En AI-tillämpning gör ett fel. Ett beslut är felaktigt, ett råd är missledande, en kund avvisas felaktigt. Frågan som följer därpå är inte bara teknisk. Vem borde ha sett detta komma, vem förvaltade systemet, och vem kan förklara varför det användes som det användes.
Det svaret existerar inte fristående från ett register. Ansvar förutsätter att någon vet att en tillämpning existerar, vad den är till för, och vem som ansvarar för den. Utan den grunden blir frågan om ansvarsskyldighet retorisk: det finns ingen som vet det, så det finns ingen som kan förklara det.
En Responsible AI Scan kartlägger vad som körs, vem som använder det och med vilken risknivå det är förknippat. Det är en utgångspunkt, inte ett utlåtande om skuld. Skanningen klassificerar en tillämpning efter roll och risk; den bedömer inte om ett enskilt beslut var korrekt. Den bedömningen hör till incidenten själv, inte till inventeringen som föregick den.
Vad skanningen faktiskt gör är att leverera den struktur inom vilken den bedömningen senare kan göras. Om det är känt vem som har skaffat en tillämpning, vem som förvaltar den och för vilket ändamål den är godkänd, finns det en linje att falla tillbaka på. Saknas den strukturen, faller frågan om ansvar tillbaka på gissningar i efterhand.
De flesta organisationer har en översikt över godkänd programvara. Den översikten är nästan aldrig fullständig. Medarbetare använder verktyg som ingen har anmält, ofta eftersom arbetet går snabbare och ingen frågade om det. Det är inte per definition oansvarigt beteende; det är vad som händer när en organisation inte erbjuder någon annan väg.
Den som vill veta vad som verkligen används, måste fråga. Och det fungerar bara om att fråga inte har konsekvenser. Så snart en medarbetare misstänker att ett ärligt svar leder till ett korrigerande samtal, upphör svaret. Vad gör ni med medarbetare som använder ett verktyg som ingen har godkänt handlar om precis den mekanismen: inventeringen är bara så bra som förtroendet med vilket den samlas in.
Till det hör också frågan om vad som händer med företagsinformation så snart den skrivs in i ett externt fönster. Vad gör ni med företagsdata i ett gratis chattfönster beskriver en risk som är fristående från illvilja: någon vill bara få en text kontrollerad, och skriver därvid med det som inte borde ha fått göras.
En styrningsuppsättning som följer på en inventering reglerar vem som godkänner en tillämpning, vem som utövar tillsyn och hur det dokumenteras. Det ansluter till den riskstruktur som en organisation redan har för andra områden: samma kommittéer, samma rapporteringslinjer, samma eskaleringsvägar. Det tillkommer ingen ny apparat vid sidan av den befintliga; det tillkommer en kategori till det som redan finns.
Detta ger påvisbarhet: en styrelse kan visa att det har blivit granskat, klassificerat och att tillsyn har inrättats. Det ger ingen garanti att en tillämpning aldrig mer gör ett fel. De två ligger åtskilda och skanningen gör inget utlåtande om den andra. Vad den ger är en grund utifrån vilken en styrelse kan förklara vad som har gjorts, inte en försäkring mot vad som ännu kan hända.
Ett ofta gjort misstag är att sätta upp en separat AI-process, fristående från den befintliga risk- och efterlevnadsstrukturen. Den processen får uppmärksamhet i början och försvinner sedan i bakgrunden, eftersom ingen fortsätter underhålla ett andra system vid sidan av det första. Varför en andra process vid sidan av den befintliga ignoreras förklarar varför anslutning till befintliga strukturer inte är en fråga om effektivitet, utan ett villkor för att något ska fortsätta existera.
Därtill hör också att en inventering är ett ögonblick, inte en slutpunkt. Nya tillämpningar tillkommer, befintliga ändrar funktion, och en klassificering som var korrekt vid leverans är inte automatiskt korrekt ett år senare. Hur ofta måste ni klassificera på nytt och hur håller ni ett AI-register aktuellt beskriver vad detta underhåll i praktiken kräver, och varför ett register som upprättats en gång inom överskådlig tid inte längre stämmer med verkligheten.
De människor som arbetar med dessa tillämpningar är dessutom en del av lösningen, inte bara en risk som måste kontrolleras. Vad medarbetare förstår och inte förstår av systemen de använder, avgör om en styrningsuppsättning betyder något i praktiken. Vad innebär AI-kompetens för era medarbetare behandlar den aspekten.
Den som väl vet vilka AI-tillämpningar som körs och vem som ansvarar för dem, stöter naturligt på en följdfråga: vilken del av arbetet som nu utförs manuellt är egentligen lämplig att lämna över till en AI-tillämpning. Det är en annan fråga än ansvar, men en som ändå stödjer sig på samma inventering. Arbetsskanningen från FTE TO AI räknar ut per uppgift vilken del av arbetet som kan tas över av AI, som ett nästa steg efter att det är klart vad som redan körs och vem som beslutar om det.
Skanningen som beskrivs på denna sida är under uppbyggnad. Den som är intresserad av detta kan anmäla sig till väntelistan; det levereras ännu ingenting som inte är klart.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.