En compliance officer förlorar inte på den första frågan om AI. Man förlorar på den andra: när det visar sig att svaret på den första frågan var ofullständigt. "Vilka AI-system använder er organisation" kan besvaras med en lista från IT-portföljen. Frågan som kommer därefter — "är det den fullständiga listan" — är den fråga där de flesta compliance-dossier går sönder.
Inte: vilka AI-verktyg har organisationen köpt in. Utan: vilka AI-system används faktiskt, av vem, för vilka beslut, och utifrån vilken riskbedömning. Det är fyra frågor, inte en. Den första är en inköpslista. De övriga tre kräver att människor berättar vad de gör, inklusive vad de inte har låtit godkänna. En compliance officer som endast har inköpslistan har en falsk känsla av täckning — och det är mer riskabelt än ingen täckning alls, eftersom det rapporteras som fullständigt.
Medarbetare som använder ett språk- eller analysverktyg utan att köpa in det via IT lämnar inga spår av det i ett tillgångsregister. De lämnar dock spår av det i vad de producerar: rapporter, kundkommunikation, rådgivning. Gapet mellan vad som är registrerat och vad som används är sällan en avsiktlig överträdelse. Det är resultatet av en organisation som hittar ett verktyg snabbare än den går igenom en godkännandeprocess. Compliance kan inte täcka det gapet med ett strängare förbud — det förflyttar bara användningen längre bort från synhåll. Gapet täcker man genom att fråga utan att svaret bestraffas. Den som är rädd för en notering i sitt dossier berättar inte vad han använder; han berättar vad han tror att ni vill höra.
En riskchef vill veta hur stor exponeringen är. En compliance officer vill det, plus något extra: kan jag visa att vi har följt processen, även om utfallet i efterhand visar sig vara diskutabelt. Det är en annan typ av bevisbörda. Det handlar inte bara om klassificeringen av ett system, utan om spåret: vem har bedömt detta, vid vilken tidpunkt, med vilken information, och har den bedömningen upprepats när systemet ändrades. AI-system uppdateras utan förvarning; en klassificering från ett halvår sedan säger föga om dagens system. Compliance måste därför inte bara kunna visa ett resultat, utan en process som fortsätter att löpa.
"Vi har en AI-policy" är inget svar på frågan om den policyn täcker något. Ett policydokument som aldrig har testats mot vad som verkligen används är en avsiktsförklaring, inte en lägesbeskrivning. Vad en compliance officer behöver är en inventering som ansluter till befintliga riskkategorier — samma indelning som redan används för andra operativa risker — så att AI inte hamnar som ett separat, exotiskt ämne bredvid resten av riskramverket, utan i det.
Compliance officer bearbetar detta sällan ensam. Frågan om vilka system som gäller som högrisk och vilken bevisbörda som hör till, berör vad en General Counsel måste veta om AI-risk utifrån ansvar och kontraktuella skyldigheter. Frågan om organisationen tekniskt kan spåra vilka system som körs ligger hos vad en CIO måste veta om AI-risk. Och frågan om detta ämne når styrelsebordet innan det eskalerar hör till vad en styrelseledamot måste veta om AI-risk. Compliance är ofta den part som måste föra samman dessa tre linjer utan att själv äga tekniken eller kontraktet.
Regelinnehållet — vilka skyldigheter som exakt gäller, per riskkategori, med vilka tidsfrister — finns någon annanstans och förändras. Denna sida beskriver mekanismen: hur ni vet vad som körs, hur ni klassificerar det, och hur ni visar att processen har följts. En compliance officer som söker den aktuella lagtexten hittar den inte här.
Hur mycket skugg-AI en organisation har beror på branschen, kulturen och hur strikt tidigare förbud har efterlevts. Ett strängare förbud korrelerar ofta med mer dold användning, inte med mindre. Det mönstret är inte lika överallt: inom byggsektorn ligger tyngdpunkten på projektkalkylering och planering, medan det inom installationsbranschen oftare handlar om underhållsdiagnostik och felanalys. Inventeringen måste därför göras per organisation; ett landsomfattande genomsnitt säger föga om er egen exponering.
Responsible AI Scan kartlägger vad som faktiskt används, klassificerar det efter roll och risknivå, och levererar en governance-uppsättning som ansluter till den befintliga riskstrukturen — utan att därmed föregripa vad som redan har fastställts på annat håll. Denna scan är under uppbyggnad. Den som har intresse av detta kan anmäla sig till väntelistan; ingenting erbjuds som ännu inte är klart.
När man väl vet vilka AI-system som körs stöter man ofta på följdfrågan: vad betyder det för personalbemanningen och arbetsfördelningen. Det är en annan beräkning än riskklassificering, och den gör FTE TO AI med werkscan, som per uppgift beräknar vilken del av arbetet som kan tas över av AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.