Varje organisation med viss omfattning har redan en riskstruktur. En riskkommitté, en revisionsfunktion, en rapporteringslinje till styrelsen, ett format där risker klassificeras och följs upp. Den som lägger ett nytt process bredvid detta, specifikt för AI, med en egen kommitté, en egen kalender och ett eget språk, får inom ett år ett process som ingen längre fyller i. Inte för att AI inte anses viktigt, utan för att en andra struktur konkurrerar med den första om tid, uppmärksamhet och mandat. Den befintliga strukturen vinner nästan alltid, för den är inbäddad i utvärderingar, funktionscykler och styrelseagendor. Den nya strukturen står utanför.
Frågan är alltså inte hur ni bygger en AI-styrningsstruktur. Frågan är hur AI får en plats i den struktur som redan finns.
De flesta riskstrukturer har redan ett antal fasta delar: en riskinventering som uppdateras periodiskt, en klassificering utifrån allvarlighetsgrad och sannolikhet, en ägare per risk, en eskaleringslinje till en högre nivå om en gräns överskrids, och en rapportering till styrelsen vid fasta tillfällen. Det är den struktur som AI måste passa in i, inte bredvid.
Det innebär att en AI-tillämpning inte bör stå i ett separat AI-register, utan som ett riskobjekt i det befintliga registret, med samma fält som varje annan risk: ägare, allvarlighetsgrad, sannolikhet, mitigering, statusdatum. Klassificeringen av risknivå som hör till en inventering av AI-användning måste ansluta till den skala som redan används för operativ risk, inte till en ny skala som bara uppfunnits för AI. Den som läser vad en cio behöver veta om ai-risk ser att just den anslutningen ofta är där det går fel: en tekniskt korrekt AI-riskpoäng som ingen kan jämföra med resten av riskregistret.
Två saker gör inbäddning svår. Det första är språk. Riskansvariga arbetar med begrepp som påverkan, sannolikhet och mitigerande åtgärd. AI-leverantörer och tekniska team arbetar med modellversioner, träningsdata och prestandamått. Ett styrningsunderlag som enbart är skrivet på det tekniska språket läses inte av riskkommittén. Ett styrningsunderlag som enbart är skrivet på riskspråk fylls inte i av den tekniska ägaren. Underlaget måste vara läsbart i båda riktningarna: tekniskt nog för att stämma, styrelsemässigt nog för att landa. Den principen återkommer i en ai-policy som blir läst: ett dokument som ansluter till hur människor redan läser och beslutar, i stället för att kräva ett nytt sätt att läsa.
Det andra är tempo. En riskkommitté sammanträder enligt en fast cykel, ofta kvartalsvis eller månadsvis. AI-användning förändras snabbare: ett team börjar denna vecka med ett nytt verktyg, utan att ett möte föregår det. Styrningsunderlaget får därför inte vara beroende av mötescykeln för att fungera. Det måste finnas en lättare mekanism som fångar upp avvikelser mellan de fasta tillfällena, och som formellt bekräftas först vid nästa cykel. Hur den mekanismen fungerar i praktiken beskrivs vid eskaleringsvägar som fungerar: en väg som är kort nog för att användas innan nästa kvartalskommitté sammanträder.
Ett styrningsunderlag som ansluter till en befintlig riskstruktur innehåller i huvuddrag: ett inventeringsobjekt per AI-tillämpning med ägare och riskklass, en koppling till den befintliga eskaleringsvägen så att en avvikelse inte försvinner i en separat kanal, och en fast plats i den periodiska rapporteringen till styrelsen. Inte som ett separat kapitel om AI, utan som en rad i den tabell styrelsen redan känner till. Hur den rapporteringen kan se ut utan att införa ett nytt format beskrivs vid hur får ni en styrelserapport på en sida inbäddad i det som redan cirkulerar.
Innehållet i reglerna själva, vad som exakt faller under vilken risknivå och vilka tidsramar som hör till det, dokumenteras på annat håll och förändras; denna sida handlar om mekanismen som ger det innehållet en plats i den befintliga strukturen, inte om texten i dessa regler.
Inbäddning lyckas bara om inventeringen är korrekt från början. Och den är bara korrekt om människor vågar säga vad de använder. Den som vid ifyllandet av riskobjektet känner att ett ärligt svar leder till en anteckning i en utvärdering fyller inte i det ärligt. Styrningsunderlaget måste därför från första versionen tydliggöra att syftet är överblick, inte sanktion. Utan det åtagandet förblir en del av användningen dold, och anslutningen till riskstrukturen bygger på en ofullständig lista. Vad en styrelseledamot behöver veta om detta innan den första inventeringen inleds beskrivs vid vad behöver en styrelseledamot veta om ai-risk.
Denna inbäddning handlar om risk, ägarskap och rapportering: den ser till att det AI gör är synligt och hanterbart inom den struktur som redan finns. En annan fråga, som logiskt följer så snart överblicken finns, är vad AI faktiskt kan ta över inom det arbetet. Arbetsanalysen från FTE TO AI räknar per uppgift ut vilken del av arbetet som kan tas över av AI, som ett nästa steg när styrningssidan är i ordning.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.