AI-baserede indsigter til at transformere risikostyring og tabskontrol

Kunstig intelligens er allerede ved at ændre den måde, offentlige institutioner arbejder på. Medarbejdere bruger generativ AI til at søge information, analysere data, udarbejde kommunikationsmateriale og strømline det administrative arbejde. Undervisere og studerende inddrager teknologien i undervisningen, mens offentlige myndigheder undersøger anvendelsesmuligheder, der kan øge effektiviteten og hjælpe medarbejderne med at få overblik over stadig mere komplekse oplysninger.

For risikoledere i den offentlige sektor medfører den udbredte anvendelse af AI en række stadig flere overvejelser. Brugen af AI kan medføre risici i forbindelse med privatlivsbeskyttelse, cybersikkerhed, ansættelsesforhold, opbevaring af dokumenter, misinformation, omdømmerisiko og offentlig sikkerhed, og i mange organisationer kan medarbejderne allerede være i gang med at bruge AI, før de formelle retningslinjer, uddannelsesprogrammer og styringsstrukturer er fuldt ud på plads. 

Etablerede metoder til risikostyring og tabsprævention kan udgøre et holdbart grundlag for håndteringen af disse risici, selvom teknologien fortsat udvikler sig.

Start med ledelse

Et af de mest nyttige spørgsmål, en risikochef kan stille i dag, er:Ved vi, hvordan kunstig intelligens anvendes i hele vores organisation?

Uden en organisationsomfattende tilgang kan enkelte medarbejdere eller afdelinger træffe deres egne beslutninger om, hvilke værktøjer der skal bruges, hvilke oplysninger der kan indtastes i dem, og hvornår det er hensigtsmæssigt at inddrage AI-genererede resultater i deres arbejde. Disse beslutninger kan medføre risici, der rækker langt ud over den medarbejder, der oprindeligt anvendte teknologien.

En formel politik for styring af kunstig intelligens kan fastlægge fælles forventninger til acceptabel og forbudt anvendelse, databeskyttelse og -sikkerhed, menneskelig gennemgang, medarbejderuddannelse, kontrol af leverandører, opbevaring af dokumenter og indberetning af hændelser. 

For skolekredse kan styringen også omfatte aftaler om brug af kunstig intelligens mellem elever og forældre samt klare forventninger til medarbejdere, der håndterer elevoplysninger. Skriftlige retningslinjer kan danne grundlag for uddannelse, ansvarlighed og ensartet beslutningstagning, samtidig med at de viser, at organisationen har taget proaktive skridt til at håndtere nye risici. 

Da AI-funktioner i stigende grad integreres i mobiltelefoner, softwareplatforme, søgeværktøjer og andre teknologier, som medarbejderne bruger hver dag, bør offentlige enheder fastlægge klare retningslinjer for, hvordan disse værktøjer må anvendes, hvilke oplysninger de må få adgang til, og hvor der er behov for menneskelig kontrol.

Følg tallene

Offentlige enheder håndterer rutinemæssigt oplysninger, som ikke bør indtastes uden videre i et ikke-godkendt AI-miljø, herunder medarbejderoplysninger, oplysninger om borgere, beskyttede elevoplysninger og andet fortroligt eller følsomt materiale.

Risikoledere bør samarbejde med IT-, informationssikkerheds-, juridiske og driftsmæssige teams for at få indsigt i, hvor oplysningerne ender, når en AI-applikation anvendes, om de opbevares, hvem der kan have adgang til dem, og om organisationen kan hente dem frem, når det er nødvendigt.

Krav til offentlige registre udgør en yderligere overvejelse. Hvis medarbejdere bruger AI til at oprette eller ændre indhold, der vedrører offentlige anliggender, kan organisationer blive nødt til at afgøre, om dette indhold er omfattet af gældende krav til opbevaring eller offentliggørelse, og om det rent faktisk kan findes og fremlægges. 

En nyttig øvelse i risikostyring er at følge dataene fra start til slut:Hvilke oplysninger indtastes i værktøjet? Hvor ender de? Hvad sker der med dem der? Hvem har adgang til dem? Hvordan kan vi hente dem frem, hvis det bliver nødvendigt?

