Att fråga om AI-användning utan att det känns som ansvarsutkrävande

Vid ett verksamhetsställe kan ni fortfarande gå runt och föra samtalet. Vid flera verksamhetsställen, med olika chefer och olika kulturer kring vad som rapporteras och vad som inte rapporteras, fungerar det inte längre. Då måste ni hitta ett sätt att ställa samma fråga överallt på samma sätt, och det är precis där det oftast går fel: frågan ställs som kontroll, och då kommer det inget användbart svar.

Varför själva frågan är problemet

Om ni frågar "använder ni AI-verktyg som inte är godkända", ber ni någon erkänna att han bryter mot reglerna. Svaret ni då får är nästan alltid nej, även om det inte är sant. Inte därför att människor ljuger för att ljuga, utan därför att frågan är formulerad på ett sätt som gör att ett ärligt svar blir en bekännelse. Det gäller för medarbetaren som använder en chatbot för att utkasta e-post, och det gäller ännu starkare för verksamhetschefen som har skaffat ett verktyg utanför IT, eftersom det gick snabbare än att lämna in en ansökan.

Frågan som fungerar handlar inte om tillstånd utan om användning: vilket arbete gör ni, och vad hjälper er med det. Ingen fråga om regelbrott, en fråga om praktik. Det förändrar inte bara tonen, det förändrar också vad människor vågar rapportera.

Vad ni dokumenterar, per anmälan

En användbar översikt består inte av intryck utan av en begränsad uppsättning uppgifter, insamlade på ett enhetligt sätt:

Namnet på tillämpningen. Inte kategorin ("en chatbot"), utan den specifika produkten eller tjänsten.
Vem som använder den. Ett team, en funktion, ett verksamhetsställe — tillräckligt för att senare kunna följa upp utan att det blir ett förhör.
För vad. Typen av uppgift: skriva text, analysera data, besvara kundfrågor, skriva kod. Detta avgör delvis senare risknivån.
Vilka uppgifter som går in i den. Endast interna anteckningar, eller även kunduppgifter, personuppgifter, finansiell information. Detta är ofta den viktigaste punkten i hela inventeringen.
Hur den anskaffades. Via IT, via en avdelningsbudget, gratiskonto, eller medföljande med ett annat mjukvarupaket.

Dessa fem punkter utformar ni till en fast frågelista som är densamma överallt, så att verksamhetsställe A och verksamhetsställe B ger jämförbara uppgifter. Vad ni exakt ska dokumentera per tillämpning och varför finns utförligt beskrivet på sidan om vad ni bör dokumentera per tillämpning.

Var ni hämtar det ifrån utöver medarbetaren själv

Frågan till medarbetare är en källa, inte den enda. Fakturor och licensöversikter visar ofta vilka AI-prenumerationer som pågår någonstans, även utan att någon rapporterar det; vad inköps- och licensuppgifter avslöjar hos en organisation med flera verksamhetsställen är att varje verksamhetsställe har sitt eget inköpsmönster, och att avvikelser i det ofta märks tidigare än vid ett samtal. Dessutom ger IT-signaler som är användbara hos en organisation med flera verksamhetsställen en andra linje: nätverkstrafik till kända AI-tjänster, nya webbläsartillägg, förfrågningar om API-åtkomst. Ingen av dessa källor är komplett i sig själv. Tillsammans ger de en bild som är mer tillförlitlig än vad en enda kanal kan ge, och det gör det också lättare att inte belasta medarbetaren som den enda kontrollpunkten.

Löftet ni måste ge i förväg

Utan en tydlig överenskommelse att rapportering inte leder till en sanktion, förblir skugg-AI skugg-AI. Det betyder inte att det aldrig finns konsekvenser — om en tillämpning visar sig vara en risk måste något göras åt det — utan att rapporteringen i sig aldrig är startpunkten för ett problem. Denna åtskillnad mellan rapportering och bedömning måste ni kommunicera i förväg, inte förklara i efterhand. Hur ni bygger upp den inventeringen steg för steg, inklusive ordningen på frågor och källor, beskrivs på sidan om att bygga upp en AI-inventering.

Roll och risknivå, inte omedelbart omdöme

Så snart en tillämpning är identifierad är nästa fråga inte "får detta" utan "vad är detta". Är organisationen här användare av ett externt system, eller i vissa fall själv leverantör — exempelvis eftersom ett team har tränat en egen modell eller genomgripande anpassat ett befintligt system. Denna distinktion avgör vilka skyldigheter som gäller och vem som är ansvarig för dem; det är utvecklat på sidan som skiljer mellan leverantörs- och användarroller. Även inom användarrollen kan positionen förändras — en anpassning, en ny tillämpning av befintliga data — vilket kan läsas på sidan om det ögonblick då er roll förändras. Båda frågorna hör till klassificering, inte till det första samtalet med medarbetare. Först översikten, sedan indelningen.

Från översikt till bedömning av påverkan

En inventering av vad som används talar ännu inte om för er hur mycket arbete det hänger samman med eller vad som förändras om en tillämpning försvinner eller tvärtom utökas. För den frågan — vilken del av arbetet i en uppgift som tas över av AI, och vilken del som inte gör det — är arbetsskanningen från FTE TO AI avsedd. Den beräknar per uppgift hur fördelningen mellan människa och AI ser ut, baserat på uppgifterna som de utförs nu, inte baserat på en uppskattning i förväg.