Door AI gegenereerde inzichten voor het transformeren van risicobeheer en schadebeheersing

Kunstmatige intelligentie verandert nu al de manier waarop overheidsinstanties werken. Medewerkers gebruiken generatieve AI om informatie op te zoeken, gegevens te analyseren, communicatie te opstellen en administratieve taken te stroomlijnen. Docenten en studenten passen het toe in de klas, terwijl overheidsinstanties op zoek zijn naar toepassingen die de efficiëntie kunnen verbeteren en medewerkers kunnen helpen om steeds complexere informatie te begrijpen.

Voor risicomanagers in de publieke sector brengt een wijdverbreide invoering van AI een groeiend aantal aandachtspunten met zich mee. Het gebruik van AI kan risico’s met zich meebrengen op het gebied van privacy, cyberbeveiliging, arbeidspraktijken, het bewaren van documenten, desinformatie, reputatierisico’s en openbare veiligheid. In veel organisaties maken medewerkers mogelijk al gebruik van AI voordat het formele beleid, de opleidingsprogramma’s en de bestuursstructuren hier volledig op zijn afgestemd. 

Beproefde werkwijzen op het gebied van risicobeheer en schadebeperking kunnen een duurzaam kader bieden voor het beheersen van deze risico’s, ook al blijft de technologie zich ontwikkelen.

Begin met governance

Een van de nuttigste vragen die een risicomanager zich tegenwoordig kan stellen, is:weten we hoe AI binnen onze organisatie wordt ingezet?

Zonder een organisatiebrede aanpak kunnen individuele medewerkers of afdelingen zelf beslissen welke tools ze gebruiken, welke informatie daarin kan worden ingevoerd en wanneer het gepast is om door AI gegenereerde resultaten in hun werk te verwerken. Die beslissingen kunnen risico’s met zich meebrengen die veel verder reiken dan de medewerker die de technologie aanvankelijk heeft gebruikt.

Een formeel beleid inzake AI-beheer kan zorgen voor gemeenschappelijke afspraken over toegestaan en verboden gebruik, gegevensprivacy en -beveiliging, menselijke controle, opleiding van medewerkers, controles op leveranciers, het bewaren van documenten en het melden van incidenten. 

Voor schooldistricten kan het bestuur ook overeenkomsten met leerlingen en ouders over het gebruik van AI omvatten, evenals duidelijke verwachtingen voor medewerkers die met leerlinggegevens omgaan. Schriftelijk vastgelegd beleid kan een basis vormen voor opleidingen, verantwoording en consistente besluitvorming, en tegelijkertijd aantonen dat de organisatie proactieve maatregelen heeft genomen om opkomende risico’s te beheersen. 

Aangezien AI-functies steeds vaker worden geïntegreerd in telefoons, softwareplatforms, zoekmachines en andere technologieën die werknemers dagelijks gebruiken, moeten overheidsinstanties duidelijke richtlijnen opstellen over hoe deze tools mogen worden gebruikt, tot welke informatie ze toegang hebben en wanneer menselijk toezicht vereist is.

Volg de gegevens

Overheidsinstanties verwerken regelmatig informatie die niet zomaar in een niet-goedgekeurde AI-omgeving mag worden ingevoerd, zoals personeelsdossiers, gegevens van burgers, beschermde leerlinggegevens en ander vertrouwelijk of gevoelig materiaal.

Risicomanagers moeten samenwerken met IT-, informatiebeveiligings-, juridische en operationele teams om inzicht te krijgen in waar informatie terechtkomt wanneer een AI-toepassing wordt gebruikt, of deze wordt bewaard, wie er toegang toe heeft en of de organisatie deze informatie indien nodig kan terugvinden.

Vereisten inzake openbare registers vormen een extra aandachtspunt. Als medewerkers AI gebruiken om inhoud met betrekking tot openbare aangelegenheden te creëren of aan te passen, moeten organisaties mogelijk nagaan of die inhoud onderworpen is aan toepasselijke bewaar- of openbaarmakingsvereisten en of deze daadwerkelijk kan worden teruggevonden en overgelegd. 

Een nuttige oefening om risico’s te beperken is om de gegevens van begin tot eind te volgen:welke informatie wordt in de tool ingevoerd? Waar gaat die naartoe? Wat gebeurt er daar mee? Wie heeft er toegang toe? Hoe zouden we die informatie kunnen opvragen als dat nodig is?

