I Lenke til et annet nettsted.Rambølls kunnskapsgrunnlag om generativ KI i statlige virksomheter Lenke til et annet nettsted. beskrives store forskjeller i hvor raskt virksomhetene tar KI i bruk. Risikovilje, ledelsesforankring og evnen til å håndtere juridiske og sikkerhetsmessige spørsmål påvirker tempoet.
Forskjellene er naturlige fordi virksomheter har ulike oppgaver, kunder og krav. Risikoviljen bør også variere internt, siden språkvask av et utkast krever en annen vurdering enn rangering av jobbsøkere.
God styring (governance) krever derfor konkrete valg per arbeidsområde. I praksis består risikoappetitt av tre beslutninger: høyeste tillatte handlefrihet, kravene som må være oppfylt, og forholdene som skal føre til en ny vurdering.
Hvis dere bare gjør én ting etter å ha lest dette
Velg ett viktig område fra autonomikartet og fullfør denne setningen i ledergruppen:
«I dette området tillater vi KI opp til nivå ___, fordi ___. Før bruken kan økes, må ___ være på plass. Vi vurderer beslutningen på nytt dersom ___.»
Når setningen er vedtatt med eier og dato, har virksomheten et konkret utgangspunkt for risikoappetitt.
Risikoappetitt må kunne brukes i en beslutning
Mange virksomheter beskriver seg som moderat risikovillige eller som åpne for innovasjon innenfor trygge rammer. For at slike formuleringer skal kunne brukes i praksis, må de oversettes til konkrete valg om en KI-løsning for eksempel kan prioritere kundeklager eller sende svar uten forhåndsgodkjenning.
Et operativt vedtak bør fastsette det høyeste tillatte A-nivået i området og beskrive kontrollene som må være på plass før nivået godkjennes. Vedtaket bør også si hvilke endringer eller hendelser som skal føre til ny behandling. Da kan ledelsen senere vise hva den valgte, hvorfor den valgte det, og hvilke forutsetninger som gjaldt.
Første valg: høyeste tillatte handlefrihet
Når ledergruppen sammenholder det KI gjør i dag med handlefriheten den vil tillate, blir avstanden mellom praksis og risikoappetitt synlig.
I et område med liten konsekvens kan A2 eller A3 være forsvarlig. I et område som berører rettigheter, helse, arbeidsforhold, store økonomiske verdier eller sikkerhet, kan ledergruppen velge et lavere nivå og sterkere menneskelig kontroll.
Valget bør begrunnes med arbeidsområdets betydning, kvaliteten på dataene, konsekvensen av feil og virksomhetens evne til å oppdage og rette dem.
Andre valg: krav før godkjenning
Før et område får nivå A3 eller A4, bør ledergruppen vite hvilken leder som eier bruken og risikoen, og hvilken rolle som kan begrense eller stoppe løsningen. Virksomheten må kunne forklare hva KI gjorde og hvilket grunnlag som ble brukt, samtidig som tilgangen til data og systemer må passe til oppgaven. Dersom ett av disse forholdene er uklart, kan bruken fortsette med menneskelig godkjenning mens kontrollen etableres.
Kravene bør dokumenteres i samme oversikt som A-nivået. Da blir det synlig hva som mangler og hvem som skal levere avklaringen.
Disse kravene fungerer som en kontrollport før handlefriheten økes. Porten gjør ledergruppens risikovilje praktisk, fordi en løsning bare går videre når de avtalte vilkårene er dokumentert. Den ansvarlige lederen legger frem grunnlaget, mens relevante fagmiljøer vurderer blant annet sikkerhet, personvern og avtaler. Ledergruppen kan dermed ta stilling til både forretningsverdien og virksomhetens evne til å håndtere konsekvensene.
Tredje valg: tidspunkt for ny vurdering
En godkjenning må vurderes på nytt når forutsetningene endrer seg. Ledergruppen bør derfor på forhånd bestemme hva som skal sende saken tilbake til behandling. Det kan være en feil eller klage med vesentlig konsekvens, endringer i dataene eller arbeidsprosessen, en ny leverandør, utvidet tilgang eller svakere kvalitet enn avtalt. En planlagt vurderingsdato sørger i tillegg for at også stabile løsninger blir sett på med nye øyne. Den ansvarlige lederen skal vite når bruken kan fortsette innenfor rammen, og når saken må løftes.
Eksempel: prioritering av kundeklager
En virksomhet bruker KI til å sortere og rangere kundeklager, slik at de viktigste sakene sendes først til saksbehandlerne. Løsningen står på A3 fordi KI styrer rekkefølgen, mens medarbeiderne kan overstyre.
I gjennomgangen oppdager ledergruppen at løsningen henter opplysninger fra tre kundesystemer. Ingen har kontrollert om alle tilgangene er nødvendige, og det er uklart hvem som kan endre prioriteringskriteriene.
Ledergruppen velger A2 som midlertidig maksimum og krever at en medarbeider godkjenner prioriteringen inntil tilgangene er gjennomgått og ansvaret for kriteriene er plassert. Teknologiledelsen dokumenterer tilgangen, kundeserviceledelsen eier formålet og kvaliteten, og saken skal behandles på nytt om fire uker.
Slik reduserer virksomheten risikoen samtidig som den gjør vilkårene for å gå tilbake til A3 tydelige.
A0 kan være et aktivt valg
A0 betyr at virksomheten velger å holde KI utenfor et bestemt arbeidsområde. Det kan være riktig når menneskelig skjønn er avgjørende, datagrunnlaget er svakt, konsekvensene er store eller nødvendige kontroller mangler.
Et A0-vedtak bør ha en begrunnelse, en eier og en dato for ny vurdering. Da kan beslutningen endres når kunnskapen, teknologien eller kontrollene blir bedre.
Valget gir medarbeiderne tydelighet om hvorvidt KI kan prøves ut lokalt i et område ledelsen ønsker å beskytte.
Dette bør dere gjøre nå
Bruk kartet fra forrige artikkel og velg tre områder der konsekvensene kan bli store. Fastsett det høyeste A-nivået dere vil tillate, og begrunn valget kort. Vedtaket bør beskrive hvem som eier bruken, hvem som kan stoppe den, hvordan resultatene kan forklares, og hvilken tilgang løsningen trenger. Avslutt med å bestemme hvilke endringer som skal utløse en ny vurdering, og registrer ansvarlig leder, dato og eventuelle midlertidige begrensninger i autonomikartet.
Sett gjerne av 45 minutter i ledergruppen til den første behandlingen. Bruk ett konkret område som prøve, og be gruppen vurdere hvilket tap den er villig til å akseptere dersom KI gjør feil. Samtalen bør omfatte kunder, ansatte, økonomi, sikkerhet og omdømme. Når svaret er tydelig, blir det lettere å velge både A-nivå og kontrollport.
Tydelige grenser gir handlingsrom
Når rammene er klare, kan teamene arbeide raskere innenfor det som er godkjent. De vet hvilke forsøk som kan gjennomføres lokalt, hvilke kontroller som kreves, og når ledergruppen må involveres.
Neste artikkel handler om hva som skjer når KI får tilgang til virksomhetens data og systemer og hvorfor slike tilganger bør behandles som fullmakter med tydelige grenser og ansvar.
Silje har bakgrunn fra lederroller i byrå- og vekstmiljøer innen tech og kommunikasjon, og har jobbet tett på struktur, prosesser og utvikling i organisasjoner i vekst. I dag jobber hun i Fortytwo, der hun arbeider med kommunikasjon, generativ AI og spørsmålene teknologien reiser om ansvar, beslutninger og hvordan mennesker og virksomheter påvirkes.
