En leverantör lägger till en funktion som under motorhuven körs på en språkmodell eller ett tredjeparts-API. För leverantören är det en produktuppdatering, ingen händelse som förtjänar en anmälan. Versionsnoterna nämner en ny knapp, inte tekniken bakom den. Er organisation använder redan mjukvaran, kontraktet är undertecknat baserat på den gamla funktionaliteten, och förändringen kommer inte via inköp eller säkerhet — de ser bara vad som sker vid nya inköp, inte vad ett befintligt produkt tyst får tillagt.
Mönstret är detsamma som med ett webbläsartillägg med åtkomst till er e-post: åtkomsten och funktionen finns redan innan någon har bedömt dem. Hos en leverantör är avståndet bara större — ni kan inte titta i källkoden och måste förlita er på det leverantören säger, eller inte säger.
Det finns inget tillfälle då detta anmäler sig. En medarbetare använder den nya funktionen eftersom den är praktisk, inte eftersom hen känner igen en AI-komponent. Leverantören har inget incitament att aktivt meddela detta så länge ingen frågar: det genererar inga intäkter och kan väcka frågor. Och sannolikheten att ni själva stöter på det är liten, om det inte finns en incident eller en periodisk kontroll upptäcker det.
Detta liknar därmed en intern pilot som blivit kvar: precis som med en testuppsättning som aldrig stängts av saknas det inte ondsinnad avsikt, utan ett tillfälle då någon ställer frågan. Hos en leverantör tillkommer dessutom att ni är beroende av dennes vilja att svara.
Utgångspunkten är inte att juridiskt driva igenom kontraktet vid första tvivel, utan först veta vad som pågår. Det börjar med att ställa frågor till leverantören: vilka delar av produkten använder AI, vilka data går dit, och har detta ändrats sedan kontraktet undertecknades. Leverantörer som kan svara utan konsekvenser gör det oftare sanningsenligt än leverantörer som misstänker att ett ärligt svar äventyrar kontraktet.
Samma logik gäller inom organisationen: medarbetare som använder ett verktyg som ingen vet innehåller AI, anmäler det först när anmälan inte medför straff. Hur ni organiserar detta beskrivs under medarbetare som använder ett verktyg som ingen har godkänt. För en leverantör fungerar principen på samma sätt: en fråga utan misstanke får ett annat svar än en fråga som tolkas som en förberedelse för sanktioner.
När det är klart vad leverantören har lagt till, är följdfrågan inte juridisk utan funktionell: vilken roll spelar denna AI-komponent i processen, vilken risknivå har den, och vad behöver dokumenteras kring detta. Ni ställer samma frågor till varje AI-tillämpning ni själva använder, oavsett om den kommer in via en leverantör eller via en medarbetare som använder ett gratisverktyg — se även företagsdata som hamnar i ett gratis chattfönster. Vad ni dokumenterar per tillämpning beror på vad tillämpningen gör och med vilka uppgifter, inte på var tillämpningen kommer ifrån. En översikt över vad som är relevant här finns på vad ni behöver dokumentera per tillämpning.
En leverantör som lägger till AI utan att meddela det, ska alltså inte behandlas separat som en incident, utan tas med i den inventering ni redan bygger upp för resten av organisationen. Hur denna inventering byggs upp i praktiken — inklusive hur ni ger leverantörer en plats i den — beskrivs på hur ni bygger upp en AI-inventering.
Detta är inget skäl för en juridisk offensiv mot varje leverantör som inte meddelat något. Att fastställa kontraktsbrott är en annan fråga än att fastställa risk, och de två sammanfaller inte automatiskt: en leverantör kan ha underlåtit att meddela något utan att tillämpningen medför hög risk, och vice versa. Det första steget är att bedöma risken, inte skuldfrågan. Den som börjar med sanktioner får framöver mindre information från leverantörer, inte mer.
När det är klart vilka AI-komponenter som är aktiva inom organisationen via leverantörer, medarbetare eller egna initiativ, uppstår en annan fråga: vad detta betyder för själva arbetet. Inte varje AI-tillämpning som kommer in gör faktiskt något nyttigt med processen den ingår i — och inte varje process som nu sker manuellt är per definition bättre utan AI. Arbetsanalysen från FTE TO AI beräknar per uppgift vilken del av arbetet som rimligen kan tas över av AI, oavsett hur den AI:n kom in. Det gör inventeringen ni nu bygger upp inte bara till ett styrningsverktyg, utan också till en utgångspunkt för att avgöra var AI faktiskt gör skillnad.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.