Många organisationer utgår från att indelningen i leverantör eller användare är engångsartad: ett system köps in någonstans, och därmed är organisationens roll fastställd. I praktiken är det mer nyanserat. Den roll ni har i förhållande till ett AI-system beror på vad ni gör med det, inte på var systemet kommer från. Samma organisation kan för ett system vara användare och för ett annat, utan att någon har benämnt det så, leverantör.
Kärnfrågan är inte vem som har byggt systemet, utan vem som för ut det på marknaden eller använder det under eget namn. En organisation som köper in ett färdigt AI-system och använder det för den egna processen är i regel användare. Så snart samma organisation anpassar, vidareutvecklar, omdöper eller erbjuder ett system under eget namn till andra, förändras bilden. Även graden av kontroll över modellen spelar in: vem avgör vilka data den tränas med, vem fastställer parametrarna, vem bär ansvaret för systemets beteende i produktion. Dessa frågor besvaras inte en gång vid inköpet, utan förblir relevanta så länge systemet är i bruk.
Organisationens roll är alltså ingen fast etikett, utan ett resultat av faktisk användning. Det innebär att interna förändringar — en ny tillämpning av ett befintligt system, en anpassning av den egna IT-avdelningen, vidareleverans av en AI-funktion till en kund eller dotterorganisation — kan förändra indelningen utan att något formellt beslut föregått det. Vad detta innebär i praktiken, och vid vilket ögonblick en roll faktiskt förändras, behandlas vidare på sidan om ögonblicket då er roll i förhållande till ett AI-system förändras. Viktigt är att denna förändring ofta inte uppmärksammas, eftersom den sker på avdelningsnivå, långt från där policyn fastställs.
Frågan om ni är leverantör eller användare står inte för sig själv. Den är sammanflätad med frågan om vilken risknivå en tillämpning har, och med frågan om en tillämpning faller inom räckvidden för regelverket. Ett system som används av en användare med låg påverkan kan kräva en annan behandling än när samma organisation anpassar systemet vidare och därmed kommer närmare rollen som leverantör. Vad en högre risknivå konkret innebär för den egna organisationen beskrivs på sidan om vad en hög risknivå innebär för den egna organisationen. Inte heller faller varje tillämpning inom räckvidden för samma krav; vilka tillämpningar som faller utanför och vad det beror på beskrivs på sidan om vilka tillämpningar som faller utanför räckvidden.
Anledningen till att denna indelning förblir oklar för många organisationer är inte att reglerna saknas. Den aktuella texten och de exakta kriterierna finns på annat håll och förändras inte av detta stycke. Problemet ligger i det som kommer innan: för att veta vilken roll som gäller måste man först veta vilka AI-system som faktiskt används, av vem, och med vilken grad av anpassning. Den inventeringen saknas i de flesta organisationer. Den officiella listan över IT-godkända verktyg beskriver sällan vad som verkligen används. Avdelningar tar i bruk verktyg, anpassar modeller med egna data, eller bygger in en AI-funktion i en intern process, utan att detta registreras centralt någonstans. Den som vill veta om organisationen är leverantör eller användare måste alltså först veta vad som är i drift — och det är en fråga som inte besvaras med ett policydokument, utan med en inventering som vågar fråga människor vad de använder, utan att koppla det till några konsekvenser.
Eftersom organisationens roll kan förändras utan formellt beslut, är det viktigt för styrelse och tillsynsmyndigheter att rapporteringen följer med i denna rörelse. En styrningsmodell som utgår från en statisk rollfördelning missar ögonblicket då en intern anpassning faktiskt förflyttar organisationen till en annan position. Hur en AI-policy kan utformas så att den synliggör den här typen av förändringar istället för att dölja dem, och som faktiskt läses av den som är ansvarig för den, behandlas på sidan om en AI-policy som ansluter till praktiken istället för till hyllan.
Frågan om er organisation är leverantör eller användare handlar om ansvar och skyldigheter. Den säger ännu ingenting om vad AI innebär för själva arbetet: vilka uppgifter som därigenom övertas, förändras eller stöds. Den frågan ligger i förlängningen av rollbestämningen, men kräver ett annat perspektiv — inte på styrning, utan på arbetsinnehållet. Arbetsanalysen från FTE TO AI beräknar per uppgift vilken del av arbetet som kan övertas av AI, oavsett vilken roll organisationen intar i förhållande till det underliggande systemet.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.