Wanneer die vragen niet met zekerheid kunnen worden beantwoord, moet de use case nader worden onderzocht.

Zorg ervoor dat mensen verantwoordelijkheid nemen voor het resultaat

AI kan met opmerkelijke snelheid en schijnbaar vol vertrouwen informatie genereren, waaronder informatie die onvolledig, bevooroordeeld of onjuist is. Dit is met name van belang wanneer AI van invloed is op beslissingen met betrekking tot aanwerving, promotie, aanpassingen, vergunningen, claims, openbare communicatie of andere activiteiten met verstrekkende gevolgen.

Voor een doeltreffende menselijke beoordeling is iemand nodig die over voldoende kennis en bevoegdheid beschikt om de uitkomst in twijfel te trekken, de onderliggende informatie te valideren en een aanbeveling indien nodig af te wijzen.

Organisaties moeten ook nagaanwie er mogelijk de dupe wordt als AI een fout maakt. Studenten kunnen te maken krijgen met kwesties op het gebied van privacy, toegankelijkheid en veiligheid; werknemers kunnen worden beïnvloed door beslissingen over aanwerving, aanpassingen of promotie; en burgers kunnen te maken krijgen met vraagstukken rond gelijke toegang, transparantie en een eerlijke procedure. 

De mogelijke gevolgen zouden een rol moeten spelen bij het bepalen van het juiste toezichtsniveau. AI-toepassingen die aanzienlijke gevolgen kunnen hebben voor een individu, vereisen mogelijk aanvullende tests, menselijke controle en duidelijk omschreven escalatieprocedures.

Ervaring is een ander aandachtspunt. Een zeer ervaren professional kan snel herkennen wanneer een door AI gegenereerde aanbeveling niet klopt, terwijl iemand met minder ervaring wellicht eerder geneigd is de uitkomst klakkeloos te accepteren. Organisaties moeten nagaan waar extra ondersteuning of controle nodig kan zijn, afhankelijk van verschillende ervaringsniveaus en functies. 

Bij AI-training moet aandacht worden besteed aan het herkennen van twijfelachtige resultaten, het valideren van informatie en het inschatten wanneer aanvullende controle nodig is.

Zorg dat je een plan hebt voor als er iets misgaat

Traditionele principes voor schadebeheersing blijven zeer relevant in een omgeving waarin kunstmatige intelligentie wordt ingezet.

Kritieke informatie moet op passende wijze worden geback-upt en moet herstelbaar zijn. In contracten met leveranciers moeten verantwoordelijkheid, gegevensbescherming en andere passende waarborgen duidelijk worden vastgelegd, met inbegrip van vrijwaringsbepalingen en de bevestiging van passende verzekeringsdekking voor risico’s in verband met AI. Nu verzekeraars uitsluitingen met betrekking tot generatieve AI invoeren, moeten organisaties samen met hun verzekeringsmakelaars de polisvoorwaarden zorgvuldig doorlopen en mogelijke dekkingslacunes in kaart brengen. Deze uitsluitingen kunnen van invloed zijn op aansprakelijkheid die voortvloeit uit door AI gegenereerde inhoud, aanbevelingen of beslissingen, waaronder bepaalde vorderingen inzake lichamelijk letsel, materiële schade en intellectueel eigendom. Organisaties moeten ook inzicht hebben in de manier waarop leveranciers AI gebruiken binnen de diensten die zij leveren, aangezien de risico’s voor een entiteit verder kunnen reiken dan de technologie die zij rechtstreeks aanschaft of implementeert.

Toepassingen met een hoger risico kunnen aanvullende waarborgen vereisen. Als bijvoorbeeld wordt verwacht dat technologie taal identificeert die verband houdt met zelfbeschadiging, dreigingen tegen anderen, pesten of een ander ernstig veiligheidsrisico, moeten risicomanagers weten of er geautomatiseerde monitoring en waarschuwingen zijn ingesteld, wat de aanleiding voor die waarschuwingen is en of deze de juiste personen bereiken voor tijdige interventie. Met name voor schooldistricten kunnen deze waarborgen belangrijk zijn wanneer technologie een rol speelt bij het identificeren van potentiële bedreigingen voor het welzijn van leerlingen.

