte. De kan angive, hvilke kategorier der kræver opmærksomhed, og hvilke der ikke gør. De kan rapportere om det uden hver gang at skulle forklare, hvorfor De ikke vidste noget. Det er en anden position end reaktivt at forklare, hvorfor et værktøj er kommet ind ubemærket.
Spørgsmålet om AI-risiko ser forskelligt ud afhængigt af funktion. Hvad en CIO skal vide om AI-risiko handler om systemer og infrastruktur; hvad en General Counsel skal vide om AI-risiko handler om ansvar og bevisførelse; hvad en risikomanager skal vide om AI-risiko handler om, hvordan AI-risiko passer ind i den eksisterende risikotaksonomi. Som bestyrelsesmedlem har De at gøre med alle tre, men De er ikke den, der udfører klassifikationen — De er den, der skal kunne se, at det er gjort.
Responsible AI Scan er under udvikling. Der findes i øjeblikket ikke et værktøj, De kan starte, og som direkte giver en rapport. Den, der er interesseret, kan sætte sig på ventelisten; der udbydes ikke noget, som ikke allerede findes, og der loves ikke noget om hvornår eller med hvilket resultat.
Inden De kan fastslå, om AI-brug er risikabel, er det ofte mere nyttigt at vide, hvad AI betyder for selve arbejdet: hvilken del af en opgave der kan overtages, og hvilken del der ikke kan. Det spørgsmål ligger tæt på risikospørgsmålet, men er ikke identisk med det — en opgave, der i vid udstrækning kan overtages af AI, er ikke automatisk risikabel, og en opgave, der ikke kan det, er ikke automatisk sikker. Arbejdsscanningen fra FTE TO AI beregner for hver opgave, hvilken del af arbejdet der kan overtages af AI, og giver dermed et grundlag, hvorpå risikospørgsmålet kan stilles mere præcist end på baggrund af en liste over godkendte applikationer alene.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.