När AI-användningen växer räcker inte en policy

Diskussionen om AI-styrning har under de senaste åren till stor del handlat om regler, risker och etiska riktlinjer. Det är viktiga frågor. EU:s AI-förordning har samtidigt gjort det nödvändigt för företag och organisationer att tydligare förstå vilken AI de använder, vad den används till och vilka krav som följer av användningen.

Men styrningen sätts först på prov när AI-användningen sprids mellan verksamhetsområden, system och leverantörer. Då behöver organisationen kunna se vilken AI som används, i vilket syfte, vem som ansvarar för den och hur användningen följs upp.

En större organisation kan använda många olika AI-modeller, språkmodeller, AI-agenter och externa tjänster. Samma modell kan dessutom förekomma i flera delar av verksamheten. Därför går det inte att avgöra styrningsbehovet utifrån modellen ensam. Det avgörande är i vilket användningsområde modellen eller agenten ingår och i vilket sammanhang den verkar.

Användningen avgör riskbilden

Det ligger i linje med EU:s AI-förordning där hur ett AI-system är avsett att användas har stor betydelse för vilka krav som gäller. För organisationer innebär det att styrningen behöver utgå från användningsområdet och inte bara från den underliggande tekniken.

Vilket problem ska lösas? Vilken modell eller agent används? Vilka data behandlas? Vilka människor påverkas? Vilka interna policyer och externa krav gäller? Vem har ansvar om något förändras eller går fel?

En modell som används i ett begränsat internt arbetsmoment kan kräva en viss typ av kontroll. Samma modell kan behöva en betydligt mer omfattande styrning om den används i en affärskritisk process eller i ett sammanhang där besluten får konsekvenser för människor.

Ett register över organisationens modeller är därför bara en del av lösningen. Det behövs också kunskap om hur modellerna används, vilka processer de ingår i och hur användningen förändras över tid.

Från policy till fungerande styrning

Den nya SAS-rapporten Data and AI Impact Report, utvecklad med insikter från IDC, visar att nordiska organisationer har stärkt sin förmåga inom flera områden som rör tillförlitlig AI. Samtidigt pekar resultaten på att policyarbetet ligger längre fram än delar av den praktiska styrningen, exempelvis löpande tillsyn, uppföljning och frågor om ansvar.

Det är här nästa steg behöver tas. Fungerande AI-styrning bygger inte på en enskild åtgärd, utan på att organisation, kultur, processer och teknik hänger ihop. Ansvar behöver vara tydligt fördelat, medarbetare behöver förstå vilka ramar som gäller, och processer för riskbedömning, dokumentation och uppföljning måste fungera även i takt med att AI-användningen växer.

Tekniken har en viktig roll, men främst som stöd i det här arbetet. När antalet AI-tillämpningar blir stort behöver organisationen kunna skapa en samlad bild av användningsområden, modeller, agenter, ansvar och relevanta regelverk. En sådan grundläggande struktur för AI-styrning gör det lättare att upptäcka luckor, tydliggöra ansvaret och se var ytterligare åtgärder behövs.

Men en sådan struktur har begränsat värde om det saknas tydliga mandat och en kultur där ansvar också tas i praktiken. AI-styrning är därför lika mycket en lednings- och organisationsfråga som en teknisk fråga.

Större självständighet kräver bättre överblick

Behovet blir ännu tydligare när AI får större möjlighet att utföra uppgifter och agera självständigt. Rapporten visar också att organisationer lägger större vikt vid frågor om autonomi och mänsklig tillsyn.

Ju större handlingsutrymme AI får, desto viktigare blir det att förstå var den används, vilka processer den påverkar och när en människa behöver ingripa. Om en modell eller agent visar sig ha en säkerhetsbrist behöver organisationen snabbt kunna se vilka användningsområden som berörs och var en närmare granskning bör inledas.

AI-styrning handlar därför om mer än bara riskhantering och regelefterlevnad. Med tydligt ansvar, fungerande processer och en gemensam överblick blir det också enklare att avgöra vilka AI-tillämpningar som kan utvecklas vidare och vilka som behöver åtgärdas. Rapporten pekar samtidigt på ett tydligt samband mellan stark styrning och bättre resultat från AI-investeringar.

En AI-policy är en viktig grund, men den får verklig betydelse först när den kan omsättas i praktiken. När organisation, kultur, processer och teknik stödjer samma mål skapas bättre förutsättningar för att använda AI mer brett, samtidigt som kontroll, transparens och ansvar bibehålls. Då blir styrningen inte bara ett sätt att begränsa risker, utan också en förutsättning för att skapa värde med AI i större skala.

// Josefin Rosén, expert på tillförlitlig och etisk AI-användning på

SAS Institute och medlem i EU-kommissionens AI Act Advisory Forum