De flesta organisationer har numera en AI-policy. Ofta är den väl skriven, juridiskt vattentät och fullständig. Och ofta blir den inte läst, eller läst den dag den fastställs och därefter inte mer. Det är inte en fråga om illvilja. Det är en fråga om plats i processen.
Medarbetare som arbetar med AI har redan en process: själva arbetet. En AI-policy som står bredvid det arbetet, som ett separat dokument man slår upp, konkurrerar med tiden som någon redan inte har. Den som ska skriva en text, analysera ett dataset eller besvara en kundfråga går inte först och konsulterar policyn. Han använder verktyget som fungerar, och tänker på policyn först när någon frågar om den.
Följden är förutsägbar. Det uppstår en praxis som avviker från dokumentet, utan att någon menar illa med det. Ingen har ignorerat policyn av ovilja; den passade helt enkelt inte in i det ögonblick då valet gjordes. En policy som vill bli läst måste därför inte stå bredvid arbetet, utan i det. Det innebär att den ger svar på frågor som redan uppstår — vilket verktyg får användas här, vem är ansvarig om det går fel, vad händer med resultatet — i det ögonblick frågan uppstår, inte tre kapitel senare i en pdf.
En AI-policy som fungerar i praktiken innehåller i grunden ett par igenkännbara delar. För det första en indelning efter risk: inte varje tillämpning av AI kräver samma uppmärksamhet, och ett dokument som slår ihop allt i en enda hög tillämpas av ingen på allvar. För det andra ett tydligt svar på frågan om vem som beslutar när ett fall inte passar in i indelningen — det hör hemma i en beslutslista för oversight som fastställer vem som ansvarar för vad, snarare än i en fotnot som ingen hittar tillbaka till.
För det tredje en väg för vad som händer om något går fel eller är tveksamt: eskaleringsvägar som fungerar beskriver vem man ringer, inte vem man i teorin borde informera. En policy utan fungerande eskalering är en policy som först läses efter incidenten, och då är det för sent att styra något.
För det fjärde en form av uppföljning som inte upphör vid fastställandet. En policy som skrivs en gång och därefter aldrig prövas igen åldras snabbare än praktiken den ska täcka. Monitorering som ger något är inte en extra rapporteringsbörda, utan mekanismen genom vilken policyn fortsätter att stämma överens med vad som faktiskt sker.
Ett vanligt missförstånd är att AI-policy behöver ett nytt styrningsramverk. Det är oftast inte fallet. De flesta organisationer har redan en riskstruktur — för integritet, för finansiella risker, för operativ kontinuitet. AI-risk passar i de flesta fall in där, som en extra kategori eller extra fråga inom befintliga beslutslinjer, inte som ett separat spår med egna möten och egna rapporteringslinjer. Att ansluta till den befintliga riskstrukturen är just av den anledningen ofta effektivare än att bygga upp ett nytt ramverk: människor känner redan till processen och behöver inte lära sig var det nya dokumentet finns.
Den anslutningen är också där det praktiskt kör fast eller lyckas. En policy som på papper ansluter väl men i praktiken förblir ett löst dokument blir ändå ignorerad. Frågan är inte bara vad som står i dokumentet, utan hur det är inbäddat i vad människor redan gör — mötesstrukturer, godkännandeflöden, rapporteringstillfällen som redan existerade innan AI blev ett tema. Hur det ser ut i praktiken beror på hur organisationen redan arbetar, och det utvecklas vidare i vad som beskrivs om hur en sådan policy blir inbäddad i vad som redan finns.
En policy som fungerar går också att sammanfatta i några meningar för den som inte arbetar med den dagligen. En styrelse har inte behov av hela dokumentet, utan av ett svar på frågan om det är under kontroll och var det inte är det. En styrelserapport på en sida är testet på om policyn fungerar: om den inte går att sammanfatta på en sida, går den troligen inte heller att tillämpa i praktiken.
En policy som ansluter till praktiken förutsätter att man vet vad den praktiken är: vilka uppgifter som utförs, och vilken del av dem som redan utförs med AI eller skulle kunna utföras med AI. Det är en annan fråga än styrning, och den frågan besvarar arbetsanalysen från FTE TO AI: den räknar per uppgift ut vilken del av arbetet som kan tas över av AI, så att policyn inte vilar på antaganden utan på en konkret bild av själva arbetet.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.