En styrelse får periodiskt rapporter: finansiella, operationella, om risker som redan har en plats i den befintliga strukturen. En rapport om AI som står löst bredvid detta, med ett eget tempo och ett eget format, blir i praktiken bortprioriterad. Inte för att ämnet är oviktigt, utan för att en andra process bredvid en befintlig process kräver en separat insats som konkurrerar med allt som redan finns på agendan. Det som verkligen läses är det som passar in i den befintliga rapporteringslinjen: samma tempo, samma längd, samma plats i mötet.
En styrelserapportering om AI behöver inte en fullständig teknisk inventering. Styrelsen behöver ett svar på ett begränsat antal frågor: vilka AI-tillämpningar finns det, i vilken riskkategori faller de, vad har förändrats sedan förra rapporteringen, och har det förekommit eskaleringar. Den sista punkten är där de flesta rapporteringar förblir tomma — inte för att ingenting händer, utan för att det inte finns en väg genom vilken en signal når styrelsen. Utan fungerande eskaleringsvägar som fungerar är en rapportering en ögonblicksbild utan historia: den visar vad som finns nu, inte vad som har gått fel eller nästan gått fel under vägen.
Rapporteringen bygger på det som redan finns dokumenterat. En oversight-beslutslista med vem som har godkänt vad är källan från vilken sidan sammanfattas, inte ett separat dokument som existerar löst bredvid. Det som står på sidan är en förtätning av beslut som redan fattats; det är inte en ny bedömning som styrelsen själv måste göra utifrån rådata.
Organisationer har redan en riskstruktur: en revisionskommitté, en riskkommitté, en fast plats på styrelseagendan för operationella risker. En AI-rapportering som introducerar en egen kommitté, en egen kalender eller en egen mall kräver av alla som redan deltar att göra något extra utöver det de redan gör. Detta extra arbete skjuts upp så snart agendan blir full, och agendan blir alltid full. Följden är att rapporteringen efter några gånger faller bort, inte för att någon beslutade att AI-risk inte är viktig, utan för att ingen beslutade att den var viktigare än det som redan fanns.
Lösningen ligger inte i mer betoning av ämnet, utan i mindre friktion vid dess upptagande. En sida som dyker upp i samma kvartalstempo som de andra riskrapporteringarna, som använder samma layout och sitter på samma plats i paketet, blir läst eftersom att läsa den inte kräver en separat handling. Vad som inte fungerar är en separat AI-styrningscykel som körs oberoende av den befintliga cykeln — den ignoreras så snart den första hektiska månaden infinner sig.
En rapportering på en sida kan bara vara kort om den underliggande strukturen är komplett. Den förutsätter en vad en styrelseledamot behöver veta om AI-risk-liknande översikt av roller och ansvar, så att sidan inte varje gång på nytt behöver förklara vem som ansvarar för vad. Den förutsätter en inventering som inte bara innehåller det som IT har godkänt, utan även det som avdelningar själva har börjat använda utan att rapportera det — skugg-AI som bara blir synlig när människor tillåts berätta utan konsekvenser vad de faktiskt använder. En rapportering som endast visar den godkända listan rapporterar en fiktion.
Sidan förutsätter också att något händer mellan rapporteringarna: övervakning som ger något i stället för en loggbok som ingen konsulterar. Utan det mellanliggande skiktet blir kvartalssidan en överraskning vid varje utgåva, i stället för en sammanfattning av något som redan följts hela kvartalet. Och den förutsätter att den underliggande policyn inte är dokumentation för syns skull, utan en AI-policy som läses av de människor som dagligen använder systemen — för en rapportering om efterlevnad av en policy som ingen känner till rapporterar framför allt om sig själv.
Styrelsesidan är en förtätning; underbyggnaden finns ett steg djupare, hos den som känner systemen. Vad en CIO bidrar med till detta beskrivs på vad en CIO behöver veta om AI-risk, och dessa två skikt — styrelseöverblick och operationell kunskap — måste ansluta till varandra innan sidan som tar en kvart att läsa faktiskt säger något om vad som händer i organisationen.
Denna struktur byggs upp, den erbjuds inte som en färdig produkt. Den som vill ha skanningen som ger denna inventering, klassificering och rapporteringsstruktur hamnar på en väntelista; den är under uppbyggnad och säljs inte som ett färdigt verktyg innan den faktiskt är det.
När det en gång är klart vilken AI som körs och i vilken riskkategori den faller, följer en annan fråga, som inte handlar om risk utan om hur själva arbetet är organiserat: vilken del av de uppgifter som nu utförs som lämpar sig för att övertas av AI. Det är en separat kalkyl, byggd inte på risk utan på uppgifter. Arbetsskanningen från FTE TO AI räknar per uppgift ut vilken del av arbetet som är lämplig för övertagande, som ett nästa steg när det redan är klart vad som finns av AI i organisationen.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.