En översikt av godkänd programvara talar om vad som har anskaffats, inte vad som faktiskt används. Mellan dessa två finns en skillnad som blir större i takt med att AI-verktyg blir mer lättillgängliga: ett webbläsartillägg, ett gratiskonto, en chatbot som någon på eget initiativ satte in för att göra en uppgift snabbare. Vad inköps- och licensuppgifter avslöjar är en startpunkt, men ingen slutpunkt. Resten av svaret finns hos de personer som utför arbetet.
Om ni frågar "använder ni AI-verktyg som inte är godkända", får ni oftast inget fullständigt svar. Inte därför att människor vill dölja något, utan därför att frågan antyder en risk. Den som erkänner att hen använder ett verktyg som inte står på listan förväntar sig en konsekvens: en varning, ett samtal med en chef, en anteckning i ett dokument. Den utsikten räcker för att någon ska hålla tyst, även om användningen är oskyldig och till och med nyttig.
Resultatet blir en skev bild. Inte därför att inget sker, utan därför att det som sker inte rapporteras. En inventering som enbart bygger på anmälningar registrerar framför allt det som redan var känt.
Frågan i sig förändrar ingenting om sammanhanget förblir oförändrat. Vad som fungerar är flera element tillsammans: frågan kopplas bort från ett individuellt bedömningstillfälle, svaren spåras inte till ett namn i en rapport som går uppåt, och syftet förklaras i förväg — det handlar om en översikt av organisationen, inte om ett omdöme om en person.
Det betyder inte att det inte genomförs någon enkät eller något samtal. Det betyder att frågan ställs inom en ram där "ja, jag använder detta" inte leder till en korrigering. Först då förskjuts svaret från vad någon tror att ni vill höra till vad som verkligen sker.
Resultatet av ett väl genomfört samtal är inte en lista med namn på verktyg. Det är en uppsättning uppgifter som per tillämpning kan spåras till en uppgift eller process: vilken tillämpning, för vilken del av arbetet, med vilka uppgifter, och vem som ytterligare berörs av den. Det är samma struktur som vad ni bör dokumentera per tillämpning när en tillämpning kommer i blickfånget via inköp eller IT — bara att källan här är användaren, inte kontraktet.
Konkret innebär detta: ett namn på tillämpningen, en kort beskrivning av vad den används för, en uppskattning av hur ofta, och en angivelse av vilken typ av uppgifter som matas in i den. Inga tekniska specifikationer, ingen leverantörsbedömning i detta skede — det kommer senare, vid klassificeringen. På denna punkt handlar det om att få överblick, inte om att döma.
Dessa samtal är en av kanalerna vid sidan av de tekniska signaler som ni konsulterar separat. Vad ni samlar in från användare lägger ni bredvid vilka IT-signaler som är användbara som ett separat spår, och först vid sammanslagningen uppstår en mer fullständig bild än vad båda källorna ger var för sig. En tillämpning som dyker upp i nätverksloggarna men som ingen förklarar, förblir ett frågetecken. En tillämpning som nämns i ett samtal men inte lämnar något digitalt spår är lika verklig — och kanske just därför lättare att förbise.
Ordningsföljden och upprepningen av denna typ av utfrågningar beror på organisationen: hur många avdelningar, hur mycket lagerbildning i rapporteringslinjerna, hur mycket tidigare erfarenhet av denna typ av inventering. I en organisation med flera enheter eller en flerskiktad struktur fungerar hur ni frågar medarbetare utan avräkning något annorlunda än vid en enda plats med en platt struktur, helt enkelt därför att antalet mellanled där "ingen avräkning" måste hålla är större.
Ett ärligt svar från medarbetare är råmaterialet för resten av inventeringen. Utan detta råmaterial klassificerar ni en lista som ni redan kände till, och det är ingen inventering utan en bekräftelse. Med detta råmaterial kan ni gå vidare till hur ni bygger upp en AI-inventering i en skala som sträcker sig bortom en enda avdelning eller en enda enhet, med indata från flera håll samtidigt.
Tonen i frågan avgör därmed delvis kvaliteten på svaret. Det är inte en fråga om en smartare formulering, utan om en struktur där att svara inte innebär någon risk.
Så snart det är klart vilka tillämpningar som verkligen används och för vilka uppgifter, förskjuts frågan från "vad använder vi" till "vad betyder det för själva arbetet". Det är en annan fråga, med ett annat verktyg. Arbetsskanningen från FTE TO AI räknar per uppgift ut vilken del av arbetet som kan tas över av AI, baserat på de uppgifter ni redan har kartlagt via denna inventering. Där Responsible AI Scan kartlägger användningen och riskerna, ser arbetsskanningen på arbetsinnehållet: vilka uppgifter som lämpar sig för övertagande, och i vilken grad. Dessa två frågor ligger nära varandra, men är inte utbytbara.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.