Mänsklig tillsyn läggs ofta fast som en roll: någon som är ansvarig, ett namn i ett register, en ruta som är ikryssad. Det är utgångspunkten, inte mekanismen i sig. Tillsyn uppstår först när det finns ett ögonblick där en människa kan se resultatet av en AI-tillämpning, kan förstå det och kan justera det innan resultatet hamnar någonstans. Utan det ögonblicket är namnet under klassificeringen en formalitet.
Om tillsyn fungerar i praktiken beror på ett antal saker som inte automatiskt faller på plats tillsammans. Det måste finnas någon som har befogenheten att stoppa ett resultat, inte bara uppgiften att titta på det. Det måste finnas tid att titta, vilket innebär att processen inte är utformad så att AI-resultatet redan är bearbetat innan kontrollen sker. Och det måste finnas tillräcklig förståelse för vad tillämpningen gör för att kunna känna igen en avvikelse. En kontrollant som inte kan bedöma resultatet utövar ingen tillsyn, inte heller om rollen formellt är tilldelad.
Detta hänger samman med vad AI-kompetens innebär för era medarbetare: tillsyn utan förståelse för den underliggande tillämpningen är tillsyn på papper.
En styrningsstruktur kan fastställa vem som är ansvarig för vad, vilken risknivå en tillämpning har och vilka steg som hör till detta. Vad strukturen inte gör är att garantera att den personen faktiskt bedömer resultatet vid det ögonblick det spelar roll. Det är ett organisatoriskt förhållande, inte ett tekniskt förhållande. En klassificering kan vara korrekt och tillsynen kan ändå vara tom, eftersom personen som på papper är ansvarig, saknar tiden, tillgången eller kunskapen för att pröva resultatet.
Inventeringen och klassificeringen avslöjar var denna risk är störst: vid tillämpningar med en högre risknivå, eller vid tillämpningar som har kommit in utanför det ordinarie IT-spåret. Den senare gruppen är ofta den svåraste, eftersom den som vill organisera tillsyn av något som inte finns i administrationen först måste hitta det. Det berör frågan vad ni gör med medarbetare som använder ett verktyg som ingen har godkänt: tillsyn av skugg-AI börjar med att erkänna att tillämpningen existerar, inte med en sanktion mot att den används.
En tillämpning som idag står under tillsyn kan ha förändrats imorgon. En modell uppdateras, indata förändras, eller användningen inom organisationen växer från en enkel uppgift till något med mer vikt. Tillsyn som är utformad för situationen från ett år sedan stämmer inte längre med vad som händer nu. Det är en av anledningarna till att klassificering inte är en engångsövning; hur ofta det måste göras om beror på risknivån och i vilken utsträckning tillämpningen förändras, som utvecklas i hur ofta ni bör klassificera om.
Detta innebär också att ett register endast har värde om det underhålls. En inventering som upprättades vid den första genomgången och därefter inte uppdateras, ger en allt mindre exakt bild av var tillsyn behövs. Frågan om hur en organisation håller det registret aktuellt är skild från frågan om hur registret byggdes upp, och förtjänar egen uppmärksamhet: se hur ni håller ett AI-register aktuellt.
En styrelse som ombeds visa att det finns tillsyn av AI-användning kan inte nöja sig med en rollista. Att kunna visa detta kräver ett spår: vem har granskat vilket resultat, vid vilket ögonblick, med vilken befogenhet att justera. Det spåret är också relevant den stund något går fel. Frågan om vem som är ansvarig när en AI-tillämpning gör ett fel besvaras inte av klassificeringen ensam, utan av den påvisbara tillsyn som följt på den. De två sakerna förväxlas lätt, medan skillnaden är relevant; se vem som är ansvarig när en AI-tillämpning gör ett fel.
Tillsyn berör också vad som matas in i en tillämpning. En medarbetare som klistrar in företagsdata i ett gratis chattfönster placerar den datan utanför all tillsyn organisationen har inrättat, oavsett hur väl tillsynen av de godkända tillämpningarna är organiserad. Det är ett separat uppmärksamhetsområde inom den bredare frågan, utvecklat under vad ni gör med företagsdata i ett gratis chattfönster.
Denna sida beskriver hur tillsyn fungerar som mekanism: vem som tittar, när, med vilken befogenhet, och hur detta görs påvisbart. De materiella normer som avgör när tillsyn är obligatorisk, hur strikt den tillsynen måste vara per riskkategori, och inom vilka tidsramar detta måste vara inrättat, finns inte här. Det regelinnehållet förändras och hålls aktuellt på annat håll.
Att organisera tillsyn av en uppgift är bara meningsfullt om det är klart vad den uppgiften exakt innebär och vilken del av den som utförs av en AI-tillämpning. Det är en annan fråga än vilken roll eller vilken risknivå en tillämpning har; det handlar om själva uppgiften, uppdelad i de steg en AI-tillämpning kan ta över och de steg som inte kommer i fråga för det. FTE TO AI:s arbetsanalys räknar ut detta per uppgift, så att det blir synligt vilken del av arbetet som kan tas över och vilken del som måste förbli inom räckhåll för mänsklig tillsyn.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.