Ett team vill arbeta snabbare och sätter igång ett AI-verktyg, oftast för att testa något konkret: en sammanfattning, ett första utkast, en klassificering. Det finns inget godkännandeförfarande eftersom det "bara är en pilot". Piloten fungerar, eller fungerar tillräckligt bra, och glider in i det dagliga arbetet utan att något beslut någonsin har fattats om att behålla den. Det har aldrig funnits ett ögonblick där någon medvetet valde: detta tar vi upp i vår AI-inventering, detta behöver en ägare, detta faller under den där risknivån. Det fanns bara ett ögonblick av att börja, och det ögonblicket skriver sig fast i ett arbetssätt som ingen sedan har rört.
Att stänga en pilotinstallation kräver ett beslut. Att fortsätta kräver ingenting. Så länge ingen rapporterar en incident eller en extern part inte begär bevis på kontroll, finns det ingen anledning att gå tillbaka till något som länge sedan blivit vanligt arbete. De som använder verktyget har inget intresse av att uppmärksamma det: det fungerar, det sparar tid, och att rapportera det känns som att riskera att det tas ifrån dem. Så förblir en tillfällig lösning strukturell, inte därför att ingen känner till den, utan därför att ingen ställer den fråga som skulle leda till avstängning.
Det är lätt att tro att en översikt över godkänd programvara skulle göra detta synligt. Den översikten visar vad som har köpts in, inte vad som används. En pilotinstallation går ofta utanför den kanalen: ett gratis konto, ett webbläsartillägg, ett löst abonnemang på ett teamkort. Samma mönster gäller för en webbläsarextension med tillgång till er e-post, för en avdelning med ett eget abonnemang utanför den centrala inköpsprocessen, och för företagsdata som klistras in i ett gratis chattfönster utan att det finns ett avtal med personuppgiftsbiträdesvillkor bakom det. Ingen av dessa situationer finns på en IT-lista, eftersom ingen av dem någonsin anmälts som ett projekt.
Det enda sättet att veta vad som verkligen körs är att fråga. Inte som en efterkontroll, utan som en öppning: vad använder ni, till vad, och sedan när. Den som ställer den frågan med hot om sanktioner i bakgrunden får inget svar eller ett ofullständigt svar. Medarbetare som använder ett verktyg som ingen har godkänt har något att förlora på ärlighet och ingenting att vinna. Det är precis den spänning som behandlas i medarbetare som använder ett verktyg som ingen har godkänt: utan en inbjudan som är säker att svara på förblir pilotinstallationen underjordisk, och den försvinner inte, den blir bara tystare.
En inventering utan konsekvenser för den som rapporterar är det första steget, inte slutsatsen. Efter att ha synliggjort följer klassificering: vad är detta, vilken roll spelar det i en process, och vilken risknivå passar. Ett sammanfattningsverktyg för interna anteckningar kräver ett annat regelverk än ett verktyg som är med och beslutar om kundacceptans eller personalbedömning. Den klassificeringen bör ansluta till den riskstruktur som redan finns, inte till ett nytt ramverk vid sidan om. En andra, informell process som ignoreras vid sidan av den befintliga processen är precis varför en andra process vid sidan av den befintliga ignoreras är ett igenkännbart mönster: människor följer vägen med minst motstånd, och den vägen blir synlig först när någon frågar efter den.
Därefter kommer frågan om vem som fortfarande granskar det. En pilotinstallation som släppts lös i det dagliga arbetet har oftast inte längre en ägare som bedömer resultaten innan de används. Det är där vad mänsklig tillsyn innebär i praktiken blir relevant: inte som en abstrakt princip, utan som en konkret fråga om vem som läser resultatet innan det påverkar en kund, ett ärende eller ett beslut.
En styrelseledamot som blir tillfrågad om detta — av en tillsynsmyndighet, en revisor, ett styrelseråd — har två alternativ: säga att översikten är komplett, eller säga att processen finns för att göra den komplett och hålla den så. Det andra alternativet är ärligare och, på längre sikt, starkare, eftersom en organisation som aktivt inventerar har något påvisbart, även när inventeringen ännu inte är klar. Poängen är inte att det aldrig mer uppstår en icke godkänd pilotinstallation. Poängen är att det finns en mekanism som hittar dem innan en incident gör det åt er.
När det väl blivit synligt vilken AI som har uppstått oplanerat, uppstår ofta en annan fråga: om detta team redan gjorde detta, utan att någon organiserade det, vad skulle då hända om vi faktiskt organiserade det? Det är en annan fråga än governance, och den hör till FTE TO AI:s arbetsanalys, som per uppgift beräknar vilken del av arbetet som rimligen kan tas över av AI. Där denna sida beskriver hur ni får kontroll över vad som redan körs, beskriver den analysen vad som, med samma sansade blick på uppgifter och risker, ännu kan byggas upp.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.