Et spørgsmål som »Hvem ejer AI-governance?« bliver ofte besvaret med en funktion, et udvalg eller en jobtitel. Det svar kan beskrive, hvor arbejdet ligger, men det viser ikke, hvem der kan træffe en beslutning, hvilken dokumentation der understøtter den, eller hvor et vanskeligt spørgsmål skal hen bagefter.
Et mere brugbart driftsmæssigt svar navngiver en intern ejer, beskriver beslutningsretten, identificerer den dokumentation, der skal gemmes, og fastlægger en vej for eskalation og revurdering. Det er en intern governance-metode. Den flytter ikke det juridiske ansvar, etablerer ikke compliance i sig selv og erstatter ikke juridisk rådgivning.
Begynd med beslutningerne, ikke titlen
Begynd med at beskrive de beslutninger, der har brug for en ejer. Det kan eksempelvis være godkendelse af en AI-leverandør, accept af en anvendelse, beslutning om hvilke data der må bruges, krav til menneskelig gennemgang, håndtering af en væsentlig bekymring og afvikling af et system. Den rigtige liste afhænger af organisationen, produkterne og de systemer, I bruger.
Et organisationsdiagram kan vise rapporteringslinjer, men det besvarer sjældent de spørgsmål. Et beslutningskort gør grænsen synlig: hvem forbereder beslutningen, hvem godkender den, hvem skal høres, hvilken dokumentation gemmes, og hvem modtager en eskalation, når beslutningen ligger uden for ejerens beføjelser.
| Beslutningsområde | Det skal registreres | Dokumentation, der skal gemmes |
|---|---|---|
| Godkendelse af leverandør og værktøj | Hvem godkender brug, dataadgang og kontraktvilkår? | Gennemgang, kontrakt eller vilkår og beslutning om godkendt brug |
| Accept af anvendelse | Hvem afgør, om den foreslåede anvendelse ligger inden for det aftalte omfang? | Beskrivelse af anvendelsen, risikospørgsmål og begrundelse |
| Data og output | Hvilke data, brugere og efterfølgende beslutninger er omfattet? | Datagrænse, adgangsbeslutning og instruktioner om menneskelig gennemgang |
| Eskalation | Hvilke forhold skal videre til jura, databeskyttelse, sikkerhed, produkt eller ledelse? | Eskalation, beslutning og eventuelle åbne betingelser |
| Revurdering og afvikling | Hvilken ændring eller bekymring kræver, at beslutningen tages op igen? | Udløser, nuværende ejer og beslutning om fortsættelse eller afvikling |
Hold den juridiske grænse synlig
EU’s AI-forordning fastsætter forpligtelser for udbydere og idriftsættere i de situationer, der er omfattet af forordningen. Artikel 4 handler om foranstaltninger, der understøtter AI-færdigheder hos medarbejdere og andre personer, der driver eller bruger AI-systemer på vegne af en udbyder eller idriftsætter. Bestemmelsen foreskriver ikke en bestemt intern titel og siger ikke, at en navngiven ejer i sig selv er tilstrækkelig.
Europa-Kommissionens spørgsmål og svar om AI-færdigheder er nyttige som kontekst for læsningen af forpligtelsen. De erstatter ikke forordningen eller en juridisk vurdering af en konkret anvendelse. Når personoplysninger, automatiserede afgørelser, ansættelse, sikkerhed eller kontraktlige forpligtelser er involveret, skal de relevante juridiske, privacy- og driftsansvarlige inddrages.
Et mandat med beslutningsret har derfor en afgrænset funktion. Det gør internt ansvar og dokumentation lettere at se. Det flytter ikke organisationens juridiske ansvar til den navngivne person, gør personen til juridisk rådgiver eller afgør, om et bestemt system falder ind under en juridisk kategori.
Skriv et kort mandat, der kan bruges
Mandatet skal identificere ejeren i den nuværende rolle og beskrive, hvad rollen omfatter. Beskriv de AI-systemer, leverandører og anvendelser, der er omfattet, samt undtagelser og overdragelser. Hvis ejeren kan godkende en leverandør, men ikke kan godkende brugen af personoplysninger, skal det stå klart.
Beskriv beslutningsretten med udsagnsord: godkende, afvise, sætte på pause, kræve dokumentation, høre, eskalere og revurdere. Undgå bredt sprog som »ejer al AI«. Ejeren kan koordinere beslutningsprocessen, mens det juridiske ansvar fortsat ligger hos den relevante udbyder, idriftsætter eller organisation.
