Fire områder der styrker operationel AI-governance

Kunstig intelligens er ikke længere et internt udviklingsprojekt. AI er integreret i mailplatforme, samarbejdsværktøjer, CRM-systemer, supportløsninger og analyseværktøjer på tværs af organisationen, og det stiller krav til både databehandling, risikostyring og interne kontroller.

AI-governance er derfor blevet en operationel disciplin på linje med informationssikkerhed og risikostyring. Politikker og retningslinjer er ikke nok – kontroller skal forankres i konkrete arbejdsgange, tekniske begrænsninger, beslutningsprocesser og løbende overvågning.

AI-landskabet bliver hurtigt uoverskueligt

Mange organisationer er allerede i gang med at formulere AI-politikker og interne retningslinjer. Det er nødvendigt, men governance bliver først effektiv, når organisationen har et reelt overblik over, hvor og hvordan AI anvendes.

Udfordringen er, at AI sjældent implementeres som ét samlet projekt. Nye funktioner, integrationer og automatiseringer bliver løbende aktiveret i eksisterende systemer, ofte uden at de behandles som egentlige AI-implementeringer. Samtidig anvendes AI i processer, hvor medarbejdere tidligere har foretaget vurderinger, prioriteringer eller anbefalinger, fx i support, sagsbehandling, compliance og kundedialoger.

Det skaber et decentraliseret AI-landskab, hvor databehandling, integrationer og beslutningsgrundlag udvikler sig hurtigere end organisationens retningslinjer. Risikoen opstår ofte i standardindstillinger, API-forbindelser og systemintegrationer, hvor data deles på tværs af platforme uden tydeligt ejerskab eller tilstrækkelig overvågning.

Derfor bør organisationen først og fremmest skabe et samlet overblik over:

• Implementerede AI-systemer

• Aktive integrationer

• Adgang til data

Derudover er det vigtigt at klarlægge, hvilke beslutninger og arbejdsgange AI understøtter, og hvor der fortsat skal være menneskelig kontrol. Når AI bliver en del af arbejdsgangen, opstår der nye risici knyttet til bias, fejlagtige anbefalinger og ukritisk anvendelse af AI-genereret output.

LÆS OGSÅ: Hvad er EU's AI Act?

Fire centrale discipliner i AI-governance

AI-governance bliver først operationel, når organisationen arbejder konkret med dataflows, integrationer, adgangsstyring og kontrol af AI-understøttede processer. Herunder er fire centrale områder, der bør indgå i governance-arbejdet.

1) Kortlæg databehandling og integrationspunkter

Når organisationen har skabt overblik over AI-landskabet og de konkrete arbejdsgange, bliver næste skridt at kortlægge, hvordan data bevæger sig mellem systemer, integrationer og AI-løsninger.

Her opstår nogle af de mest oversete risici i AI-governance. Data flyttes ofte mellem platforme, API’er og tredjepartssystemer, hvor integrationslogik og standardindstillinger kan skabe utilsigtet datadeling eller manglende kontrol med adgangsforhold.

Organisationen bør derfor kortlægge:

• hvilke systemer der udveksler data med AI-løsningen

• hvilke datatyper der behandles

• hvor data lagres og hvor længe

• om data anvendes til træning af modeller

• hvilke brugere der har adgang til output

Særligt integrationer til CRM-systemer, supportsystemer og samarbejdsplatforme kræver opmærksomhed, fordi de ofte indeholder store mængder persondata og forretningskritisk information.

2) Begræns AI-adgangen før risikoen vokser

Mange organisationer fokuserer primært på brugen af AI-værktøjet, men en stor del af risikobilledet opstår i de integrationer og adgangsforhold, der etableres omkring løsningen. AI-løsninger bør derfor kun have adgang til de systemer og datatyper, der er nødvendige for den konkrete arbejdsgang.

Organisationen bør tage stilling til:

• hvilke integrationer der er nødvendige

• hvilke brugere der må etablere AI-workflows

• hvilke data AI-løsninger må tilgå

• hvordan output må anvendes internt

• hvilke standardindstillinger der skal begrænses eller deaktiveres

Tekniske begrænsninger bliver hurtigt en central del af governancearbejdet, fordi mange AI-funktioner aktiveres direkte i eksisterende software og samarbejdsplatforme uden særskilte implementeringsprojekter.

3) Fasthold menneskelig kontrol over beslutningsgrundlaget

Når AI anvendes til at generere anbefalinger, kategorisere information eller udarbejde beslutningsoplæg, bliver menneskelig validering afgørende.

AI-genereret output kan fremstå overbevisende, selv når datagrundlaget er fejlbehæftet eller anbefalingen bygger på bias i modellen. Samtidig opstår der en risiko for, at medarbejdere accepterer AI-output ukritisk, fordi løsningen fremstår som en del af den eksisterende arbejdsgang.

Organisationen bør derfor definere:

• hvilke beslutninger der kræver menneskelig godkendelse

• hvordan output skal valideres

• hvornår medarbejdere skal kunne tilsidesætte AI-anbefalinger

• hvordan vurderinger og ændringer dokumenteres

AI ændrer ikke det formelle ansvar for beslutningen, men det ændrer beslutningsgrundlaget og dermed også kravene til kontrol og dokumentation.

4) Definer ansvar efter implementering

Mange organisationer beskriver overvågning og kontrol i deres politikker, men mangler tydeligt ejerskab for den løbende opfølgning. Det skaber udfordringer, når eksisterende systemer introducerer nye AI-funktioner eller integrationer som en del af almindelige softwareopdateringer.

Organisationen bør derfor tydeligt definere:

• hvem der overvåger AI-løsningen i praksis

• hvem der vurderer ændringer i funktionalitet og integrationer

• hvem der håndterer fejl eller utilsigtet output

• hvem der ejer relationen til leverandøren

• hvordan governance- og kontrolaktiviteter dokumenteres

AI-systemer er samtidig ikke statiske. Funktionalitet, datagrundlag og modeladfærd kan ændre sig over tid, efterhånden som leverandører opdaterer løsningerne eller organisationen ændrer brugen af dem. Det betyder, at en AI-løsning, der oprindeligt blev vurderet som lav risiko, gradvist kan udvikle nye risici i takt med ændrede integrationer, arbejdsgange eller anvendelsesmønstre.

Derfor bør organisationen løbende genvurdere om:

• AI-løsningen fortsat anvendes som oprindeligt forudsat

• output ændrer karakter eller kvalitet over tid

• nye integrationer eller funktioner påvirker risikobilledet

• eksisterende kontroller fortsat er tilstrækkelige

AI-governance kræver altså ikke kun implementeringskontrol, men også løbende monitorering og periodisk revurdering af både teknologi, databehandling og arbejdsgange. Det kræver et tæt samarbejde mellem IT, informationssikkerhed, compliance og ledelse, fordi ansvar for AI-governance sjældent kan placeres ét sted.