En organisation med flera anläggningar har oftast inte brist på AI-användning, utan brist på överblick. Varje anläggning gör egna val, tecknar egna abonnemang eller låter teamen själva ta reda på vad som är praktiskt. Resultatet är en samling tillämpningar som ingenstans är nedtecknad i sin helhet. Innan något kan klassificeras eller rapporteras måste den samlingen först finnas som en lista — med samma fasta uppgifter per tillämpning, oavsett vilken anläggning som rapporterar.
För varje tillämpning registrerar ni i princip: namn och leverantör, den anläggning eller avdelning där den används, vem som förvaltar eller har anskaffat tillämpningen, vad den används till, vilka uppgifter som matas in i den, och om tillämpningen fattar beslut självständigt eller endast stöder. Den sistnämnda skillnaden avgör till stor del risknivån: ett verktyg som skriver om text bedöms annorlunda än ett system som väljer ut arbetssökande eller bedömer kreditansökningar.
Vid flera anläggningar tillkommer ytterligare ett fält: om tillämpningen har anskaffats lokalt eller rullats ut centralt. Den skillnaden behövs för att se om samma risk har uppstått på flera ställen oberoende av varandra, eller om ett enda beslut har spridit sig över hela organisationen.
Det första stället ni skulle söka på är IT-avdelningen, och den listan är en bra utgångspunkt — men inte slutpunkten. Varför IT-listan inte stämmer vid en organisation med flera anläggningar förklarar att centralt förvaltade licenser bara täcker en del av användningen. Anläggningar som själva använder ett kreditkort för ett abonnemang, eller team som använder en gratisversion av ett verktyg, syns ingenstans i en central administration. Överblicken ni bygger upp måste därför kombinera flera källor, inte bara en.
Förutom IT-listan ger finansiella uppgifter en annan typ av signal. Vad inköps- och licensuppgifter avslöjar vid en organisation beskriver hur fakturor, abonnemang och kreditkortsutgifter per anläggning ger ledtrådar om tillämpningar som har tecknats utanför den centrala inköpsfunktionen. Detta är särskilt relevant vid flera anläggningar: lokala inköp sker ofta via andra kanaler än central IT, och det är just där den största delen av den ofullständiga bilden uppstår.
Ingen lista — teknisk eller finansiell — talar om för er vad en tillämpning egentligen används till. Det vet endast de personer som arbetar med den dagligen. Hur ni frågar medarbetare utan att det leder till konsekvenser, vid en organisation går in på förutsättningen som gör att detta steg lyckas eller misslyckas: den som känner att ett svar kan få konsekvenser svarar ofullständigt eller inte alls. Vid flera anläggningar är detta extra viktigt, eftersom lokala vanor kan skilja sig starkt och en nationell enkät lätt suddar ut de skillnaderna.
Förutom samtal och fakturor innehåller den befintliga IT-miljön ofta redan ledtrådar som ingen har identifierat som sådana: nätverkstrafik till vissa domäner, nya webbläsartillägg, eller API-kopplingar som har upprättats någonstans. Vilka IT-signaler som är användbara vid en organisation med flera anläggningar visar vilka av dessa signaler som säger något om AI-användning och vilka som är brus. För en organisation med flera anläggningar är detta ett sätt att se om samma mönster upprepas på olika ställen, utan att varje anläggning behöver tillfrågas separat.
När uppgifterna per tillämpning har samlats in — ursprung, användningssyfte, berörda uppgifter, förvaltare, anläggning — kan klassificeringen börja. Inte varje tillämpning förtjänar samma uppmärksamhet: ett verktyg som sammanfattar interna mötesanteckningar väger annorlunda än ett system som påverkar kunder eller medarbetare. Den vägningen beror på vad tillämpningen gör, inte på hur många personer som använder den eller när den anskaffades.
Denna inventering är en pågående process, inte en engångsbild. Anläggningar lägger till tillämpningar, leverantörer ändrar funktioner, och det som idag är stödjande kan imorgon fatta beslut självständigt. Överblicken ni bygger upp måste därför vara repeterbar: samma frågor, samma fält, varje gång på nytt genom samma anläggningar.
Responsible AI Scan är avsedd att strukturera denna inventering: samma fasta fält per tillämpning, kompletterade med IT-signaler, inköpsuppgifter och samtal med medarbetare, och som resulterar i en klassificering som ansluter till organisationens befintliga riskstruktur. Skanningen är under uppbyggnad. Den som vill arbeta med den så snart den blir tillgänglig kan anmäla sig till väntelistan.
Så snart det är klart vilka tillämpningar som körs per anläggning och vad de gör, ligger nästa fråga nära till hands: vilken del av det arbete som dessa tillämpningar stöder kan egentligen tas över av AI. Det är en annan fråga än governance — det handlar inte om risk och påvisbarhet, utan om arbetsinnehåll. Arbetsskanningen från FTE TO AI räknar per uppgift ut vilken del av arbetet som kan tas över av AI, och ansluter därmed till den överblick ni har byggt upp med denna inventering.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.