Ni förvaltar ett riskregister som är uppbyggt kring risker som kan identifieras, vägas och tilldelas. Operativ risk, kreditrisk, compliance-risk: var och en har en ägare, en kontrollåtgärd, en rapporteringslinje. AI-risk passar inte automatiskt in i det mönstret, eftersom det första problemet inte är viktningen. Det första problemet är att ni inte vet vad ni väger. Ett team som använder en språkmodell för att skriva konceptutlåtanden, en avdelning som har tecknat ett externt AI-abonnemang utanför IT-inköp, ett kalkylbladsmakro som numera har blivit en prognosmodell: det här är inga gränsfall, det här är där risken finns, och den står ingenstans.
Er fråga är inte "är AI riskfyllt". Er fråga är: vad pågår, vem är ansvarig för det, och baserat på vilken information kan jag redogöra för det till styrelsen och tillsynsmyndigheten. Svaret ni inte accepterar är lugnande besked utan underbyggnad. "Det pågår inget särskilt" är inte ett svar på en riskfråga, det är avsaknaden av ett svar. En riskchef som vidarebefordrar det till styrelsen förmedlar att det inte har undersökts, inte att det inte finns något.
Det andra svaret ni inte accepterar är listan från IT-systemförvaltningen som en fullständig bild. Den listan visar vad som har begärts och godkänts. AI-användning uppstår till stor del just utanför den begäran, eftersom ett fristående abonnemang, ett webbläsartillägg eller en inbyggd funktion i befintlig programvara inte identifieras som ett "nytt system". Den som vill känna till risken måste därför inte bara konsultera systemlandskapet, utan de människor som utför arbetet, och det kräver ett annat tillvägagångssätt än en IT-granskning.
Som riskchef känner ni till mönstret av underrapportering vid varje riskämne där en medarbetare har något att förlora på att svara ärligt. AI-användning är ett skarpt exempel på det: om att rapportera ett använt verktyg leder till att åtkomsten dras in, rapporterar ingen längre. Den inventering som ger resultat är den inventering som frågar utan att koppla konsekvenser till svaret. Det är en annan färdighet än riskhantering normalt kräver, och det är därför en skugg-AI-inventering inte utformas som en kontroll, utan som en mätning.
När användningen väl är kartlagd är nästa steg inte att bedöma leverantören eller modellen. Det är att bedöma den roll systemet spelar i en process. En AI-tillämpning som omformulerar text bär en annan risk än en tillämpning som vägs in i ett beslut om en kund, en medarbetare eller en investering. Samma teknik, använd i en annan roll, hamnar i en annan riskklass. Den distinktionen är precis vad ett riskregister behöver för att kunna placera AI-risk vid sidan av de risker som redan finns där, utan att skapa ett separat, isolerat AI-kapitel som ingen konsulterar.
En riskchef har inget intresse av ett nytt ramverk vid sidan av det befintliga. Intresset ligger i en styrningsuppsättning som ansluter till riskstrukturen som redan finns: samma ägarskapslogik, samma eskaleringsvägar, samma rapporteringscykel till styrelsen. AI-risk som behandlas som ett fristående ämne försvinner mellan de ordinarie rapporterna. AI-risk som integreras i den befintliga risktaxonomin förblir synlig på den plats där styrelsen redan tittar.
Ni kommer vid något tillfälle att bli tillfrågad om vad ni vet om AI-användning i organisationen, av en tillsynsmyndighet, en revisor eller styrelsen själv. Svaret som håller är inte "allt är kartlagt", för det är sällan möjligt att bevisa för ett dynamiskt användningsmönster. Svaret som håller är en påvisbar process: hur inventeringen har genomförts, vilken klassificering som har tillämpats, vilka styrningsöverenskommelser som följer av det, och med vilken frekvens det upprepas. Det är en annan måttstock än fullständighet, och det är den måttstock som riskhantering normalt redan bedöms mot.
Denna fråga ser inte identisk ut för varje roll i organisationen. Vad en compliance officer behöver av denna inventering läser ni i vad behöver en compliance officer veta om AI-risk, styrningsfrågan för den som leder programmet finns i vad behöver en AI-programledare veta om AI-risk, och hur detta ämne landar på styrelsenivå beskrivs i vad behöver en styrelseledamot veta om AI-risk. För riskhantering inom specifika sektorer, med egna kedjor och tillsynsformer, är bilden ytterligare preciserad i hur AI-styrning ser ut inom byggbranschen och i hur AI-styrning ser ut inom installationsbranschen.
Texten till de gällande reglerna, med sina exakta definitioner och tidsfrister, finns inte på denna sida och hålls aktuell på annat håll. Vad som beskrivs här är mekanismen: hur ni går från ett okänt användningsmönster till en klassificerbar, rapporterbar risk.
En inventering av AI-risk ger oundvikligen även något annat vid handen: vilken del av arbetet som redan faktiskt utförs av AI, och vilken del som skulle kunna göra det. Det är en annan fråga än riskhantering, men den delar källa. Arbetsscanen från FTE TO AI beräknar per arbetsuppgift vilken del av arbetet som kan tas över av AI, och ansluter därmed till precis den inventering som riskhantering redan behöver.
Responsible AI Scan utvecklas för närvarande. Den som vill använda den så snart den blir tillgänglig kan anmäla sig till väntelistan.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.