De forvalter et risikoregister, der er opbygget omkring risici, som kan identificeres, vægtes og tildeles. Operationel risiko, kreditrisiko, compliance-risiko: hver har en ejer, en kontrolforanstaltning, en rapporteringslinje. AI-risiko passer ikke naturligt ind i det mønster, fordi det første problem ikke er vægtningen. Det første problem er, at De ikke ved, hvad De vægter. Et team, der bruger en sprogmodel til at skrive udkast til rådgivning, en afdeling, der har tegnet et eksternt AI-abonnement uden om IT-indkøb, en spreadsheet-makro, der i mellemtiden er blevet en forudsigelsesmodel: det er ikke særtilfælde, det er dér, risikoen ligger, og den står ingen steder.
Deres spørgsmål er ikke "er AI risikofyldt". Deres spørgsmål er: hvad kører der, hvem er ansvarlig for det, og på hvilket grundlag kan jeg redegøre for det over for bestyrelsen og tilsynsmyndigheden. Det svar De ikke accepterer, er beroligelsen uden underbygning. "Der kører ikke noget særligt" er ikke et svar på et risikospørgsmål, det er fraværet af et svar. En risikomanager, der giver det videre til bestyrelsen, giver videre, at der ikke er blevet kigget efter, ikke at der ikke er noget.
Det andet svar De ikke accepterer, er listen fra IT-systemadministrationen som fuldstændigt billede. Den liste viser, hvad der er ansøgt om og godkendt. AI-brug opstår i vid udstrækning netop uden om den ansøgning, fordi et løst abonnement, en browserudvidelse eller en indbygget funktion i eksisterende software ikke bliver genkendt som et "nyt system". Den, der vil kende risikoen, skal derfor ikke kun konsultere systemlandskabet, men de mennesker, der udfører arbejdet, og det kræver en anden tilgang end en IT-audit.
Som risikomanager kender De mønstret med underrapportering ved ethvert risikotema, hvor en medarbejder har noget at tabe ved at svare ærligt. AI-brug er et markant eksempel på det: hvis det at melde et anvendt hjælpemiddel medfører, at adgangen bliver trukket tilbage, melder ingen det længere. Den kortlægning, der giver noget, er den kortlægning, der spørger uden at knytte konsekvenser til svaret. Det er en anden færdighed end risikostyring normalt kræver, og det er grunden til, at en skygge-AI-kortlægning ikke indrettes som kontrol, men som måling.
Når brugen er kortlagt, er det næste skridt ikke at bedømme leverandøren eller modellen. Det er at bedømme den rolle, systemet spiller i et proces. En AI-anvendelse, der omformulerer tekst, bærer en anden risiko end en anvendelse, der vejer ind i en beslutning om en kunde, en medarbejder eller en investering. Samme teknologi, anvendt i en anden rolle, falder i en anden risikoklasse. Det skel er præcis, hvad et risikoregister har brug for for at kunne placere AI-risiko sammen med de risici, der allerede står i det, uden at skabe et separat, isoleret AI-kapitel, som ingen konsulterer.
En risikomanager har ingen interesse i en ny ramme ved siden af den eksisterende. Interessen ligger i et governance-sæt, der tilslutter sig den risikostruktur, der allerede findes: samme ejerskabslogik, samme eskaleringsveje, samme rapporteringscyklus til bestyrelsen. AI-risiko, der behandles som et separat tema, forsvinder mellem de faste rapporteringer. AI-risiko, der indlejres i den eksisterende risikotaksonomi, forbliver synlig dér, hvor bestyrelsen allerede kigger.
De vil på et tidspunkt blive spurgt, hvad De ved om AI-brug i organisationen, af en tilsynsmyndighed, en revisor eller bestyrelsen selv. Det svar, der holder, er ikke "alt er kortlagt", for det er sjældent muligt at gøre gældende for et dynamisk brugsmønster. Det svar, der holder, er en dokumenterbar proces: hvordan er der kortlagt, hvilken klassifikation er anvendt, hvilke governance-aftaler følger deraf, og med hvilken frekvens gentages det. Det er et andet mål end fuldstændighed, og det er det mål, risikostyring normalt allerede bedømmes efter.
Dette spørgsmål stiller sig ikke identisk for hver rolle i organisationen. Hvad en compliance officer har brug for fra denne kortlægning, kan De læse i hvad bør en compliance officer vide om AI-risiko, styringsspørgsmålet for den, der driver programmet, står i hvad bør en AI-programleder vide om AI-risiko, og hvordan dette emne lander på bestyrelsesniveau selv, er beskrevet i hvad bør en bestyrelsesleder vide om AI-risiko. For risikostyring i specifikke sektorer, med egne kæder og tilsynsformer, er billedet yderligere skærpet i hvordan AI-governance ser ud i byggebranchen og i hvordan AI-governance ser ud i installationsbranchen.
Teksten til de gældende regler, med deres præcise definitioner og frister, står ikke på denne side og holdes ajour et andet sted. Hvad der er beskrevet her, er mekanismen: hvordan De kommer fra et ukendt brugsmønster til en klassificerbar, rapporterbar risiko.
En kortlægning af AI-risiko bringer uundgåeligt også noget andet i billedet: hvilken del af arbejdet der allerede faktisk udføres af AI, og hvilken del der kunne blive det. Det er et andet spørgsmål end risikostyring, men det deler kilden. Arbejdsscanningen fra FTE TO AI beregner pr. opgave, hvilken del af arbejdet der kan overtages af AI, og tilslutter sig dermed præcis den kortlægning, som risikostyring allerede har brug for nu.
Responsible AI Scan er i øjeblikket under udvikling. Den, der ønsker at benytte den, så snart den er tilgængelig, kan tilmelde sig ventelisten.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.