En leverantör levererar ett bokföringspaket, ett HR-system eller ett kundtjänstverktyg. Det finns ett avtal, ett personuppgiftsbiträdesavtal, möjligen en säkerhetsrevision. Sedan lägger leverantören i en uppdatering till en AI-funktion: automatisk klassificering, textförslag, en chatbot som sluppits loss på er data. Versionsanteckningarna kallar det en förbättring. Ingen i er organisation har haft något att säga om det, eftersom ingen visste att det var på gång.
Detta är inget undantag från hur programvara levereras. Det har blivit standard. Leverantörer konkurrerar på AI-funktionalitet och bygger den in så snabbt som möjligt, ofta som en del av ett abonnemang ni redan betalar för. Frågan om detta faller inom ramen för era befintliga avtal ställs sällan innan funktionen går live.
En inköpsavdelning granskar en leverantör vid anskaffning. Därefter förskjuts uppmärksamheten till faktura, drifttid och support. Funktionsuppdateringar sker utanför den processen, eftersom de faller under underhåll, inte under en ny anskaffning. Vem skulle behöva rapportera det? Leverantören ser det som en produktförbättring. Inköparen ser inte uppdateringen, eller ser den men tänker att det är någon annans ansvar. Användaren i organisationen märker framför allt att en knapp gör något smartare och undrar inte om det ligger en språkmodell bakom som bearbetar data externt.
Mönstret liknar det som händer med en webbläsartillägg med åtkomst till er e-post: åtkomsten beviljas vid en tidpunkt då ingen tänkte på AI, och förblir därefter aktiv oupptäckt. Hos leverantörer är skalproblemet större, eftersom det inte gäller en enda medarbetare utan en hel organisation som exponeras via ett enda avtal.
En avtalsbestämmelse som tvingar fram anmälningsskyldighet vid AI-funktionalitet hjälper vid nya avtal. Vid befintliga avtal finns bestämmelsen inte, och det är inte givet att en leverantör accepterar den med retroaktiv verkan. Dessutom löser en klausul inte detekteringsproblemet: om ingen periodiskt kontrollerar vad en leverantör faktiskt har lagt till, förblir anmälan beroende av leverantörens vilja att själv rapportera.
Vad som fungerar är en fast lägesbild: en periodisk inventering av vad varje kärnleverantör för närvarande levererar i form av AI-funktionalitet, frikopplad från vad som bedömdes vid anskaffningen. Det är inget juridiskt instrument utan en faktisk översikt, som därefter kan prövas mot riskkategorin för den process leverantören verkar inom.
Samma dynamik som håller skugg-AI vid liv bland medarbetare gör sig gällande även här, bara på leverantörsnivå. Den som ställer frågan "använder ni AI för det här" vill ha ett ärligt svar, inte en försvarsreaktion från kontoansvarig. Det innebär att frågan inte ska ställas som en upptakt till avtalsuppsägning, utan som en del av en fast process där svaret inte har någon konsekvens förutom klassificering. Se hur det fungerar hos medarbetare som använder ett verktyg som ingen har godkänt: den användbara informationen kommer fram först när frågorna frikopplas från bestraffning.
En leverantörslista är en utgångspunkt, inget slutmål. För varje leverantör som har åtkomst till produktionsdata, kunddata eller personaldata är det relevant om det numera finns AI-funktionalitet inbyggd, vad den funktionaliteten gör med data, och om den användningen faller inom samma riskkategori som den leverantören ursprungligen godkändes för. En leverantör som för fem år sedan bedömdes som lågrisk eftersom den bara fakturerar, kan nu köra en modul som automatiskt klassificerar fakturor utifrån en språkmodell som tränats externt. Det är en annan riskkategori, även om samma namn står på fakturan.
Denna inventering bör inte stå separat från resten av AI-styrningen i en organisation. Samma klassificering som tillämpas på internt byggda verktyg eller på en testuppställning som aldrig stängdes av bör också tillämpas på det som leverantörer för in. En översikt, en riskskala, oavsett om AI:n är internt byggd, tagits med av en medarbetare, eller lagts till av en leverantör utan aviseringar.
Så snart det är klart vilken AI som kommer in via leverantörer uppstår en följdfråga som går längre än bara risk: vad gör den AI:n faktiskt med det arbete som nu utförs av människor, och var överlappar det med uppgifter som ändå är kandidater för automatisering. Arbetsskanningen från FTE TO AI beräknar per uppgift vilken andel av arbetet som kan tas över av AI, oavsett vilken leverantör eller vilket system som i slutänden utför det. Det gör att inventeringen som börjar med risk också blir användbar för frågan som kommer därefter: inte bara vad som körs, utan vad arbetet faktiskt är värt.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.