Denne klumme er et debatindlæg og er alene udtryk for forfatterens synspunkter.
De seneste år har virksomheder eksperimenteret intensivt med AI, og nu er teknologien på vej ud af innovationslaboratoriet og ind i den daglige drift.
AI bliver en del af forretningsprocesser, softwareudvikling, kundeservice og beslutningsstøtte.
Det er på mange måder den udvikling, vi har ventet på. Men den ændrer også det spørgsmål, ledelsen bør stille.
Det er ikke længere kun, ”hvad kan vi bruge AI til?”, men også, ”ved vi, hvor vi bruger AI, hvilke data teknologien arbejder med, hvem der har ansvaret – og hvad vi gør, hvis noget går galt?”.
For mange virksomheder kan udfordringen vise sig at være, at AI er kommet længere ind i organisationen end styringen af den.
AI er blevet en ledelsesopgave
AI-forordningen, GDPR, NIS2 og sektorregulering betyder, at virksomheder skal kunne forholde sig til blandt andet data, risici, sikkerhed og ansvar.
Men hvis diskussionen om AI-governance reduceres til compliance, risikerer vi at overse den vigtigste opgave. Governance skal først og fremmest gøre AI styrbar i praksis.
Det begynder med noget så grundlæggende som at vide, hvor AI faktisk bliver brugt. AI kan være indbygget i software, cloudtjenester og udviklingsværktøjer.
Medarbejdere kan samtidig tage generative AI-tjenester i brug på eget initiativ. Ledelsen kan derfor ikke gå ud fra, at den har overblik, blot fordi den har godkendt organisationens officielle AI-platforme.
Et AI-register kan være et konkret sted at begynde: Hvilke AI-løsninger bruger vi? Til hvilke formål? Hvilke data behandler de? Hvilke leverandører står bag? Og hvem ejer anvendelsen internt?
Det lyder måske administrativt. Men hvis virksomheden ikke ved, hvor AI bruges, kan den heller ikke styre risikoen.
Ikke al AI skal styres ens
Næste skridt er at skelne mellem anvendelserne.
En AI-assistent, der hjælper med at formulere intern tekst, indebærer ikke nødvendigvis samme risiko som et system, der behandler følsomme oplysninger eller indgår i beslutninger med konsekvenser for kunder eller borgere. Governance bør afspejle den forskel.
Det kræver risikoklassifikation, datakontrol og leverandørstyring. Men det kræver også klare beslutninger om menneskeligt tilsyn:
Hvornår kan et AI-output anvendes? Hvornår skal det kontrolleres? Og hvornår skal et menneske træffe den endelige beslutning?
De beslutninger skal kunne dokumenteres. Ikke kun for at tilfredsstille et regulatorisk krav, men fordi virksomheden selv skal kunne forstå og stå på mål for de risici, den accepterer.
Godkendelsen er ikke målstregen
Her ligger efter min mening en af de største udfordringer for både it-branchen, men også bredere.
Mange af os er vant til projekter, hvor en løsning vurderes, godkendes og sættes i produktion. Men AI er ikke nødvendigvis statisk på samme måde.
Modeller ændrer sig, leverandører opdaterer tjenester, og nye integrationer kommer til. Datagrundlaget og anvendelserne udvikler sig.
Og medarbejdere finder nye måder at bruge teknologien på.
Derfor kan AI-governance ikke reduceres til en godkendelse før idriftsættelse. Der skal være en central ejer efter implementeringen.
Risikoen skal vurderes løbende, og organisationen skal kunne reagere, når løsningen eller anvendelsen ændrer sig.
Her kan ISO 42001 være en praktisk ramme for virksomheder, der ønsker at arbejde mere systematisk med styring af AI. Men standarder kan ikke erstatte ejerskab. Nogen skal fortsat træffe beslutningerne og bære ansvaret.
It-branchen har også et ansvar
Det er heller ikke rimeligt at betragte AI-governance som et problem, kunderne selv må løse, når teknologien først er implementeret.
Hvis vi som branche hjælper virksomheder med at accelerere anvendelsen af AI, bør vi også hjælpe dem med at skabe den transparens og styring, der gør teknologien forsvarlig at drive.
Det betyder, at spørgsmål om data, leverandører, risikoklassifikation, dokumentation, menneskeligt tilsyn og monitorering bør indgå langt tidligere i dialogen om AI.
Ikke som en bremse for innovationen, men som en forudsætning for, at den kan skaleres.
Compliance er evidenslaget – ikke målet
Der er en risiko for, at AI-forordningen og andre regulatoriske krav får virksomheder til at fokusere på politikker, dokumenter og afkrydsningsfelter. Det ville være at begynde det forkerte sted.
Teknologien og den konkrete anvendelse skal være udgangspunktet. Governance skal skabe rammerne for, at virksomheden kan bruge AI ansvarligt.
Compliance skal kunne dokumentere, at de nødvendige beslutninger og kontroller faktisk eksisterer.
Teknologien er motoren. Governance og compliance er evidenslaget. For AI er ikke længere noget, virksomheder alene eksperimenterer med.
Den er på vej ind i driften. Og derfor bør enhver ledelse kunne svare på nogle ganske enkle spørgsmål: Hvor bruger vi AI? Hvem har ansvaret? Hvilke risici har vi accepteret? Og kan vi dokumentere vores svar?
Hvis ikke, er problemet ikke, at virksomheden mangler AI-governance på papiret. Problemet er, at ledelsen har teknologi i drift, som den reelt ikke kan styre.
Klummer er læsernes platform på Computerworld til at fortælle de bedste historier, og samtidig er det vores meget populære og meget læste forum for videndeling.
Har du en god historie, eller har du specialviden, som du synes trænger til at blive delt?
Læs vores klumme-guidelines og send os din tekst, så kontakter vi dig - måske bliver du en del af vores hurtigt voksende korps af klummeskribenter.
