AI governance

Hvad er AI governance?

AI governance betegner de principper, roller, processer og kontroller, en virksomhed bruger til at styre sin anvendelse af AI ansvarligt og konsistent.

Det handler om konkrete beslutninger: Hvem må bruge hvilke værktøjer? Hvilke oplysninger må deles? Hvem godkender resultatet? Og hvem tager ansvar, når noget går galt?

Begrebet bruges i flere faglige rammer. I en almindelig B2B-virksomhed omfatter det både indkøb, adgang, arbejdsprocesser, kvalitetskontrol og løbende opfølgning.

Hvad skal AI governance dække i praksis?

En brugbar governance-model bør give medarbejderne tydelige svar på fem områder:

1. Værktøjer og adgang: Vedligehold en liste over godkendte AI-værktøjer og deres tilladte anvendelser. Beskriv, hvilke medarbejdere der må bruge dem, og hvordan nye værktøjer bliver vurderet. Medtag AI-funktioner i eksisterende systemer og relevante bureauers brug på virksomhedens vegne.
2. Data: Fastlæg, hvilke oplysninger der må deles med hvert værktøj. Vurdér personoplysninger, kundeaftaler og fortrolig viden særskilt. Undersøg leverandørens databehandling, opbevaring og eventuelle brug af data til træning.
3. Output og godkendelse: Aftal, hvornår en medarbejder selv må bruge resultatet, og hvornår en faglig godkender skal involveres. Beskriv, hvad kontrollen skal omfatte, eksempelvis fakta, produktpåstande, rettigheder og kundeløfter.
4. Dokumentation: Registrér formål, værktøj, ansvarlig, datatyper, væsentlige risici og aftalte kontroller for tilbagevendende anvendelser. Gem relevante godkendelser og testresultater. Tilpas dokumentationens omfang til risikoen.
5. Fejl og ændringer: Gør det tydeligt, hvor fejl rapporteres, hvem der undersøger dem, og hvem der kan standse brugen. Aftal også, hvornår ændringer i værktøj, data eller anvendelse kræver en ny vurdering.

En værktøjsgodkendelse bør altid have et afgrænset formål. Godkendelse til tekstudkast siger eksempelvis ikke i sig selv noget om tilladelse til at dele kundedata.

Hvem ejer beslutningerne?

Ledelsen bør fastlægge virksomhedens risikovillighed og placere ansvaret for væsentlige beslutninger. En koordinator kan holde styr på politikker, værktøjslisten og opfølgningen.

Fordel derefter opgaverne efter faglig kompetence. IT og sikkerhed vurderer adgang og leverandørforhold. Marketing ejer godkendelsen af brandbudskaber og kampagneindhold. Produktansvarlige verificerer produktpåstande. Juridisk eller databeskyttelsesfaglig hjælp inddrages, når anvendelsen kræver det.

Hver tilbagevendende AI-anvendelse bør have en navngiven ejer med mandat til at ændre eller stoppe processen. En kollega på ferie bør ikke være virksomhedens eneste sikkerhedsmekanisme.

Hvordan vurderer man risikoen?

Start med tre spørgsmål: Hvem kan blive påvirket? Hvor sandsynlig og alvorlig er en fejl? Hvor hurtigt kan den opdages og stoppes?

Et udkast til et opslag baseret på offentlige produktfakta kan have en enkel godkendelsesproces. En løsning, der læser kundeaftaler og automatisk sender tilbud, bør vurderes mere grundigt og testes før brug.

Se på både datalæk, faktuelle fejl, skævheder og utilsigtede handlinger. Hold virksomhedens vurdering af forretningsrisiko adskilt fra AI Acts juridiske risikoklassifikation.

Hvad betyder AI Act for governance?

EU’s AI Act har en risikobaseret tilgang. Virksomhedens konkrete forpligtelser afhænger blandt andet af anvendelsen og dens rolle som udbyder eller bruger af et AI-system.

Artikel 50 indeholder specifikke transparenskrav, blandt andet om information ved AI-interaktion og om AI-genereret eller manipuleret indhold som deepfakes. Reglerne indebærer forskellige opgaver for udbydere og virksomheder, der anvender systemerne.

Governance bør derfor omfatte en proces for at afklare relevante krav og undtagelser. Konkrete juridiske spørgsmål skal vurderes ud fra den aktuelle lovgivning og virksomhedens situation.

AI literacy gør reglerne anvendelige

AI literacy omfatter viden og færdigheder til at forstå, bruge og vurdere AI med blik for muligheder og risici.

AI Acts artikel 4 kræver, at udbydere og virksomheder, der anvender AI-systemer, understøtter udviklingen af AI-kompetencer hos relevante medarbejdere og andre, der arbejder med systemerne på deres vegne. Indsatsen skal tilpasses deres erfaring, opgaver og anvendelsens kontekst. Der er ikke ét obligatorisk kursusformat eller krav om et særligt certifikat.

Træn eksempelvis marketing i at opdage opdigtede produktpåstande og salg i at håndtere kundeoplysninger. Registrér aktiviteterne, og opdatér vejledningen, når anvendelsen ændrer sig.

NIST AI RMF og ISO/IEC 42001

NISTs AI Risk Management Framework 1.0 er en frivillig ramme for AI-risikostyring. Den har fire funktioner: GOVERN, MAP, MEASURE og MANAGE. De omfatter organisering af ansvar, forståelse af anvendelsen, undersøgelse af risici og håndtering af dem. GOVERN går på tværs af arbejdet, og funktionerne bruges løbende.

ISO/IEC 42001 er en international standard med krav til at etablere, vedligeholde og løbende forbedre et ledelsessystem for AI. Begge rammer kan hjælpe med at strukturere arbejdet og gøre ansvar og opfølgning mere systematisk.

HappiLeap-perspektivet: Godkend anvendelsen

Hos HappiLeap anbefaler vi at formulere AI-godkendelser som konkrete arbejdsregler: Dette team må bruge dette værktøj til denne opgave, med disse data og denne kontrol. Det gør godkendelsen lettere at omsætte til en arbejdsdag.

I marketing bør reglen også pege på det godkendte vidensgrundlag. Aftal, hvilke produktfakta, budskaber og cases der gælder, hvem der vedligeholder dem, og hvordan ændringer når ud til AI-understøttede processer.

Test derefter reglerne på en faktisk opgave. Kan medarbejderen finde materialet, forstå datagrænsen og identificere godkenderen? Hvis det kræver tre møder at få svar, har governance-modellen stadig noget arbejde foran sig.