Frågan om en AI-tillämpning inom er organisation gäller som hög risk är inte en fråga som ni besvarar en gång och sedan bockar av. Det är ett resultat av ett antal faktorer som tillsammans avgör hur tungt en tillämpning väger. Ändras en av dessa faktorer, kan även klassificeringen ändras. Det gör riskklassificering mindre en fråga om att fylla i och mer en fråga om att hålla uppdaterad.
Denna sida beskriver mekanismen bakom den klassificeringen: vad den beror på, och vad som händer när situationen ändras. De aktuella lagliga definitionerna och tröskelvärdena finns på annat håll; här handlar det om vad ni måste kunna se och visa inom er egen organisation.
Ett antal faktorer spelar strukturellt en roll för frågan om en tillämpning väger tungt.
Den första är domänen där tillämpningen används. Vissa domäner — tänk på beslut om människor, deras möjligheter eller deras rättigheter — väger tyngre än tillämpningar som uteslutande är interna och stödjande. Vad tillämpningen exakt gör inom den domänen gör en skillnad: ett system som ger råd väger annorlunda än ett system som beslutar automatiskt.
Den andra faktorn är rollen som er organisation spelar gentemot systemet. Bygger ni det själva, köper ni det in, eller använder ni en tjänst där AI ingår utan att ni har köpt in det som sådant? Rollen ni har — leverantör eller användare — avgör delvis vilka skyldigheter som ligger på ert bord och vilken del av ansvaret som förblir hos en leverantör.
Den tredje faktorn är vad som händer med modellen efter den första implementeringen. Ett system som används oförändrat som det levererades är en annan situation än ett system som ni finjusterar, omkonfigurerar eller låter lära på egna data. Vad som förändras när ni själva anpassar en modell är därför en fråga som måste besvaras separat — anpassning kan göra att ett system byter kategori.
Den fjärde faktorn är omfattningen: hur många människor berörs, med vilken frekvens, och hur reversibelt är ett fel. En tillämpning som används tillfälligt av ett litet team väger annorlunda än en tillämpning som dagligen påverkar beslut för tusentals kunder.
Dessa faktorer är inte statiska. En tillämpning som idag gäller som begränsad risk kan inte längre vara det imorgon — inte eftersom reglerna ändrades, utan eftersom tillämpningen själv förändrades. En pilot som skalas upp till hela organisationen, ett internt verktyg som börjar påverka en kundprocess, en modell som tränas om med nya data: vardera av dessa steg kan få klassificeringen att välta.
Det betyder att klassificering inte är en engångsövning. Det är en fråga som måste ställas på nytt varje gång något ändras i vad ett system gör, vem det berör, eller vem som förvaltar det. En styrningsstruktur som inte följer det, hamnar bakom verkligheten.
Inte varje AI-tillämpning behöver gå igenom hela detta förlopp. En del av det som körs inom en organisation faller utanför riskklassificeringens omfattning — till exempel eftersom det inte berör beslut om människor eller eftersom det uteslutande har en stödjande, icke-avgörande funktion. Var den gränsen exakt går och vilka tillämpningar faller utanför scope beror på samma faktorer som beskrivs ovan: domän, roll, anpassning och omfattning. Det är alltså inte en separat lista, utan den andra sidan av samma bedömning.
En klassificering i sig förändrar inget. Den avgör bara vilka följande steg som är aktuella, och med vilken brådska. Vissa åtgärder behövs omedelbart, andra kan planeras in — och vad som måste ske nu och vad som kan planeras beror återigen på hur tungt tillämpningen väger och hur många människor den berör.
För att göra dessa steg synliga och spårbara måste beslut om klassificering och uppföljningsåtgärder dokumenteras någonstans — inte som lösa anteckningar, utan som en del av en beslutslogg för tillsyn som visar vem som beslutade vad och utifrån vilken information. Utan den dokumentationen är en klassificering en ögonblicksbild som ingen längre kan rekonstruera.
Denna klassificeringsfråga kan endast besvaras korrekt om det är känt vad som faktiskt körs. En IT-lista med godkända verktyg räcker inte för det: en stor del av användningen uppstår utanför den listan, i team som har börjat använda ett verktyg utan att anmäla det någonstans. Den som vill kartlägga den användningen måste fråga efter den — och göra det utan att det är kopplat till en avräkning, annars uteblir svaret.
Så snart det är klart vilka tillämpningar som finns och hur de väger, uppstår en följdfråga som inte längre handlar om risk, utan om arbete: vilken del av en uppgift kan ett AI-system ta över, och vilken del förblir mänskligt arbete. Den frågan besvaras av FTE TO AI:s arbetsskanning, som per uppgift beräknar vilken del av arbetet som kan tas över — en annan infallsvinkel än riskklassificering, men en som bygger vidare på samma inventering.
Denna sida beskriver mekanismen bakom klassificeringen. Responsible AI Scan i sig är under utveckling; den som vill använda resultaten så snart de blir tillgängliga kan anmäla sig till väntelistan.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.