En compliance officer taber ikke på det første spørgsmål om AI. Vedkommende taber på det andet: når det viser sig, at svaret på det første spørgsmål var ufuldstændigt. "Hvilke AI-systemer anvender jeres organisation" kan besvares med en liste fra IT-portfolioen. Det spørgsmål, der kommer bagefter — "er det den fulde liste" — er det spørgsmål, hvor de fleste compliance-dossierer bryder sammen.
Ikke: hvilke AI-værktøjer har organisationen indkøbt. Men: hvilke AI-systemer bliver faktisk brugt, af hvem, til hvilke beslutninger, og på baggrund af hvilken risikovurdering. Det er fire spørgsmål, ikke ét. Det første er en indkøbsliste. De tre øvrige kræver, at folk fortæller, hvad de gør — inklusive hvad de ikke har fået godkendt. En compliance officer, der kun har indkøbslisten, har en falsk følelse af dækning — og det er mere risikabelt end ingen dækning, fordi det rapporteres som fuldstændigt.
Medarbejdere, der bruger et sprog- eller analyseværktøj uden at indkøbe det via IT, efterlader ikke et spor af det i et aktivregister. De efterlader dog et spor i det, de producerer: rapporter, kundekommunikation, rådgivning. Kløften mellem det, der er registreret, og det, der bruges, er sjældent en bevidst overtrædelse. Det er resultatet af en organisation, der finder et værktøj hurtigere, end den gennemgår en godkendelsesproces. Compliance kan ikke lukke den kløft med et strengere forbud — det flytter kun brugen længere ud af syne. Kløften lukkes ved at spørge uden at der er en sanktion forbundet med svaret. Den, der er bange for en note i sit dossier, fortæller ikke, hvad vedkommende bruger; han fortæller, hvad han tror, De vil høre.
En risikomanager vil vide, hvor stor eksponeringen er. En compliance officer vil vide det samme, plus noget ekstra: kan jeg påvise, at vi har fulgt processen, også hvis resultatet senere viser sig at være diskutabelt. Det er en anden slags bevisbyrde. Det handler ikke kun om klassificeringen af et system, men om sporet: hvem har vurderet dette, på hvilket tidspunkt, med hvilken information, og er vurderingen blevet gentaget, når systemet ændrede sig. AI-systemer bliver opdateret uden varsel; en klassificering fra et halvt år tilbage siger ikke meget om systemet i dag. Compliance skal derfor ikke blot kunne vise et resultat, men en proces, der fortsat kører.
"Vi har en AI-politik" er ikke et svar på spørgsmålet om, hvorvidt den politik dækker noget. Et politikdokument, der aldrig er blevet afprøvet mod det, der faktisk bruges, er en hensigtserklæring, ikke en statuserklæring. Hvad en compliance officer har brug for, er en oversigt, der passer ind i eksisterende risikokategorier — den samme indeling, der allerede bruges til andre operationelle risici — så AI ikke bliver et separat, eksotisk emne ved siden af resten af risikorammen, men en integreret del af den.
Compliance officeren udarbejder dette sjældent alene. Spørgsmålet om, hvilke systemer der betragtes som højrisiko, og hvilken bevisbyrde der hører til, berører det, som en General Counsel bør vide om AI-risiko ud fra ansvar og kontraktlige forpligtelser. Spørgsmålet om, hvorvidt organisationen teknisk kan spore, hvilke systemer der er i drift, hører under hvad en CIO bør vide om AI-risiko. Og spørgsmålet om, hvorvidt dette emne når bestyrelsesbordet, før det eskalerer, hører under hvad en bestyrelsesleder bør vide om AI-risiko. Compliance er ofte den part, der skal samle disse tre linjer, uden selv at være ejer af teknologien eller kontrakten.
Regelindholdet — hvilke forpligtelser der præcist gælder, per risikokategori, med hvilke frister — findes andetsteds og ændrer sig. Denne side beskriver mekanismen: hvordan De ved, hvad der er i drift, hvordan De klassificerer det, og hvordan De påviser, at processen er fulgt. En compliance officer, der søger den aktuelle lovtekst, finder den ikke her.
Hvor meget skygge-AI en organisation har, afhænger af branchen, kulturen og hvor strengt tidligere forbud er blevet håndhævet. Et strengere forbud korrelerer ofte med mere skjult brug, ikke med mindre. Dette mønster er ikke ens overalt: i byggebranchen ligger tyngdepunktet ved projektkalkulation og planlægning, mens det i installationsbranchen oftere handler om vedligeholdelsesdiagnostik og fejlanalyse. Kortlægningen skal derfor foretages per organisation; et landsgennemsnit siger ikke meget om Deres egen eksponering.
Responsible AI Scan kortlægger, hvad der faktisk bruges, klassificerer det efter rolle og risikoniveau, og leverer et governance-sæt, der passer ind i den eksisterende risikostruktur — uden derved at foregribe, hvad der allerede er fastlagt andetsteds. Denne scan er under opbygning. Den, der har interesse i dette, kan tilmelde sig ventelisten; der udbydes intet, som endnu ikke er færdigt.
Den, der først har fundet ud af, hvilke AI-systemer der er i drift, stiller ofte det efterfølgende spørgsmål: hvad betyder det for bemandingen og opgavefordelingen. Det er en anden slags beregning end risikoklassificering, og den udfører FTE TO AI med werkscan, der per opgave beregner, hvor stor en del af arbejdet der kan overtages af AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.