Når disse spørgsmål ikke kan besvares med sikkerhed, kræver anvendelsestilfældet en yderligere gennemgang.

Sørg for, at folk står til ansvar for resultatet

Kunstig intelligens kan generere information med bemærkelsesværdig hastighed og tilsyneladende sikkerhed, herunder information, der er ufuldstændig, partisk eller forkert. Dette får særlig betydning, når kunstig intelligens påvirker beslutninger vedrørende ansættelse, forfremmelse, tilpasninger, udstedelse af tilladelser, erstatningskrav, offentlig kommunikation eller andre aktiviteter med vidtrækkende konsekvenser.

En effektiv menneskelig gennemgang kræver, at der er en person med tilstrækkelig viden og beføjelser til at stille spørgsmålstegn ved resultatet, kontrollere de underliggende oplysninger og afvise en anbefaling, når det er relevant.

Organisationer bør også overveje,hvem der kan blive berørt, når kunstig intelligens begår fejl. Studerende kan stå over for udfordringer vedrørende privatliv, tilgængelighed og sikkerhed; medarbejdere kan blive berørt af beslutninger om ansættelse, tilpasninger eller forfremmelse; og borgere kan støde på spørgsmål vedrørende lige adgang, gennemsigtighed og retfærdig behandling. 

De potentielle konsekvenser bør være med til at fastlægge det passende tilsynsniveau. AI-applikationer, der kan have væsentlig indflydelse på en person, kan kræve yderligere test, menneskelig gennemgang og klart definerede eskaleringsprocedurer.

Erfaring er et andet aspekt, der skal tages i betragtning. En meget erfaren fagperson kan hurtigt se, når en AI-genereret anbefaling ikke giver mening, mens en person med mindre erfaring måske er mere tilbøjelig til at acceptere resultatet uden videre. Organisationer bør overveje, hvor der kan være behov for yderligere støtte eller gennemgang på tværs af forskellige erfaringsniveauer og roller. 

AI-træningen bør omfatte vejledning i, hvordan man genkender tvivlsomme resultater, validerer oplysninger og vurderer, hvornår der er behov for yderligere gennemgang.

Lav en plan for, hvis noget går galt

De traditionelle principper for tabsprævention er stadig yderst relevante i et miljø, der er baseret på kunstig intelligens.

Vigtige oplysninger bør sikkerhedskopieres på passende vis og kunne gendannes. Leverandørkontrakter bør klart fastlægge ansvar, databeskyttelse og andre relevante sikkerhedsforanstaltninger, herunder bestemmelser om erstatningsansvar og bekræftelse af passende forsikringsdækning for AI-relaterede risici. I takt med at forsikringsselskaber indfører undtagelser vedrørende generativ AI, bør organisationer samarbejde med deres forsikringsmæglere om nøje at gennemgå forsikringsbetingelserne og identificere potentielle dækningshuller. Disse undtagelser kan påvirke erstatningsansvaret i forbindelse med AI-genereret indhold, anbefalinger eller beslutninger, herunder visse krav vedrørende personskade, ejendomsskade og intellektuel ejendomsret. Organisationer bør også forstå, hvordan leverandører anvender AI i de tjenester, de leverer, da en virksomheds risiko kan strække sig ud over den teknologi, den direkte køber eller implementerer.

Anvendelser med højere risiko kan kræve yderligere sikkerhedsforanstaltninger. Hvis man for eksempel forventer, at teknologien skal identificere sprogbrug, der er forbundet med selvskading, trusler om at skade andre, mobning eller andre alvorlige sikkerhedsproblemer, bør de ansvarlige for risikostyring have indsigt i, om der er indført automatiseret overvågning og alarmer, hvad der udløser disse alarmer, og om de når frem til det rette personale, så der kan gribes ind i tide. Især for skolekredse kan disse sikkerhedsforanstaltninger være vigtige, når teknologien spiller en rolle i identificeringen af potentielle trusler mod elevernes trivsel.