Organisaties moeten ook nagaan hoe ze de controle kunnen terugkrijgen als een door AI aangestuurd proces zich onverwacht zou gaan gedragen. Kan de technologie onmiddellijk worden geïsoleerd of uitgeschakeld via een noodstopmechanisme, ook wel een ‘kill switch’ genoemd? Kan cruciale informatie worden hersteld? Wie heeft de bevoegdheid om in te grijpen?

Dit zijn bekende vragen op het gebied van risicobeheer, toegepast op een nieuwe generatie technologie.

Maak van AI-governance een gedeelde verantwoordelijkheid

Voor effectief AI-beheer is betrokkenheid van de hele organisatie nodig. Raden van bestuur en leidinggevenden kunnen de risicobereidheid en het beleid vaststellen; HR kan zich bezighouden met de opleiding van het personeel en het aanvaardbaar gebruik; IT en beveiliging kunnen de technologie en gegevensbescherming beheren; juridische en compliance-teams kunnen zorgen voor de naleving van regelgeving en privacyvereisten; afdelingshoofden kunnen toezicht houden op de operationele toepassingen; en managers en medewerkers blijven verantwoordelijk voor de manier waarop AI in het dagelijkse werk wordt gebruikt. 

Risicomanagers kunnen een belangrijke rol spelen bij het met elkaar verbinden van deze functies, door vast te stellen waar risico’s elkaar kruisen en door ervoor te zorgen dat er duidelijke verantwoordelijkheden zijn wanneer nieuwe AI-toepassingen worden geïntroduceerd.

Zeven vragen voor risicomanagers in de publieke sector

Overheidsinstanties kunnen beginnen met het versterken van hun controles door zeven praktische vragen te stellen:

1. Waar maken medewerkers al gebruik van AI, inclusief tools die nog niet officieel zijn goedgekeurd?
2. Welke informatie wordt ingevoerd, en zou er informatie bij kunnen zitten die vertrouwelijk of beschermd is, of waarvoor archiveringsverplichtingen gelden?
3. Welke door AI ondersteunde activiteiten zouden wezenlijke gevolgen kunnen hebben voor een werknemer, student, burger of kiezer?
4. In welke gevallen is menselijke controle nodig, en zijn de controleurs bereid om de output van de AI kritisch te bekijken en te valideren?
5. In welke situaties moet er onmiddellijk worden geëscaleerd naar een medewerker?
6. Zouden we een door AI aangestuurd proces kunnen stoppen en cruciale informatie kunnen herstellen als er iets mis zou gaan?
7. Wanneer hebben we voor het laatst ons beleid, onze opleidingen, onze contracten met leveranciers en onze verzekeringsdekking getoetst aan de AI-technologie die vandaag de dag daadwerkelijk wordt gebruikt?

Deze vragen moeten regelmatig opnieuw worden bekeken, aangezien nieuwe regelgeving, opkomende technologieën, privacy- en veiligheidsrisico’s, operationele ervaring en de veranderende mate waarin medewerkers de technologie omarmen, het risicoprofiel van een organisatie beïnvloeden.

Veerkracht opbouwen naarmate AI zich verder ontwikkelt

AI ontwikkelt zich sneller dan veel traditionele beleids- en goedkeuringsprocessen in de publieke sector kunnen bijbenen. In sommige organisaties moeten beleidsmaatregelen worden voorgelegd aan besturen en andere formele beoordelingsprocedures doorlopen, waardoor het voor het bestuur moeilijk kan zijn om gelijke tred te houden met de snelle technologische veranderingen. 

Beproefde werkwijzen op het gebied van risicobeheer bieden een nuttige basis: duidelijke verwachtingen, doordachte controles, bescherming van gevoelige informatie, zinvol menselijk toezicht, opleiding, escalatieprocedures en regelmatige herbeoordeling. Deze werkwijzen kunnen overheidsinstanties ook meer vertrouwen geven bij het beoordelen van nieuwe AI-toepassingen en bij het bepalen waar aanvullende waarborgen gepast kunnen zijn.

De organisaties die vandaag de dag duidelijke verwachtingen, streng toezicht en praktische waarborgen instellen, zullen beter voorbereid zijn om zich aan te passen naarmate AI zich verder ontwikkelt.