Kennisbank

Uppföljning som faktiskt används

Problemet är inte att uppföljning saknas

De flesta organisationer har redan något som kallas uppföljning. En instrumentpanel, ett rapporteringsformat, ett återkommande möte där risker diskuteras. Problemet är inte att detta saknas. Problemet är att AI-uppföljning läggs till som en separat del, med sin egen rytm, sin egen ägare och sin egen mall. Den som redan har tre processer för att följa risk kommer inte lojalt fylla i en fjärde process. Det blir en skyldighet som slarvas igenom en gång per kvartal, eller inte alls.

Det är anledningen till att uppföljning av AI-användning så ofta inte ger något resultat. Inte för att frågorna är fel, utan för att processen i sig förblir en främmande kropp inom en organisation som redan har processer för risk, regelefterlevnad och intern kontroll.

Vad verklig uppföljning bör innehålla

Uppföljning som ger resultat börjar inte med ett format utan med en fråga: vad förändras, och vem märker det först? För AI-system innebär detta tre nivåer.

Den första nivån är användning: används ett system fortfarande som avsett, eller har tillämpningen förskjutits utan att någon har rapporterat det? Ett verktyg som började som textkontroll och nu används för att formulera utkast till beslut, innebär en annan risk än den som fastställdes vid start.

Den andra nivån är ursprung: är systemet fortfarande detsamma som när det klassificerades? Underliggande modeller byts ut, leverantörer ändrar sina villkor, ett fristående verktyg integreras i en större plattform. Varje förändring kan göra den tidigare riskbedömningen ogiltig utan att någon bedömer den på nytt.

Den tredje nivån är signal: finns det klagomål, felmeddelanden eller avvikelser som tyder på att något inte fungerar som förutsatt? Detta är den nivå som oftast saknas, eftersom ingen har intresse av att rapportera ett problem med ett system som officiellt inte existerar.

Varför en andra process ignoreras

En organisation som redan har en riskcykel för operativa risker, finansiella risker eller dataskydd, kommer inte att starta en ny cykel för AI. Det är inte ovilja; det är en kapacitetsfråga. Den som försöker ser två saker hända. Antingen töms den nya uppföljningen ut, eftersom ingen hittar tid att mata ett system som ingen frågar efter. Eller den nya uppföljningen tas över av samma personer som redan driver den befintliga cykeln, och då försvinner skillnaden av sig själv.

Frågan är alltså inte om det ska finnas en separat process för AI-uppföljning. Frågan är hur AI-signaler kommer in i den befintliga cykeln, så att de diskuteras i samma möte, med samma ägare och i samma rytm som andra risker. Exakt hur detta utformas beror på hur den befintliga cykeln redan fungerar: vissa organisationer har en kvartalsrapport till revisionskommittén, andra ett månatligt riskmöte på ledningsnivå, ytterligare andra en löpande logg som uppdateras per incident. Mer om hur ni integrerar uppföljning i det som redan är i drift istället för att lägga något bredvid det finns på en separat sida, eftersom denna mekanism utformas olika för varje organisation.

Dokumentet som finns till hands när någon frågar efter det

Vad som passar in universellt är en fast form där statusen för AI-system dokumenteras: vad körs, i vilken roll, med vilken risknivå, och när det senast bekräftades. Inte som ett fristående AI-dokument, utan som en bilaga eller fast del av rapporteringen som redan finns. Detta kan kopplas till en styrelserapport på en sida som sammanfattar risker utan att dölja dem, så att uppföljning inte blir en separat informationsström, utan en rad i en tabell som styrelseledamoten redan läser.

Denna form fungerar bara om den underliggande klassificeringen i sig förblir aktuell, och den klassificeringen måste i sin tur anknyta till den riskstruktur som redan finns. Utan den kopplingen förblir uppföljning ett andra språk vid sidan av det första, och det andra språket glöms bort så snart trycket ökar. Hur den kopplingen ser ut beror på hur riskstruktur och AI-klassificering sammanförs i det en organisation redan använder, och kan inte beskrivas i allmänna termer utan att känna till den befintliga strukturen.

Vad uppföljning finner går längre än ett dokument

Uppföljning som fungerar väl signalerar inte bara risk utan även förskjutning: system som används annorlunda än avsett, eller uppgifter som tyst har tagits över utan att någon har dokumenterat det. Samma signaler är också information om var människor faktiskt lägger sin tid, och var AI redan i praktiken tar över arbete utan att detta är nedskrivet någonstans. Den som vill konkretisera denna fråga mer än en riskklassificering tillåter, kan i arbetsscanen från FTE TO AI se vilken del av arbetet per uppgift som kvalificerar för AI, oavsett om detta redan sker eller ännu måste beslutas. Den scanen räknar inte i risk, utan i uppgifter och timmar, och ansluter därmed till det som uppföljning signalerar utan att förklara det.