Regler, leverandører og teknologi påvirker virksomheden udefra. Virksomhedens AI påvirker til gengæld kunder, medarbejdere og samfund. En moden styringsmodel skal kunne se begge bevægelser.
Når virksomheder drøfter AI-governance, begynder samtalen ofte med kravene udefra. Hvad siger AI-forordningen? Hvad kræver GDPR? Hvor behandles data? Hvilke dokumenter kan leverandøren levere?
Det er nødvendige spørgsmål. Men de beskriver kun den ene retning.
Den anden går ud af virksomheden. Hvem påvirkes af systemets output? Kan en kunde forstå og anfægte resultatet? Får en medarbejder reel menneskelig behandling? Kan en fejl brede sig til tusindvis af beslutninger, før den opdages? Og hvem bærer konsekvensen, når leverandørens model er korrekt implementeret, men virksomhedens anvendelse er dårligt designet?
AI-governance skal forbinde de to perspektiver. De eksterne påvirkninger, som virksomheden skal absorbere, og den eksterne virkning, som virksomheden selv skaber.
Udefra og ind – et bevægeligt kravbillede
Det eksterne landskab består af mere end AI-forordningen.
AI-forordningen fastlægger blandt andet roller, risikokategorier, forbud, transparenskrav og særlige pligter for højrisikosystemer. GDPR gælder parallelt, når personoplysninger behandles, med krav til formål, behandlingsgrundlag, dataminimering, korrekthed, transparens, rettigheder, sikkerhed og eventuelle konsekvensanalyser.
For finansielle virksomheder kommer DORA oveni. For enheder omfattet af NIS 2 skal AI-relaterede risici indgå i de organisatoriske og tekniske cybersikkerhedsforanstaltninger. Sundhed, life science, kritisk infrastruktur og den offentlige sektor har yderligere produkt-, kvalitets-, sikkerheds- eller forvaltningsretlige krav.
Hertil kommer leverandørvilkår, underleverandører, licenser, immaterielle rettigheder, forsyningskæde og kundekrav. En model kan ændres uden virksomhedens initiativ. En cloudtjeneste kan få nye funktioner. En agent kan få adgang til flere handlinger. Geopolitik og suverænitetskrav kan ændre vurderingen af afhængighed og jurisdiktion.
Governance skal derfor kunne håndtere ændringer, ikke kun en godkendelse på dag ét.
Det kræver et register, som forbinder use case, forretningsformål, ejer, data, model, version, leverandører, integrationer, juridisk rolle, intern konsekvensklasse og næste review. Uden den forbindelse bliver ændringsstyring gætværk.
Indefra og ud – virksomheden ejer anvendelseskonteksten
En leverandør kan dokumentere sin model og sine sikkerhedsforanstaltninger. Den kan ikke overtage ansvaret for den proces, som kunden sætter modellen ind i.
Det er virksomheden, der vælger formålet, inputdataene, brugergruppen, beslutningspunktet og graden af menneskelig kontrol. Det er også virksomheden, der oplever klagerne og skal rette op, hvis løsningen systematisk giver dårlige resultater for bestemte grupper eller fører medarbejdere til at stole for meget på outputtet.
Derfor bør en impact assessment ikke reduceres til et juridisk dokument. Den skal undersøge den faktiske virkning:
- Hvem får fordelene, og hvem bærer risikoen?
- Hvilke fejlscenarier er realistiske, også når brugeren er under tidspres?
- Kan de berørte forstå, at AI indgår, og hvordan resultatet anvendes?
- Findes en reel mulighed for menneskelig genvurdering, klage eller omgørelse?
- Kan virksomheden opdage forskelle i kvalitet, bias eller drift over tid?
- Hvad sker der, hvis leverandøren ændrer model, dataflow eller funktionalitet?
Spørgsmålene er relevante, selv når en formel FRIA eller DPIA ikke er påkrævet. Konsekvensen eksisterer uanset dokumentets navn.
Suverænitet er vigtigt, men ikke tilstrækkeligt
Debatten om data og AI ender ofte med et løfte om europæisk hosting eller en suveræn platform. Det kan være et væsentligt element i risikostyringen. Det kan reducere bestemte overførsels-, jurisdiktions- og afhængighedsrisici og forbedre kundens kontrol med infrastruktur og leverandørkæde.
Men hostingstedet løser ikke i sig selv spørgsmål om lovligt formål, dataminimering, for brede rettigheder, fairness, modelkvalitet, menneskeligt ansvar eller kontraktlige rettigheder til input og output.
EU-hosting er derfor en kontrol, ikke en konklusion.
Det samme gælder en certificering. ISO/IEC 42001 kan give en stærk struktur for et ledelsessystem med ansvar, risikostyring, evaluering og løbende forbedring. Standarden erstatter ikke den konkrete vurdering af det enkelte use case, og en organisation behøver ikke nødvendigvis certificering for at bruge principperne værdiskabende.
Evidens er den kommercielle side af governance
Dokumentation bliver ofte omtalt som en byrde. Men evidens har også markedsværdi.
Kunder, partnere, revisorer, investorer og tilsynsmyndigheder stiller stadig mere præcise spørgsmål til AI. En virksomhed, der kan fremlægge et klart register, risikovurderinger, leverandørkontrol, test, hændelser og korrigerende handlinger, kan svare hurtigere og mere troværdigt.
Genbrugelige kontroller kan samtidig gøre nye projekter billigere. En godkendt platform, standardiserede kontraktkrav, fælles evalueringsmetoder, en sikker gateway og klare tærskler reducerer behovet for at opfinde styringen på ny for hvert use case.
Det er her, governance går fra forsvar til konkurrenceevne. Ikke fordi alle risici forsvinder, men fordi virksomheden kan træffe beslutninger hurtigere på et dokumenteret grundlag. En moden organisation kan derfor stille et enkelt, men krævende kontrolspørgsmål:
- Kan en anden kvalificeret person rekonstruere, hvorfor systemet blev godkendt, hvilke betingelser der gjaldt, og om de fortsat er opfyldt?
Hvis svaret er ja, har organisationen et reelt styringsspor. Hvis svaret er nej, har den måske en politik, men endnu ikke governance.
Tre spørgsmål til ledelsen
- Har vi samlet AI-forordningen, GDPR, sektorregler, cybersikkerhed og leverandørkrav i én konkret kontrolprofil for hver væsentlig use case?
- Måler vi kun, hvad der kommer ind i systemet, eller også hvordan output påvirker kunder, borgere, medarbejdere og drift?
- Kan vores dokumentation genbruges i kundedialog, revision og nye projekter, eller bliver evidens først samlet, når nogen spørger?
Sådan kan Conformance bidrage
Conformance kan forbinde de to retninger i én styringsmodel. Regulerings- og leverandørkrav udefra samt konsekvens, kontrol og dokumentation indefra. Bistanden kan omfatte ledelses- og bestyrelsespræsentationer, modenheds- og gap-analyse, policy- og kontrolarkitektur, use case-vurderinger, adgangskrav og en implementeringsplan. Målet er ikke flest mulige kontroller, men et styringsspor, som både tåler efterprøvelse og understøtter forretningen.