Många governance-initiativ startar med en ny process: ett formulär, ett godkännandesteg, en kommitté som ska bedöma AI-användning innan den sätts igång. Antagandet är att medarbetare kommer att följa denna process eftersom den existerar. I praktiken sker det sällan. Den som kan utföra en uppgift snabbare med ett verktyg han själv har hittat, ber inte om tillstånd från en kommitté vars agenda han inte känner och vars handläggningstid han inte kan bedöma. Han använder verktyget och håller tyst om det.
Det är ingen ovilja. Det är en rationell reaktion på en process som står vid sidan av arbetet istället för i det. En andra process kräver tid, ger osäkerhet om utfallet och erbjuder ingen synlig fördel för den som följer den. Sannolikheten att den ignoreras är då större än sannolikheten att den efterlevs.
Konsekvensen är inte att ingen AI används. Konsekvensen är att AI används utom synhåll för den som är ansvarig. IT-listan med godkända verktyg förblir då en beskrivning av vad som en gång har ansökts om, inte av vad som används. Mellan dessa två listor kan en betydande skillnad finnas, och ingen som bara tittar på den godkända listan kan se den skillnaden.
Detta berör direkt frågan om vem som är ansvarig när en AI-tillämpning gör ett fel. En chef som vill kunna placera ansvarsskyldighet måste veta vilket system som har påverkat ett beslut. Om det systemet aldrig har registrerats eftersom registreringsproceduren hoppades över, saknas den grunden i det ögonblick den behövs.
Metoden vi tillämpar startar inte med en godkännandeprocess utan med en inventering som frågar istället för att kontrollera. Skillnaden är liten i form och stor i effekt. En medarbetare som tillfrågas vad han använder och för vad, utan att detta har konsekvenser för honom själv, har ingen anledning att dölja svaret. En medarbetare som vet att ett ärligt svar kan leda till ett förbud eller en korrigering, har all anledning att anpassa svaret.
Detta är en svag punkt i metoden och det vill vi hellre nämna än dölja. En inventering utan avräkning ger en ärligare bild än en revision med konsekvenser, men den ger ingen garanti att all användning rapporteras. Den som använder ett verktyg som han misstänker är problematiskt kan fortfarande hålla tyst, även utan direkt hot. Inventeringen sänker tröskeln för att rapportera; den tar inte bort den tröskeln helt. Vad metoden däremot erbjuder är en större chans till en fullständig bild än en process som redan på förhand antyder straff.
En andra process ignoreras. Ett tillägg till en befintlig process har större chans att bestå. Därför klassificerar vi AI-användning efter roll och risknivå inom den riskstruktur en organisation redan tillämpar, istället för att sätta en ny struktur bredvid den. Vad som klassificeras som hög risk hamnar på samma plats som andra höga risker inom det befintliga riskregistret. Det betyder också att frågan om hur ofta man måste omklassificera inte kräver en ny kalender, utan ansluter till den befintliga cykeln för riskbedömning.
Denna anslutning löser inte allt. Ett AI-register som är upprättat en gång blir förlegat så snart någon tar ett nytt verktyg i bruk utan att rapportera det. Därför är frågan om hur ett AI-register hålls aktuellt lika viktig som den första inventeringen. Ett register som inte underhålls är efter en tid åter en beskrivning av det förflutna.
Tillsyn över AI-användning framställs ofta som en teknisk fråga: ett system som övervakar, en instrumentpanel som rapporterar. Men tillsyn som fungerar börjar hos människor som förstår varför rapportering är meningsfull och som vet vad som händer med deras svar. Det är en fråga om beteende, inte bara om teknik, och den hänger samman med vad mänsklig tillsyn i praktiken innebär på arbetsgolvet, och med vad AI-kompetens för medarbetare konkret innebär. Utan den förståelsen förblir varje process, hur väl utformad den än är, ett formulär som människor fyller i eftersom de måste, inte eftersom det ger något resultat.
Denna metod ger ingen fullständig säkerhet att alla AI-tillämpningar upptäcks. Den sänker tröskeln för att rapportera och ansluter till befintliga strukturer, men en organisation som inventerar för första gången måste räkna med att en del av användningen förblir osynlig, även om den delen efter en noggrann inventering vanligtvis är mindre än innan.
En inventering av AI-användning visar vad som pågår och vem som använder det, men den säger ännu ingenting om hur mycket av det underliggande arbetet som faktiskt kan tas över av AI. Den frågan ligger ett steg längre och besvaras av arbetsanalysen från FTE TO AI, som per uppgift beräknar vilken del av arbetet som kan tas över. Den som väl vet vilka verktyg som används i organisationen kan med den analysen undersöka vad den användningen betyder för utformningen av själva arbetet.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.