De har en liste med godkendte AI-værktøjer. Spørgsmålet er ikke, om den liste er korrekt, men om den stadig betyder noget. En medarbejder, der accelererer en opgave med en chatbot, der ikke står på listen, melder det ikke som en hændelse. Han melder det ikke, fordi det ikke føles som en hændelse. Det svar, De ikke accepterer, er derfor "vi har en AI-politik og en godkendt liste" — for den sætning siger ingenting om, hvad der sker uden for den liste, og det er sandsynligvis størstedelen.
Som CIO er De den, der skal forklare, hvorfor en AI-hændelse ikke var kendt tidligere, mens resten af organisationen går ud fra, at IT har overblik. Det overblik findes for systemer, der er indkøbt. Det findes ikke for den tilføjelse, et team selv har installeret, prøveversionen, nogen har aktiveret, eller modellen, der er kommet med via et kundeserviceværktøj. Risikoen for Dem er ikke, at AI bliver brugt — det sker alligevel — men at De er den sidste, der ved det, i det øjeblik det allerede er gået skævt.
En korrekt opgørelse ændrer Deres position. I stedet for at reagere på hændelser, De ikke så komme, kan De på forhånd angive, hvor risici ligger og hvorfor. Det er også grundlaget for at føre samtalen internt med General Counsel, der ser på samme skygge-AI fra et andet perspektiv, og med risikomanageren, der vil placere det i den eksisterende risikostruktur i stedet for at sætte et separat forløb op ved siden af.
IT-listen registrerer, hvad der er indkøbt og godkendt. Skygge-AI opstår, hvor disse to trin springes over: en medarbejder finder et værktøj, bruger det, og rapporterer intet, fordi der ikke synes at være noget at rapportere. Det er ikke forsømmelighed — det er konsekvensen af en indkøbsproces, der ikke er designet til at holde styr på, hvad folk selv finder frem til. Jo større organisationen er, og jo flere teams der arbejder selvstændigt, jo større kan forskellen mellem listen og virkeligheden være. Hvor lille den forskel er, afhænger af, hvor stor frihed teams har til selv at vælge værktøjer, og hvor synlig den adfærd allerede er — der findes intet tal for det, kun retningen.
Den eneste måde at få viden om, hvad der reelt kører, er at spørge de mennesker, der bruger det. Det virker kun, hvis svaret ikke fører til en konsekvens for den, der giver det. Spørger De "bruger du AI-værktøjer, der ikke er godkendt" i en tone, der lugter af en bedømmelsessamtale, får De det svar, IT-listen allerede gav: nej. Spørger De uden konsekvenser, med det formål at forstå frem for at rette, opstår et billede, der faktisk stemmer med praksis. Denne skelnen — at spørge uden følger versus at spørge med følger — er forskellen mellem en opgørelse, der er noget værd, og en øvelse, der ikke fortæller nogen noget.
En liste over anvendte værktøjer er et udgangspunkt, ikke et slutpunkt. Ikke enhver AI-anvendelse bærer samme risiko. Et værktøj, der omskriver tekst til internt brug, ligger anderledes end et værktøj, der medbestemmer om en kundeaccept eller en personalebedømmelse. At klassificere efter rolle — hvad gør systemet — og efter risikoniveau — hvad er konsekvensen, hvis det går skævt — er nødvendigt for at vide, hvor De skal rette opmærksomheden hen. Uden klassifikation ser hver AI-anvendelse ens ud i en rapportering, og det er præcis det billede, der ikke hjælper en bestyrelse med at komme ombord.
Som CIO har De formentlig allerede en risikoramme for IT-systemer, informationssikkerhed og leverandører. AI-governance virker bedre, når den kobles til den struktur, end hvis den bliver en løsrevet ramme ved siden af. Det er også, hvad compliance officeren og AI-programlederen løber ind i: for mange separate AI-initiativer, der ikke taler med hinanden, mens bestyrelsen netop forventer ét sammenhængende svar på, hvad der er på spil og hvad der bliver gjort ved det.
Hvad skygge-AI betyder, varierer fra branche til branche. I byggeriet spiller det anderledes end i installationsbranchen, og det er værd at se, hvordan AI-governance tager form i byggebranchen eller hvordan det ser ud i installationsbranchen, før De antager, at én tilgang passer alle steder.
Den Responsible AI Scan, der leverer dette — opgørelse, klassifikation, et governance-sæt, der kobles til Deres eksisterende struktur — er under udvikling. Den, der allerede nu vil gå i gang med dette, kan tilmelde sig ventelisten; der findes endnu ikke et færdigt produkt at tilbyde, og det skriver vi hellere ærligt, end at vi lover noget, der ikke findes endnu.
Så snart De ved, hvilken AI der bliver brugt og med hvilken risiko, følger spørgsmålet naturligt efter: hvilken del af arbejdet selv kunne være en opgave for AI, og hvilken del ikke. Det er et andet spørgsmål end risikostyring — det handler om kapacitet, ikke om eksponering — og arbejdsscanningen fra FTE TO AI beregner det pr. opgave, så De ikke kun ved, hvad der allerede kører, men også hvor AI selv kunne overtage arbejdet.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.