En oversight-beslutslista är inget nytt formulär och inget nytt möte. Det är en fast plats där det registreras vilken AI-tillämpning som har bedömts, av vem, utifrån vilken riskbedömning, och med vilket beslut. Godkänt, avslaget, med villkor, eller tillfälligt tillåtet i väntan på ytterligare utredning. Utan den listan existerar ett beslut bara i minnet hos den som var med, och försvinner så snart någon byter funktion eller samtalet inte har protokollförts.
Listan innehåller per tillämpning en kort beskrivning av uppgiften, klassificeringen efter roll och risknivå, namnet på processägaren, datumet för bedömningen, det fattade beslutet och skälet till detta. Ingen teknisk specifikation, ingen leverantörsdokumentation: det hör till dokumentationen för tillämpningen själv, inte till beslutslistan. Listan är en översikt en nivå högre upp — vem beslutade vad, och när det beslutet senast bekräftades på nytt. En tillämpning som godkändes för ett år sedan för en uppgift med begränsad risk kan nu användas för något annat. Utan periodisk omprövning fortsätter ett gammalt beslut att gälla för en situation som inte längre existerar.
Orsaken till att fristående AI-register ofta förblir tomma är inte ovilja utan ordningsföljd. Varje organisation har redan en plats där risker diskuteras och registreras: en riskkommitté, en revisionskommitté, ett ledningsmöte med en fast punkt om operativ risk. Den som därutöver sätter upp en separat AI-loggbok ber människor föra en andra administration för något som innehållsmässigt hör till den första. Den andra processen förlorar, strukturellt, mot den dagliga verksamhetens brådska. Oversight-beslutslistan fungerar bara om den är inbäddad i det som redan finns — som en fast del av ett befintligt möte, med en fast plats på agendan, i stället för som en ny skyldighet vid sidan om.
Det innebär också att listan använder samma skala och språk som resten av riskstrukturen. En tillämpning med hög risknivå får samma typ av uppmärksamhet som ett annat ärende med hög risknivå: fast rapporteringsfrekvens, fast ägare, fast eskaleringslinje. Hur den kopplingen ser ut i praktiken beror på organisationens befintliga styrning och beskrivs på sidan om anpassning till den befintliga riskstrukturen.
En beslutslista är värdelös utan en väg för vad som händer när någon inte håller med, eller när en tillämpning förändras utan att någon meddelar det. Den vägen hör inte in i listan själv, men måste ansluta till den: vem som vill bestrida ett avslag, vem som ska förlänga ett tillfälligt tillstånd, och till vem ett ärende hamnar när processägaren och riskfunktionen inte är överens. Hur dessa linjer löper utan att varje fråga hamnar högst upp i organisationen beskrivs under eskaleringsvägar som fungerar.
Beslutslistan är minnet; styrelsen behöver därutöver en sammanfattning som inte varje kvartal behöver sammanställas på nytt från lösa protokoll. Vad den sammanfattningen bör innehålla — och vad den inte ska innehålla, eftersom det redan finns i beslutslistan — beskrivs på sidan om en styrelserapport på en sida. Utan det steget förblir beslutslistan ett dokument som endast processägarna läser, medan styrelsen fortsatt är juridiskt ansvarig för vad som beslutas.
Att registrera ett beslut är inte samma sak som att veta om beslutet följs. En tillämpning som avslagits kan ändå förbli i bruk om ingen kontrollerar att avslaget har genomförts. Det är orsaken till att en beslutslista utan uppföljning ger lite: den dokumenterar avsikter, inte beteende. Vad som krävs för att se om ett beslut håller, och vilka signaler som hör till det, beskrivs på sidan om uppföljning som ger resultat.
En beslutslista kan bara innehålla det som har anmälts. Den som är beroende av anmälningar via IT-avdelningen ser bara en bråkdel av det som verkligen används: den största delen av AI-användning i en organisation uppstår utanför formella upphandlingsprocesser, i team som testar ett verktyg eftersom det fungerar. Om dessa tillämpningar någonsin hamnar på beslutslistan beror på om medarbetarna vågar berätta vad de använder — och det sker bara om frågor om detta inte känns som ett förstadium till en sanktion.
Den första frågan som hjälper här är inte 'vilken AI är godkänd' utan 'vilken del av detta arbete görs egentligen redan, eller skulle kunna göras, av AI'. Det är en annan ingång än en beslutslista, och en mer fullständig utgångspunkt: arbetsanalysen från FTE TO AI räknar per uppgift ut vilken del av arbetet som kan tas över av AI, och lägger därmed en grund som inte beror på vad som råkar ha anmälts. Utifrån det resultatet blir det synligt vilka tillämpningar som redan är i drift innan beslutslistan någonsin fick veta om dem.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.