En AI-løsning begår en fejl. En beslutning er forkert, et råd er misvisende, en kunde bliver uretmæssigt afvist. Det spørgsmål, der følger derefter, er ikke kun teknisk. Hvem skulle have set dette komme, hvem administrerede systemet, og hvem kan forklare hvorfor det blev anvendt, som det blev anvendt.
Det svar findes ikke uafhængigt af et register. Ansvar forudsætter, at nogen ved, at en løsning findes, hvad den er til for, og hvem der har ansvaret for den. Uden dette grundlag er spørgsmålet om ansvarlighed retorisk: der er ingen, der ved det, så der er ingen, der kan forklare det.
En Responsible AI Scan kortlægger, hvad der er i drift, hvem der bruger det, og hvilket risikoniveau det medfører. Det er et udgangspunkt, ikke en udtalelse om skyld. Scanningen klassificerer en løsning efter rolle og risiko; den vurderer ikke, om en individuel beslutning var korrekt. Den vurdering hører til selve hændelsen, ikke til det register, der gik forud.
Hvad scanningen derimod gør, er at levere den struktur, hvorinden den vurdering senere kan foretages. Hvis det er kendt, hvem der har anskaffet en løsning, hvem der administrerer den, og til hvilket formål den er godkendt, findes der en linje at falde tilbage på. Findes denne struktur ikke, falder spørgsmålet om ansvar tilbage på gætværk bagefter.
De fleste organisationer har en oversigt over godkendt software. Denne oversigt er næsten aldrig komplet. Medarbejdere bruger værktøjer, som ingen har anmeldt, ofte fordi arbejdet går hurtigere, og ingen spurgte om det. Det er ikke per definition uansvarlig adfærd; det er, hvad der sker, når en organisation ikke tilbyder en anden vej.
Hvem der ønsker at vide, hvad der faktisk bruges, må spørge. Og det virker kun, hvis det at spørge ikke har konsekvenser. Så snart en medarbejder har en fornemmelse af, at et ærligt svar fører til en korrigerende samtale, stopper svaret. Hvad gør du med medarbejdere, der bruger et værktøj, som ingen har godkendt handler om netop denne mekanisme: registret er kun så godt som den tillid, hvormed det bliver indhentet.
Dertil hører også spørgsmålet om, hvad der sker med virksomhedsoplysninger, så snart de bliver tastet ind i et eksternt vindue. Hvad gør du med virksomhedsdata i et gratis chatvindue beskriver en risiko, der er uafhængig af ond vilje: nogen ønsker bare at få en tekst kontrolleret og taster i den forbindelse noget ind, som ikke burde have været delt.
Et sæt governance-regler, der følger et register, fastlægger, hvem der godkender en løsning, hvem der udfører tilsyn, og hvordan det bliver dokumenteret. Dette knytter sig til den risikostruktur, en organisation allerede har for andre områder: de samme udvalg, de samme rapporteringslinjer, de samme eskaleringsveje. Der kommer ikke et nyt apparat ved siden af det eksisterende; der tilføjes en kategori til det, der allerede findes.
Dette giver dokumenterbarhed: en ledelse kan påvise, at der er set på det, klassificeret og etableret tilsyn. Det giver ingen garanti for, at en løsning aldrig igen begår en fejl. De to ting er forskellige, og scanningen udtaler sig ikke om den anden. Hvad den giver, er et grundlag, hvorpå en ledelse kan forklare, hvad der er gjort, ikke en forsikring mod, hvad der stadig kan ske.
En ofte begået fejl er at opsætte en separat AI-proces, løsrevet fra den eksisterende risiko- og compliancestruktur. Denne proces får opmærksomhed i starten og forsvinder derefter til baggrunden, fordi ingen fortsætter med at vedligeholde et andet system ved siden af det første. Hvorfor en anden proces ved siden af den eksisterende bliver ignoreret forklarer, hvorfor tilslutning til eksisterende strukturer ikke er et spørgsmål om effektivitet, men en forudsætning for, at noget kan overleve.
Dertil hører også, at et register er et øjebliksbillede, ikke et slutpunkt. Nye løsninger kommer til, eksisterende ændrer funktion, og en klassifikation, der var korrekt ved leveringen, er ikke automatisk korrekt et år senere. Hvor ofte skal du klassificere på ny og hvordan holder du et AI-register aktuelt beskriver, hvad denne vedligeholdelse i praksis kræver, og hvorfor et register, der er opstillet én gang for alle, inden længe ikke længere stemmer med virkeligheden.
De mennesker, der arbejder med disse løsninger, er desuden en del af løsningen, ikke bare en risiko, der skal styres. Hvad medarbejdere forstår og ikke forstår af de systemer, de bruger, afgør, om et sæt governance-regler betyder noget i praksis. Hvad betyder AI-kompetence for dine medarbejdere går ind på dette aspekt.
Den, der først ved, hvilke AI-løsninger der er i drift, og hvem der har ansvaret for dem, stødet naturligt på et opfølgende spørgsmål: hvilken del af det arbejde, der nu udføres manuelt, er egentlig egnet til at blive overladt til en AI-løsning. Det er et andet spørgsmål end ansvar, men et, der bygger på det samme register. Arbejdsscanningen fra FTE TO AI beregner pr. opgave, hvilken del af arbejdet der kan overtages af AI, som et næste skridt, når det først er klart, hvad der allerede er i drift, og hvem der beslutter om det.
Scanningen, der beskrives på denne side, er under opbygning. Den, der er interesseret i dette, kan tilmelde sig ventelisten; der leveres endnu ikke noget, som ikke er færdigt.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.