En General Counsel bedöms inte utifrån vad som går fel med AI. Denne bedöms i det ögonblick det visar sig att organisationen inte kunde visa att den visste det, eller värre, att den hade kunnat veta det och inte gjorde något. Det är skillnaden mellan en incident och en brist. Det första drabbar en organisation. Det andra läggs henne till last.
Den juridiska frågan — vad är tillåtet, vad är obligatoriskt, vilken tidsfrist gäller — är viktig, men den kommer efter en annan fråga. Den frågan är: vad använder vi egentligen. Inte vad som har köpts in, inte vad som står på IT:s leverantörslista, utan vad människor i praktiken låter medbestämma, medskriva eller medbedöma. Utan svar på den frågan är varje juridiskt råd ett råd om en situation ni inte känner till.
Det gör General Counsels position obekväm. Ni förväntas bedöma risker utifrån en inventering som oftast inte finns, eller som består av det som är godkänt — vilket per definition inte är detsamma som det någon börjat använda utan tillstånd.
"Vi behöver inget AI-policy, eftersom vi inte har någon AI" är inget svar som håller. Det är ett antagande, och antaganden är precis vad en tillsynsmyndighet, en domare eller en journalist inte accepterar efteråt. På samma sätt accepterar ni inte en lista med godkända verktyg som en fullständig bild: den listan säger något om vad som har köpts in, ingenting om vad som används.
Vad ni verkligen behöver är en åtskillnad mellan typer av användning. En språkmodell som sammanfattar interna anteckningar bär en annan risk än ett system som vägs in i ett anställningsbeslut eller en kreditbedömning. Utan klassificering efter roll och risknivå är varje diskussion om AI-risk en diskussion i allmänhet, och allmänna diskussioner leder inte till försvarbara positioner.
Skugg-AI — den användning som uppstår helt utanför varje godkännande — är inte något en IT-avdelning upptäcker med en nätverksskanning. Människor använder AI på sin egen laptop, i sin egen webbläsare, med sitt eget konto. Den användningen lämnar få spår i ett system som inte letar efter det.
Vad som fungerar är att fråga. Men bara om svaret inte får konsekvenser för den som ger det. Någon som använder AI för att förbereda ett kontraktsutkast, eller för att låta en riskanalys sammanfattas, rapporterar inte det om rapporteringen kan leda till en tillrättavisning. Den inventering ni behöver kommer bara till stånd om att ställa frågor inte likställs med att bli avkrävd ansvar.
Det är en prekär balans för en juridisk funktion. Ni är vana att bedöma risk utifrån vad som kan gå fel. Här måste ni först se till att människor vågar berätta vad de redan gör, innan ni kan bedöma om det är en risk.
Kärnan i er position är inte att förhindra varje risk — det är inte realistiskt och förväntas inte heller av er. Kärnan är påvisbarhet: kan ni visa att organisationen visste vad den använde, hade bedömt vilken risk som var kopplad till det, och hade en struktur för att göra något åt det. Det är ett annat uppdrag än att kontrollera utfall. Det är att kontrollera den process med vilken utfall övervakas.
Den påvisbarheten behöver inte vila på ett nytt ramverk. De flesta organisationer har redan en riskstruktur — för finansiell risk, operationell risk, compliance. AI-risk bör landa där, inte stå bredvid som ett separat spår som ingen känner till och ingen underhåller. En governance-uppsättning som ansluter till det som redan finns, används. En separat struktur glöms bort efter det första kvartalet.
Denna position beskriver mekanismen: inventera, klassificera, ansluta till befintlig struktur, göra påvisbart. Den beskriver inte vilken lag- eller regelgivning som gäller för er organisation, vilka tidsfrister som gäller, eller vilken skyldighet som inträder vid vilken tidpunkt. Det innehållet förändras, kompletteras, förklaras av den som är specialiserad på det. Vad som räknas här är den struktur inom vilken det innehållet kan landa när ni behöver det.
Frågorna ni ställer överlappar med det en riskchef behöver veta om AI-risk och med positionen för en compliance officer som måste kunna påvisa AI-användning. Även styrelseledamoten som ansvarar gentemot styrelsen har nytta av samma inventering som ni baserar er egen bedömning på — det är samma faktaunderlag, betraktat från ett annat ansvar.
Responsible AI Scan som utför denna mekanism — inventera, klassificera, ansluta till den befintliga riskstrukturen — är under utveckling. Den som har behov av detta nu kan anmäla sig till väntelistan. Det finns ännu ingen tjänst att leverera; det finns en riktning i vilken detta byggs, och den riktningen är denna.
Så snart det är klart vilken AI som är i drift och vilken risk som är kopplad till den, följer en annan fråga, som ligger utanför ert eget ansvar men ansluter till det: vilken del av det underliggande arbetet håller den AI:n egentligen på att ta över. Det är en fråga som inte handlar om risk, utan om hur arbete organiseras, och den besvaras av arbetsskanningen från FTE TO AI, som per uppgift beräknar vilken del som är lämplig för övertagande.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.