Responsible AI Governance
Känner ni igen detta: någon på ekonomiavdelningen använder ett AI-verktyg för att skriva rapporter, ingen på IT vet att det existerar, och om något går fel är det oklart vem som hålls ansvarig. Eller: verktyget som står på IT-listan har länge sedan ersatts av något som medarbetarna själva hittat, som fungerar snabbare, och som matas med företagsdata utan att någon har granskat det. Det är inte ett registreringsproblem. Det är ett ansvarsproblem som först blir synligt i det ögonblick det är för sent att lösa det lugnt.
Denna sida beskriver vad som ligger på bordet så snart den bilden är komplett: inte som ett löfte, utan som en uppräkning av delar.
Skanningen levererar inte ett enda dokument, utan en rad delar som passar ihop.
Först en översikt över tillämpningar, uppbyggd via ett förfrågningsverktyg som riktar sig till avdelningar och medarbetare och kompletteras genom styrd deskresearch. Den översikten innehåller inte bara vad IT känner till, utan även det som vuxit fram utanför: de tillämpningar som ingen formellt godkände, med vem de används och för vad.
Därefter följer, per tillämpning, en klassificering: vilken roll organisationen spelar i den (leverantör eller användare) och vilken risknivå som gäller. Den klassificeringen kommer från aiacta-databaserna, inte från en bedömning på plats. Utifrån det uppstår en tidslinje: vad som nu är en skyldighet, och vad som kan planeras senare. På så sätt blir det synligt var brådska hör hemma och var den inte gör det.
Därefter finns ett styrningsramverk, utformat som en mallsamling. Dessa mallar är gjorda för att ansluta till organisationens befintliga riskstruktur, så att det inte behöver uppstå en andra process bredvid den första. Till detta kommer en styrelserapport, sammanfattad på en sida, avsedd att dela kärnan i situationen utan att alla behöver gå igenom det underliggande materialet.
Slutligen finns en prenumeration på en horisontbevakare, för att följa vad som förändras över tid: nya tillämpningar, ny lagstiftning, förskjutningar i risk. Vad som är korrekt vid tidpunkten för skanningen kan några månader senare vara inaktuellt igen; prenumerationen är svaret på det, inte en engångsrapport.
Hur dessa delar exakt tas fram, från förfrågning till mall, beskrivs i hur det fungerar; den som vill se hur slutresultaten ser ut innehållsmässigt hittar det på resultat.
Uppgifterna kommer från två källor. Översikten över tillämpningar kommer från vad organisationen själv anger via förfrågningsverktyget, kompletterat med deskresearch som synliggör vad översikten vilar på. Klassificeringen av roll, risk och skyldighet kommer från aiacta-databaserna: strukturerad information om AI-förordningen, inte från en lös bedömning. Det innebär att varje resultat kan spåras till sin källa, och att inget i rapporten vilar på en välgrundad bedömning som inte också går att återfinna i källan. Den som vill veta hur dessa databaser är uppbyggda och underhålls kan läsa om det i kunskapsbanken.
Tre saker ligger utanför vad denna skanning gör, och det är medvetet så.
Det är inget verktyg för efterlevnad av AI-förordningen. För register, klassificering och kompetens enligt AI-förordningen är aiacta.eu huset; den gränsen förskjuts inte. Denna skanning använder det husets databaser, men ersätter det inte.
Det är inget bevis på ett genomfört projekt. Skanningen strukturerar vad som finns vid tidpunkten för genomförandet; den visar ingen meritlista och gör inte anspråk på erfarenhet av tidigare avslutade projekt. Vad skanningen ger är en bild av nuläget, inte ett track record.
Det är ingen andra process bredvid den befintliga strukturen. Mallarna är gjorda för att föras in i det som redan finns av riskhantering eller efterlevnad, inte för att leva sitt eget liv bredvid det. Om den inpassningen fungerar smidigt i praktiken beror på hur den befintliga strukturen är uppbyggd — det kan skanningen i sig inte garantera.
Med översikten, klassificeringen, tidslinjen och mallarna på bordet uppstår ett beslutsögonblick om nästa steg. Vissa organisationer tar hand om register, mallar och tidslinje själva, och ordnar kompetens via aiacta-platserna. Andra söker en partner för utformningen av tillsynsprocessen och inpassningen i den befintliga riskstrukturen. Ytterligare andra lägger ut hela styrningsprojektet på en partner, med skanningen som det dokument projektet startar från. Vilken väg som är lämplig beror på organisationens storlek, komplexiteten hos de funna tillämpningarna och den kapacitet som finns tillgänglig internt — det är en avvägning organisationen gör själv, inte något skanningen föreskriver.
Knappen för att starta skanningen befinner sig för närvarande på en väntelista; den som anmäler sig får besked så snart verktyget är tillgängligt.
AI-styrning får först betydelse när det är klart vilka uppgifter, timmar och system som konkret är involverade. Den översättningen, från tillämpning till arbetsbörda, tydliggörs av arbetsskanningen från FTE TO AI (ftetoai.com).
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.