En liste med navne på AI-værktøjer er ikke et inventar. Et inventar opstår først, når De for hver anvendelse registrerer det samme sæt data, så De kan sammenholde dem, klassificere dem og senere dokumentere dem. Uden den faste struktur ender De med en samling løsrevne fakta, som ingen længere kan sammenligne.
Pr. anvendelse handler det om et begrænset antal felter, som går igen hver gang.
Navn og form. Er det et separat abonnement, en funktion inden i eksisterende software, en internt bygget model, eller en AI-funktion, der er kommet med via en leverandør, uden at nogen har betegnet det som "AI".
Hvem der bruger det. Et team, en afdeling, en individuel medarbejder. Dette afgør ikke kun omfanget, men også hvem De senere skal tale med, hvis der opstår spørgsmål.
Hvad det bruges til. Ikke leverandørens marketingtekst, men den faktiske opgave: at udarbejde tekst, opsummere data, skrive kode, besvare kundehenvendelser, forberede beslutninger. Dette felt bestemmer den rolle, anvendelsen spiller, og dermed risikoniveauet.
Hvilke data der indgår. Personoplysninger, kundedata, finansielle oplysninger, interne dokumenter, eller ingen følsomme data. Dette afgør, hvilke governance-krav der bliver relevante.
Hvordan det er anskaffet. Via et formelt forløb, via et abonnement, som nogen selv har tegnet, via en leverandør, der leverer det med som en del af et andet produkt. Anskaffelsesvejen fortæller Dem straks noget om, hvor meget tilsyn der allerede har været.
Hvem der er ansvarlig for det. Ikke hvem, der tilfældigvis bruger det, men hvem, der kan kontaktes, hvis noget går galt, eller hvis De vil vide, om det stadig er i brug.
Siden hvornår og hvor længe. En anvendelse, der har kørt umærket i tre år, kræver en anden tilgang end en pilot fra sidste måned.
Dette er ikke bureaukratiske afkrydsningslister. Det er de data, De har brug for for senere at kunne sige pr. anvendelse: dette falder under et højere risikoniveau, dette gør ikke, og her er begrundelsen.
Ingen af disse felter ligger komplet klar i én kilde. De opbygger inventaret ud fra flere kanaler, der supplerer hinanden.
IT-afdelingen giver et udgangspunkt, men ikke et fuldstændigt billede: hvorfor IT-listen ikke stemmer forklarer, at en betydelig del af AI-brugen falder uden for de systemer, som IT administrerer. Alligevel er de signaler, IT faktisk har, nyttige som filter: hvilke IT-signaler der er anvendelige viser, hvilke tekniske indikationer der er pålidelige nok til at forfølge.
Indkøb og økonomi supplerer med en anden del. Fakturaer, abonnementer og licenser viser, hvilke værktøjer der faktisk er betalt for, også selvom brugeren aldrig har meldt det. Hvad indkøbs- og licensdata afslører beskriver, hvilke felter fra denne kilde direkte passer ind i inventaret.
Den sidste og mest afgørende del kommer fra medarbejderne selv. Den, der udfører opgaven, ved, hvilket hjælpemiddel der bruges til det, også selvom det aldrig er blevet ansøgt om eller godkendt. Denne information får De kun, hvis det ikke har konsekvenser for den, der svarer, at spørgsmålet stilles: hvordan De spørger uden konsekvenser beskriver, hvordan spørgsmålet stilles, uden at det føles som en kontrol.
Et inventar, der skal være komplet på én gang, bliver aldrig færdigt. Anvendelser ændrer sig, nye værktøjer dukker op, gamle forsvinder igen. Hvad der forbliver, er strukturen: de samme felter, de samme spørgsmål, den samme måde at registrere på. Denne struktur gør det muligt at tilføje en anvendelse, der mangler i dag, i morgen, uden at De skal starte forfra.
Det er også derfor, at den rækkefølge, De udfylder felterne i, betyder mindre end den konsekvens, De udfylder dem med. En organisation med flere afdelinger, filialer eller datterselskaber løber her ind i et ekstra lag kompleksitet, fordi den samme anvendelse bruges forskelligt fra én lokation til en anden: hvordan De opbygger et AI-inventar i en organisation med flere enheder går ind på, hvordan De holder disse forskelle synlige uden at tabe sammenligneligheden. Den, der i en sådan struktur specifikt vil vide, hvilke felter der skal udfyldes separat pr. filial, finder det i hvad De registrerer pr. anvendelse i en organisation med flere enheder.
Så snart felterne pr. anvendelse er udfyldt, opstår muligheden for at klassificere: hvilken rolle udfylder denne anvendelse, hvilket risikoniveau passer til det, og hvilke governance-tiltag knytter sig logisk til det. Dette skridt sker på baggrund af det, der er registreret, ikke på baggrund af et skøn efterfølgende.
Dette inventar beskriver, hvilke AI-anvendelser der findes, og hvem der bruger dem. Det beskriver ikke, hvor meget af det underliggende arbejde der faktisk overtages af den anvendelse. Det er et andet spørgsmål, med et andet redskab: arbejdsscanningen fra FTE TO AI beregner pr. opgave, hvilken del af arbejdet der kan overtages af AI, baseret på de opgaver, De registrerer, ikke baseret på det værktøj, der bruges til det.
AI-scanningen her er stadig under opbygning. Den, der vil bruge et af disse redskaber, så snart de er tilgængelige, kan tilmelde sig ventelisten.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.