Frågan om en AI-tillämpning betraktas som hög risk låter som en teknisk kvalificering. I praktiken är det en indelning som beror på ett antal konkreta faktorer, och den indelningen avgör sedan hur mycket tillsyn, dokumentation och verifierbarhet som förväntas av er. De aktuella juridiska definitionerna och tröskelvärdena finns inte på denna sida; dem hittar ni på annat håll. Här förklarar vi vad indelningen beror på och vad som förändras i er organisation om den indelningen ändras.
Det finns inte ett enda kännetecken som gör en tillämpning till hög risk. Det är en kombination av faktorer som tillsammans formar bilden: det område där tillämpningen används, i vilken grad ett beslut direkt påverkar en person, och frågan om det finns en människa som verkligen kan bedöma AI:ns råd eller resultat och vid behov korrigera det innan det får effekt. En tillämpning som endast sammanfattar text placeras vanligtvis annorlunda i den indelningen än en tillämpning som vägs in i ett beslut om en individ. Även sammanhanget där en tillämpning används spelar roll: samma underliggande teknik kan i ett område betraktas som låg risk och i ett annat som hög risk, beroende på vad som görs med resultatet.
Detta är en av anledningarna till att en lista över godkänd programvara inte räcker. Indelningen beror inte på etiketten på paketet, utan på hur det faktiskt används och var det befinner sig i beslutsprocessen.
Om en tillämpning bedöms ha högre risk förändras det som förväntas av organisationen: mer dokumentation om hur tillämpningen fungerar och har testats, en tydligare tillsynsmekanism för resultaten, och ett sätt att i efterhand kunna visa vem som har uppmärksammat vad. Det är ingen engångsåtgärd utan en löpande skyldighet: dokumentationen och tillsynen måste hållas aktuella så länge tillämpningen används.
Indelningen är heller inte statisk. En tillämpning som idag betraktas som begränsad risk kan imorgon användas på ett annat sätt — inom ett annat område, med större påverkan på individer, eller med mindre mänsklig inblandning än tidigare. Den som fastställer indelningen en gång och sedan inte reviderar den löper risken att klassificeringen inte längre stämmer med den faktiska användningen. Detta gäller lika mycket för tillämpningar som anpassas efter att de har anskaffats; vad som exakt förändras när ni själva justerar en modell beror på anpassningens karaktär, som beskrivs på sidan om anpassningar av en modell.
Klassificeringen av en tillämpning är bara meningsfull om den tillämpas på det som verkligen används. En stor del av användningen i en organisation sker utanför den officiella inventeringen: team som använder en språkmodell för ett utkast till ett e-postmeddelande, en analytiker som använder en extern modell för en första version av en rapport, en avdelning som har anskaffat ett verktyg utan att anmäla det. Den användningen uppstår inte av illvilja. Den uppstår eftersom den officiella vägen är långsammare än behovet, eller eftersom ingen visste att en väg behövde följas.
Konsekvensen är att IT-listan sällan ger en komplett bild. Den som vill veta vad som verkligen krävs i form av riskklassificering måste kartlägga användningen själv — och det kräver att man ställer frågor till de människor som utför arbetet, utan att det medför konsekvenser. Den som redan vid det första samtalet känner att ett ärligt svar leder till konsekvenser, svarar inte ärligt. Det gör inventeringen oanvändbar innan den är avslutad.
Inte varje AI-tillämpning faller inom det ramverk där riskklassificering är relevant. Vissa tillämpningar faller på grund av sin karaktär eller syfte utanför lagstiftningens räckvidd, och det är klokt att göra den distinktionen tidigt innan ni lägger tid på en klassificering som inte behövs; vilka tillämpningar det gäller beskrivs på sidan om tillämpningar som faller utanför skyldigheternas räckvidd. Även den roll er organisation spelar — som leverantör av ett system eller som användare av det — påverkar vilka skyldigheter som är kopplade till en riskklassificering, och den rollen är inte alltid tydlig i förväg; vad som avgör det läser ni på sidan om skillnaden mellan leverantör och användare. Samma roll kan dessutom förändras så snart ni anpassar ett system eller erbjuder det under eget namn, vilket förklaras vidare på sidan om de omständigheter under vilka er roll förändras.
En indelning efter risknivå väcker nästan alltid följdfrågan om vad som är brådskande och vad som kan planeras senare. Den distinktionen är inte densamma för alla organisationer och beror på vilka tillämpningar som redan är i produktion och vilka som fortfarande är under utveckling. En översikt över vad som vanligtvis kräver uppmärksamhet först och vad som kan följa senare finns på sidan om vad som måste göras nu och vad som kan planeras.
När det en gång är klart vilka tillämpningar i er organisation som betraktas som hög risk, uppstår naturligt en annan fråga: hur mycket av det underliggande arbetet som faktiskt utförs av AI, och hur mycket av människor som kontrollerar eller kompletterar resultatet. Den frågan ligger utanför denna scans räckvidd, men besvaras av FTE TO AI:s arbetsscan, som per uppgift beräknar vilken andel av arbetet som rimligen kan övertas av AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.