Organisationer bør også overveje, hvordan de vil genvinde kontrollen, hvis en AI-baseret proces begynder at opføre sig uventet. Kan teknologien straks isoleres eller deaktiveres via en nødstopmekanisme, som undertiden kaldes en »kill switch«? Kan kritiske oplysninger gendannes? Hvem har beføjelse til at gribe ind?

Dette er velkendte spørgsmål inden for risikostyring, der nu anvendes på en ny generation af teknologi.

Gør styringen af kunstig intelligens til et fælles ansvar

En effektiv styring af AI kræver deltagelse på tværs af organisationen. Bestyrelser og topledelsen kan fastlægge risikovillighed og retningslinjer; HR kan varetage medarbejderuddannelse og retningslinjer for acceptabel brug; IT- og sikkerhedsafdelingerne kan varetage teknologi og databeskyttelse; juridiske afdelinger og compliance-teams kan varetage lovgivningsmæssige krav og krav til privatlivsbeskyttelse; afdelingsledere kan føre tilsyn med de operationelle anvendelser; og ledere og medarbejdere har fortsat ansvaret for, hvordan AI anvendes i det daglige arbejde. 

Risikoledere kan spille en vigtig rolle i at skabe sammenhæng mellem disse funktioner, identificere, hvor risici overlapper hinanden, og bidrage til at sikre, at der er klare ansvarsforhold, når nye AI-applikationer indføres.

Syv spørgsmål til risikoledere i den offentlige sektor

Offentlige enheder kan begynde at styrke deres kontrolforanstaltninger ved at stille sig syv praktiske spørgsmål:

1. Hvor anvender medarbejderne allerede kunstig intelligens, herunder værktøjer, der ikke er blevet formelt godkendt?
2. Hvilke oplysninger indtastes, og kan nogle af dem være fortrolige, beskyttede eller omfattet af arkiveringskrav?
3. Hvilke AI-støttede aktiviteter kan have væsentlig indflydelse på en medarbejder, studerende, borger eller vælger?
4. Hvor er der behov for menneskelig gennemgang, og er de ansvarlige for gennemgangen parate til at stille spørgsmål til og validere AI’ens resultater?
5. I hvilke situationer bør man straks eskalere sagen til en ansvarlig person?
6. Ville vi kunne standse en AI-baseret proces og gendanne vigtige oplysninger, hvis noget gik galt?
7. Hvornår har vi sidst gennemgået vores politikker, uddannelse, leverandøraftaler og forsikringsdækning i lyset af den AI-teknologi, der rent faktisk anvendes i dag?

Disse spørgsmål bør tages op til fornyet overvejelse med jævne mellemrum, da nye regler, ny teknologi, risici vedrørende privatliv og sikkerhed, driftsmæssige erfaringer samt ændringer i medarbejdernes anvendelse af systemerne ændrer organisationens risikoprofil.

Opbygning af modstandsdygtighed i takt med AI’s udvikling

Kunstig intelligens udvikler sig hurtigere, end mange traditionelle politiske beslutnings- og godkendelsesprocesser i den offentlige sektor kan følge med. I nogle organisationer skal politikker godkendes af bestyrelser og gennemgå andre formelle godkendelsesprocesser, hvilket kan gøre det vanskeligt for ledelsen at holde trit med de hurtige teknologiske forandringer. 

Etablerede risikostyringspraksisser udgør et nyttigt grundlag: klare forventninger, velgennemtænkte kontrolforanstaltninger, beskyttelse af følsomme oplysninger, meningsfuld menneskelig overvågning, uddannelse, eskaleringsprocedurer og regelmæssig revurdering. Disse praksisser kan også give offentlige enheder større tryghed, når de vurderer nye AI-applikationer og beslutter, hvor yderligere sikkerhedsforanstaltninger kan være påkrævet.

De organisationer, der i dag fastlægger klare forventninger, et stærkt tilsyn og praktiske sikkerhedsforanstaltninger, vil være bedre rustet til at tilpasse sig, i takt med at kunstig intelligens fortsætter med at udvikle sig.