En organisation med flera verksamhetsställen har sällan en enda plats där beslut om programvara fattas. Ett verksamhetsställe tecknar en licens, ett annat använder en gratisversion av samma verktyg, och ett tredje har en lokal IT-partner som har konfigurerat något utan överläggning. En AI-inventering som vill fånga detta får därför inte utgå från en enda källfil, utan från flera källor som kompletterar och motsäger varandra.
Varje verksamhetsställe har en egen historia av inköp, egna leverantörer och ofta en egen grad av självständighet i IT-val. Vad som på huvudkontoret är ett undantag, kan på en annan plats ha blivit standard utan att någon har dokumenterat det. En central inventering som endast frågar huvudkontoret missar därmed per definition en del av bilden. Varför IT-listan inte stämmer förklarar varför en central registrering sällan stämmer med vad som faktiskt används, och det problemet blir större ju fler verksamhetsställen det finns.
Grunden är densamma för varje verksamhetsställe: vilken tillämpning används, av vem, för vilken uppgift, och utifrån vilka uppgifter. Dessutom är det relevant om tillämpningen köpts in lokalt eller ställts till förfogande centralt, och om det finns en leverantör bakom som själv redan dokumenterar hur systemet fungerar, eller om verksamhetsstället har sammanställt eller anpassat systemet självt. Den distinktionen avgör nämligen vem som bär ansvaret för vad som faktiskt sker. Vad ni dokumenterar per tillämpning beskriver detta i detalj, och samma dokumentation gäller oavsett plats: endast sättet ni hämtar informationen på skiljer sig åt mellan verksamhetsställen.
Vid ett enda verksamhetsställe är det överskådligt att fråga runt. Vid flera verksamhetsställen är det inte längre hanterbart utan struktur. Två källor är då användbara vid sidan av varandra. Den första är vad IT-miljön själv redan visar: inköpsregister, licensfiler och tekniska signaler som pekar på användning av AI, även om ingen uttryckligen har rapporterat den användningen. Vad inköps- och licensuppgifter avslöjar visar vilka ledtrådar som finns där, och vilka IT-signaler som är användbara går in på den tekniska sidan av detta: vilken trafik, vilka prenumerationer och vilka integrationer pekar på AI-användning som inte är formellt dokumenterad någonstans.
Den andra källan är medarbetaren själv. Ingen teknisk skanning fångar varför någon använder ett verktyg, för exakt vilken uppgift, eller hur ofta. Det vet endast den som utför arbetet. Vid flera verksamhetsställen innebär detta att ni behöver ett sätt att ställa den frågan på samma sätt överallt, utan att ett verksamhetsställe känner sig mer kontrollerat än ett annat. Hur ni frågar utan avräkning beskriver varför den förutsättningen är avgörande för tillförlitligheten av det ni samlar in: den som är rädd för en konsekvens svarar ofullständigt eller inte alls, och den effekten är inte nödvändigtvis lika fördelad mellan verksamhetsställen med olika kulturer eller ledarstilar.
En tillämpning som köpts in vid verksamhetsställe A och informellt tagits över vid verksamhetsställe B, förblir samma tillämpning med samma roll och samma risknivå. Inventeringen ska därför inte klassificeras per verksamhetsställe separat, utan per tillämpning, med en anteckning om var och av vem den används. På så sätt förhindrar ni att samma verktyg bedöms olika på två platser, och att en risk som redan identifierats på en plats förblir oupptäckt på en annan. Även relevant är om verksamhetsstället självt har byggt eller konfigurerat något utifrån en AI-modell, eller om det endast använder en färdig produkt. Är ni leverantör eller användare hjälper till att göra den distinktionen, och den distinktionen kan skilja sig åt mellan verksamhetsställen, även vid användning av samma underliggande teknik.
När uppgifterna från verksamhetsställena är insamlade är nästa steg att sammanfoga dem till en lista utan dubbletter, med en tydlig roll per tillämpning, en riskbedömning och en angivelse av var den används. Den översikten utgör grunden för att fastställa vilka styrningsåtgärder som behövs och var de först kräver uppmärksamhet. Exakt hur den översikten byggs upp och underhålls beror på organisationens storlek och struktur; en fast mall för varje situation finns inte.
En inventering av AI-användning kartlägger vad som görs och med vad. En uppföljningsfråga som ofta ansluter till detta är vilken del av det arbetet som faktiskt kan tas över av AI, och vilken del som förblir mänskligt arbete. Den frågan besvaras av arbetsskanningen från FTE TO AI, som per uppgift beräknar vilken andel som kan komma i fråga för övertagande.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.