En General Counsel bliver ikke bedømt på det, der går galt med AI. Vedkommende bliver bedømt i det øjeblik det viser sig, at organisationen ikke kunne dokumentere, at den vidste det, eller værre, at den kunne have vidst det og ikke gjorde noget. Det er forskellen mellem en hændelse og en fejl. Det første overgår en organisation. Det andet lægges den til last.
Det juridiske spørgsmål — hvad er tilladt, hvad er obligatorisk, hvilken frist gælder — er vigtigt, men det kommer efter et andet spørgsmål. Det spørgsmål er: hvad bruger vi egentlig. Ikke hvad der er indkøbt, ikke hvad der står på IT's leverandørliste, men hvad folk i praksis lader være med til at beslutte, medskrive eller medbedømme. Uden svar på det spørgsmål er al juridisk rådgivning et råd om en situation, De ikke kender.
Det gør General Counsels position ubehagelig. De forventes at vurdere risici på baggrund af en fortegnelse, der som regel ikke findes, eller som består af det, der er godkendt — hvilket per definition ikke er det, som nogen uden tilladelse er begyndt at bruge.
"Vi har ikke brug for en AI-politik, fordi vi ikke bruger AI" er ikke et svar, der holder. Det er en antagelse, og antagelser er netop det, en tilsynsmyndighed, en dommer eller en journalist ikke accepterer bagefter. De accepterer heller ikke en liste over godkendte værktøjer som et fuldstændigt billede: den liste siger noget om, hvad der er indkøbt, intet om, hvad der bruges.
Hvad De derimod har brug for, er en sondring mellem typer af brug. En sprogmodel, der opsummerer interne notater, bærer en anden risiko end et system, der vejer med i en ansættelsesbeslutning eller en kreditvurdering. Uden klassifikation efter rolle og risikoniveau er enhver diskussion om AI-risiko en diskussion i almindelighed, og generelle diskussioner fører ikke til forsvarlige positioner.
Skygge-AI — den brug, der opstår uden om enhver godkendelse — er ikke noget en IT-afdeling opdager med en netværksscanning. Folk bruger AI på deres egen laptop, i deres browser, med deres egen konto. Den brug efterlader få spor i et system, der ikke søger efter det.
Det, der derimod virker, er at spørge. Men kun hvis svaret ikke har konsekvenser for den, der giver det. Den, der bruger AI til at forberede et kontraktudkast, eller til at få en risikoanalyse opsummeret, melder det ikke, hvis meldingen kan føre til en påtale. Den fortegnelse De har brug for, kommer kun, hvis det at stille spørgsmål ikke er det samme som at afregne.
Det er en skrøbelig balance for en juridisk funktion. De er vant til at vurdere risiko på baggrund af, hvad der kan gå galt. Her skal De først sørge for, at folk vover at fortælle, hvad de allerede gør, før De kan vurdere, om det er en risiko.
Kernen i Deres position er ikke at forhindre enhver risiko — det er ikke realistisk, og det forventes heller ikke af Dem. Kernen er dokumenterbarhed: kan De påvise, at organisationen vidste, hvad den brugte, havde vurderet, hvilken risiko det medførte, og havde en struktur til at gøre noget ved det. Det er en anden opgave end at styre resultater. Det er at styre den proces, som resultater overvåges med.
Den dokumenterbarhed behøver ikke bygge på en ny ramme. De fleste organisationer har allerede en risikostruktur — for finansiel risiko, operationel risiko, compliance. AI-risiko bør lande dér, ikke stå som et separat spor, som ingen kender og ingen holder vedligeholdt. Et governance-sæt, der tilpasses det, der allerede findes, bliver brugt. En separat struktur bliver glemt efter det første kvartal.
Denne position beskriver mekanismen: kortlægge, klassificere, tilpasse til eksisterende struktur, gøre det dokumenterbart. Den beskriver ikke, hvilken lovgivning eller regulering der gælder for Deres organisation, hvilke frister der gælder, eller hvilken forpligtelse der indtræder på hvilket tidspunkt. Det indhold ændrer sig, bliver tilføjet, bliver forklaret af den, der er specialiseret i det. Det, der tæller her, er strukturen, som det indhold kan lande i, når De har brug for det.
De spørgsmål De stiller, overlapper med det, en risikomanager bør vide om AI-risiko og med positionen for en compliance officer, der skal kunne dokumentere AI-brug. Også den bestyrelsesansvarlige, der bærer ansvar over for tilsynsrådet har fordel af den samme fortegnelse, som De baserer Deres egen vurdering på — det er samme faktagrundlag, betragtet fra et andet ansvar.
Responsible AI Scan, der udfører denne mekanisme — kortlægge, klassificere, tilpasse til den eksisterende risikostruktur — er under udvikling. Den, der har brug for dette nu, kan tilmelde sig ventelisten. Der er endnu ingen tjeneste at levere; der er en retning, dette bygges i, og den retning er denne.
Så snart det er klart, hvilken AI der kører, og hvilken risiko der er forbundet med den, følger et andet spørgsmål, som ligger uden for Deres eget ansvar, men som hænger sammen med det: hvilken del af det underliggende arbejde er den AI egentlig ved at overtage. Det er et spørgsmål, der ikke handler om risiko, men om indretning af arbejde, og det besvares af arbejdsscanningen fra FTE TO AI, som pr. opgave beregner, hvilken del der kan komme i betragtning til overtagelse.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.