IT-avdelningen håller reda på vad som har köpts in, installerats eller auktoriserats. Det är användbar information, men den besvarar en annan fråga än den fråga som en styrelseledamot, CIO eller General Counsel egentligen ställer. IT-listan visar vad som är godkänt. Frågan som räknas är vad som används.
Mellan de två finns utrymme. En medarbetare som använder ett gratis AI-verktyg i webbläsaren finns inte registrerad någonstans. Ett team som rådfrågar en språkmodell via ett webbläsartillägg dyker inte upp i en licensöversikt. En avdelning som byggt in en chatbot i ett kalkylbladsmakro finns inte med i ett tillgångsregister. Inget av detta är per definition emot reglerna. Det är bara osynligt för listan som styrelse och tillsyn förlitar sig på.
Klyftan mellan listan och praktiken uppstår inte därför att någon är försumlig. Den uppstår därför att AI-tillämpningar har blivit lätt tillgängliga, ofta utan inköpsprocess, utan faktura, utan IT-inblandning. En medarbetare som vill utföra en uppgift snabbare söker en lösning och hittar den ofta inom några minuter, utanför varje formell kanal. Det beteendet är förutsägbart och det leder till ett verkligt problem: ingen med överblick över organisationen vet då längre vilken AI som faktiskt arbetar med vilka uppgifter.
IT-listan är inte värdelös. Den är utgångspunkten för en inventering, inte slutpunkten. Vad inköps- och licensuppgifter avslöjar visar att fakturor och kontrakt ofta avslöjar mer än tillgångsregistret självt: en provprenumeration som har fortsatt att löpa, en licens som tecknats av en avdelning utan samråd med IT, en API-koppling som faktureras månadsvis utan att något formellt godkännande ligger till grund. Dessutom finns IT-signaler som är användbara för att spåra skugg-AI: nätverkstrafik till kända AI-domäner, nya webbläsartillägg, ovanliga toppar i datatrafik till externa tjänster. Ingen av dessa källor är i sig komplett. Tillsammans ger de en bild som den officiella listan inte erbjuder.
Tekniska signaler visar att något används, men sällan varför eller exakt för vad. Den kontexten får ni bara genom att fråga de personer som använder det. Det fungerar bara om frågan inte ställs som en utredning. Den som är rädd för en sanktion ger inget ärligt svar, eller inget svar alls. Hur ni frågar medarbetare utan att det leder till bestraffning beskriver hur den frågan kan ställas så att människor faktiskt berättar vad de använder, och varför, utan att känna att de förråder sig själva.
En inventering är mer än en lista över tillämpningar. Per tillämpning dokumenterar ni: vem som använder den, för vilken uppgift, med vilka uppgifter, och om resultatet spelar en roll i ett beslut som får konsekvenser för någon utanför organisationen. Den sista frågan avgör risknivån och därmed vilka styrningskrav som gäller. Vad ni måste dokumentera per tillämpning beskriver det formatet i detalj. För organisationer med flera avdelningar, verksamhetsorter eller dotterbolag tillkommer ytterligare en nivå: samma tillämpning kan ha låg påverkan i en avdelning och beröra ett beslut om kunder i en annan. Hur ni bygger upp en AI-inventering i en organisation med flera enheter går in på den skalan, och på varför IT-listan där ligger ännu längre efter verkligheten än vid en enskild avdelning.
En inventering som är uppbyggd av flera källor — IT-listan, inköpsuppgifter, tekniska signaler och samtal med medarbetare — ger en styrelseledamot något att redogöra för vad som pågår med, i stället för att förlita sig på ett register som han vet är ofullständigt. Det är ingen garanti att allt är i bild; osynlig användning kan aldrig helt uteslutas. Det är dock en grund som påvisbart är uppbyggd, med en tydlig metod, i stället för en lista som råkar existera.
En inventering visar vilka AI-tillämpningar som finns och vem som använder dem. Den visar inte hur stor del av det underliggande arbetet dessa tillämpningar faktiskt tar över, och hur mycket utrymme det fortfarande finns för att överföra uppgifter. Det är en annan fråga, med ett annat verktyg: FTE TO AI:s arbetsscan räknar per uppgift ut vilken del av arbetet som kan tas över av AI, baserat på vad uppgiften faktiskt innebär i stället för på befattningens namn.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.