AI-governance kræver mere end politikker

AI bliver ikke kun indført gennem store strategiske projekter. Det kommer også ind gennem eksisterende systemer, leverandører, analyseværktøjer og medarbejdernes egen brug af generative AI-løsninger.

Det betyder, at organisationen godt kan bruge mere AI, end den selv har et samlet overblik over.

Hvis governance alene tager udgangspunkt i de systemer, som formelt er godkendt som AI-systemer, kan en væsentlig del af den faktiske anvendelse derfor falde udenfor.

En politik kan beskrive, hvordan AI bør bruges.

Men governance begynder for alvor, når organisationen ved, hvordan AI faktisk bliver brugt.

Det kræver blandt andet overblik over, hvilke systemer og modeller der anvendes, hvilke formål de bruges til, hvilke data der indgår, hvem der træffer beslutninger på baggrund af output, og hvem der ejer risikoen.

Det er først dér, man kan vurdere, om de formelle rammer passer til den faktiske anvendelse.

Med AI Act er AI-governance ikke længere alene et spørgsmål om frivillige principper.

Reglerne bygger på en risikobaseret tilgang, og flere centrale krav er allerede trådt i kraft, herunder krav om AI literacy. Andre krav indfases gradvist.

Det betyder ikke, at alle organisationer skal opbygge en stor AI-compliancefunktion. Men det øger behovet for at kunne svare på nogle grundlæggende spørgsmål om, hvilken AI organisationen bruger, hvad den bruges til, hvilke risici der følger med, hvem der har ansvaret, og hvordan man ved, om løsningerne fungerer som forventet.

To AI-løsninger kan teknisk ligne hinanden og samtidig have meget forskellige risikoprofiler.

Det afhænger ikke kun af modellen, men også af hvordan den anvendes.

Et AI-system, der hjælper med at formulere et første udkast til intern tekst, er noget andet end et system, der indgår i vurderinger af mennesker, rekruttering eller beslutninger med væsentlige konsekvenser.

Den samme teknologi kan derfor kræve meget forskellig governance afhængigt af konteksten.

Det er en vigtig pointe, fordi organisationer ellers risikerer at vurdere risiko ud fra produktets navn eller leverandørens beskrivelse frem for den faktiske anvendelse.

Bias bliver ofte behandlet som noget, der skal findes i data eller modellen.

Men bias kan også opstå i den måde, AI bliver implementeret og anvendt på.

Et system kan teknisk fungere som designet og stadig skabe uhensigtsmæssige resultater, hvis output får en anden betydning i organisationen end tiltænkt, eller hvis en anbefaling i praksis bliver behandlet som en beslutning.

Derfor bør governance omfatte både modellen og den organisatoriske anvendelse.

AI Act indeholder krav om AI literacy.

Det bliver let oversat til et spørgsmål om træning. Men reel AI literacy handler også om, at forskellige roller har den viden, de behøver for at bruge og styre AI forsvarligt.

En medarbejder skal måske forstå begrænsningerne ved et AI-output. En leder skal kunne forstå ansvar og risiko. En indkøbsfunktion skal kunne stille de rigtige spørgsmål til en leverandør.

Det er ikke nødvendigvis den samme viden.

Derfor giver det ofte bedre mening med målrettede forløb til forskellige roller og funktioner end med ét generelt AI-kursus til hele organisationen. Et ledelsesoplæg kan for eksempel have fokus på ansvar og governance, mens et medarbejderforløb kan handle mere om konkret anvendelse, risici og god praksis.

Den vigtigste forskel er måske denne:

En politik beskriver, hvad organisationen ønsker skal ske.

Governance skal hjælpe organisationen med at forstå hvad der faktisk sker – og hvad det betyder.

Det kræver blik for regler og compliance, men også for modeller, data, bias, mennesker, arbejdsgange og organisatoriske konsekvenser.

Det er først, når de perspektiver bringes sammen, at AI-governance bliver til reel styring.