Navngiv den dokumentation, der bør findes for hver beslutning. Det kan afhængigt af anvendelsen være en post i en AI-fortegnelse, en beskrivelse af data og adgang, en leverandørgennemgang, en beslutning om acceptabel brug, instruktioner om menneskelig gennemgang, registrering af træning eller briefing, en hændelsesregistrering eller en beslutning om afvikling. Markér dokumentation, der er planlagt eller mangler, som sådan.
Angiv til sidst eskalationsvejen og udløserne for revurdering. En ny leverandør, en væsentlig ændring i data eller anvendelse, en betydelig hændelse, en bekymring fra overvågningen eller en ændring i relevante krav kan alle begrunde en ny beslutning. Ejeren skal have tilstrækkelig beføjelse og tid til at koordinere overdragelserne, men mandatet må ikke antyde, at én person kan afgøre forhold, der hører under en anden funktion.
Brug mandatet i en konkret beslutning
Forestil jer, at et produktteam vil tilføje et AI-værktøj til et kundeforløb. Ejeren godkender eller afviser ikke alene ud fra værktøjets navn. Gennemgangen begynder med den foreslåede anvendelse, de involverede data, de berørte personer, leverandørvilkårene, outputtet, den menneskelige kontrol og konsekvenserne af en fejl.
Beslutningsregistreringen skal vise, hvad der var kendt på tidspunktet, hvilke funktioner der blev hørt, hvilke betingelser der blev knyttet til beslutningen, og hvor et uafklaret spørgsmål blev eskaleret. Hvis oplysningerne ikke er tilstrækkelige, kan beslutningen være at sætte anvendelsen på pause, indtil dokumentationen er på plads. Det er en governance-beslutning, ikke et løfte om, at systemet er sikkert eller juridisk godkendt i alle sammenhænge.
Det holder også data governance og AI-governance forbundet uden at slå dem sammen. En dataejer kan definere datakvalitet, herkomst og adgang. En AI-governance-ejer kan koordinere beslutninger om værktøjer og anvendelser. En DPO, sikkerhedsansvarlig, produktejer eller juridisk rådgiver kan have selvstændig beslutningsret. Mandatet skal vise forholdet i stedet for at lægge alle opgaver hos én person.
Gør revurdering og dokumentation til en del af arbejdet
Et mandat, der arkiveres én gang og aldrig gennemgås igen, holder op med at beskrive organisationen. Hold ejer, omfang, beslutninger og dokumentation opdateret. Registrér, hvorfor en anvendelse blev accepteret, hvilke betingelser der gælder, og hvad der skal udløse en ny vurdering.
Revurdering betyder ikke, at der skal skrives en ny politik ved enhver ændring. Det betyder, at I kontrollerer, om den oprindelige beslutning stadig beskriver leverandøren, dataene, brugerne og anvendelsen. En tydelig udløser giver ejeren en grund til at tage beslutningen op igen og giver andre funktioner et klart tidspunkt, hvor de kan rejse en bekymring.
Som bestyrelseskontekst er denne Deloitte-analyse, offentliggjort af Harvard Law School Forum on Corporate Governance en sekundær kilde og ikke juridisk autoritet. Det nyttige spørgsmål er det samme driftsmæssige spørgsmål: Kan organisationen forklare, hvem der beslutter, hvad der blev overvejet, og hvordan bekymringer når det rette niveau?
Hvad metoden kan og ikke kan vise
En navngiven ejer og et beslutningskort kan vise, at organisationen har fordelt det interne arbejde. De kan forbinde en AI-fortegnelse, aktiviteter for AI-færdigheder, leverandørgennemgang, beslutning om anvendelse og eskalationsregistrering med personer, der kender deres ansvar. De kan ikke bevise, at alle relevante krav er opfyldt, og de kan ikke erstatte en juridisk vurdering, en databeskyttelsesvurdering, en sikkerhedsgennemgang eller ledelsens ansvar.
Den praktiske test er, om nogen kan besvare spørgsmålene ud fra den dokumentation, der allerede findes: Hvem beslutter, hvilken dokumentation understøtter beslutningen, hvem skal høres, og hvad udløser en revurdering? Hvis svaret er uklart, er næste skridt at lukke det konkrete ejerskabshul i stedet for at skrive endnu en bred politik.
Siden om AI-governance beskriver den bredere driftsmæssige kontekst. Hvis I har brug for hjælp til at kortlægge én konkret beslutning, beskriver AI-beslutningsreviewet afgrænsningen, eller I kan tage kontakt med det konkrete spørgsmål og den dokumentation, I allerede har.