Vilka AI-risker är mitt ansvar som vd, och vilka ska CIO:n eller CTO:n ta?

01 / 06 · Ansvaret

Varför kan CIO:n inte ta hand om alla AI-risker?

Ta ett bolag som tecknar specialförsäkringar. Där används AI för att snabbare ta fram offerter för standardrisker, medan riskbedömarna använder sitt omdöme när riskerna är mer komplexa. CIO:n sätter verktygets gränser. Du som vd måste avgöra om de skyddar bolaget utan att bromsa arbetet.

Bolaget behöver gränser när AI kan läsa uppgifter och utföra arbete i centrala system. Varje sådan åtgärd måste gå att kontrollera.

Era godkända verktyg måste vara lätta att använda i det dagliga jobbet. Tar varje uppgift för lång tid kan personalen föra över arbetsfiler till privata verktyg, där bolaget saknar insyn i uppgifter och resultat.

Risken har då flyttat. Det kan hända när ni spärrar bra verktyg utan att ge personalen ett annat sätt att få jobbet gjort. Essän The AI Leadership Gap Is Already Ridiculous (på engelska) tar upp hur jobbet då kan fortsätta utan de kontroller ni har satt upp.

CIO:n kan sköta kontrollerna, men styrelsen måste bestämma hur stor AI-risk företaget ska ta.

02 / 06 · Riskviljan

Vem bestämmer hur stor AI-risk företaget får ta?

Styrelsen bestämmer vilken risk företaget accepterar och vilken avkastning som motiverar den. Det beslutet kan styrelsen inte delegera, vilket checklistan för EU:s AI-förordning tar upp.

Hos försäkringsbolaget kan en felaktig uppgift spridas om AI får ändra uppgifter i många register utan att någon godkänner det. Men också väntan kan skada bolaget. Kräver varje rutinmässig offert ett godkännande kan arbetet bromsas om kravet blir kvar.

CIO:n visar vilka tekniska gränser som går att hålla, medan chefen för riskbedömningen visar vad de betyder för offertarbetet. Du måste väga följderna för er som helhet.

Väntan har ett pris. Snabbare konkurrenter kan vinna affärerna med standardrisker medan bolaget avvaktar, så den risken måste också ingå när du gör din bedömning. Men snabbare offerter räcker inte som skäl att ta vilken risk som helst.

När styrelsen har satt gränsen kan CIO:n omsätta den i tekniska regler.

03 / 06 · Tekniken

Vilka tekniska gränser ansvarar CIO:n för?

IT ansvarar för AI-agenternas identiteter och behörigheter samt för loggar över godkännanden och åtgärder. Det är centrala uppgifter för en IT-avdelning som arbetar med AI. Avdelningarna använder godkända verktyg inom de tekniska gränser som IT har satt.

Verktyget ska bara få läsa de uppgifter som behövs för att ta fram offerten. Börja med snäv åtkomst. Låt en person godkänna varje ändring av uppgifter så att CIO:n kan följa vilka förslag som godkänns och vilka som måste rättas.

När personen slutar rätta förslagen har CIO:n belägg för att verktyget klarar just dessa ändringar. Då kan åtkomsten utökas stegvis. Därför kräver AI-agenters åtkomst till företagets system flera beslut längs vägen.

CIO:n bör granska nekade åtgärder och tillfällen då en person har ändrat agentens beslut. Granska också incidenter där en agent har varit inblandad.

Kontrollerna visar om de tekniska gränserna håller i praktiken. Inom dessa gränser behöver varje AI-tillämpning en namngiven chef som ansvarar för hur den används i verksamheten.

04 / 06 · Verksamheten

Vem ansvarar för AI i det dagliga arbetet?

Hos försäkringsbolaget ansvarar chefen för riskbedömningen för hur AI används i offertarbetet. CIO:n styr verktyget. Ansvaret för offerten ligger kvar i verksamheten, där verktyget kan ta fram beräkningar för standardofferter så att rutinarbetet går fortare. Komplexa risker kräver fortfarande en riskbedömares omdöme.

Vem får stoppa offerten? Namnge den riskbedömare som kan ingripa innan offerten skickas till kunden, så att löftet om mänsklig granskning anger både vem och när.

Den som ansvarar för resultatet måste också fatta de beslut som avgör det. Samma princip gäller för en ledningsgrupp som arbetar med AI. AI kan förbereda arbetet. Besluten fattas av människorna som bär ansvaret.

Om riskbedömarna börjar ändra fler offertförslag ska den ansvariga chefen granska hur AI används. Ändras risken måste chefen lyfta frågan vidare.

CIO:n håller verktyget inom de tekniska gränserna, medan verksamhetens chef ansvarar för hur det används. Vid svåra bedömningar ger bolagets jurister råd.

05 / 06 · Juridiken

Vad beslutar juristerna om?

Juristerna granskar vilka fakta som saknas och förklarar vilka skyldigheter företaget har. Det ger chefen stöd för sitt beslut.

Hur ska bolagets AI klassificeras? Försäkringsbolagets jurister kan behöva granska frågan och begära mer underlag innan bolaget går vidare, eller ifrågasätta den ansvariga chefens bedömning.

En juridik- och regelefterlevnadsavdelning som arbetar med AI kan förbereda stora delar av granskningen. Människor måste fortfarande godkänna avsteg och besluta vilka risker bolaget ska acceptera.

Lagligt kan vara en dålig affär. Chefen för riskbedömningen måste själv avgöra om bolaget ska gå vidare efter juristernas råd, även när bolaget uttryckligen har valt att ta risken.

Den namngivna chefen avgör om nyttan motiverar risken, så länge beslutet ryms inom styrelsens gräns. Annars måste frågan lyftas. Skriv ner både beslutet och vägen vidare i bolagets lista över pågående AI-arbete.

06 / 06 · Överblicken

Skriv ner hela ansvarskedjan för varje AI-tillämpning

Börja med jobbet som faktiskt utförs, så att listan säger mer än verktygens namn. För försäkringsbolaget kan raden vara: ”AI hjälper riskbedömarna att ta fram standardofferter.”

Pröva offertarbetet mot styrelsens riskgräns. Ange chefen för riskbedömningen som ansvarig för hur AI används och namnge riskbedömaren som kan stoppa en offert innan den skickas till kunden.

Skriv att IT begränsar vilka uppgifter offertverktyget får läsa och att en person till en början godkänner varje ändring. Ange juristerna som rådgivare när ni behöver hjälp med att klassificera hur AI används.

Nu kan du se om offertarbetet håller sig inom den risk styrelsen har godkänt. Ska verktyget få större åtkomst? Då måste du pröva ändringen innan den genomförs, liksom när verktyget ska fatta ett beslut som hittills har tillhört riskbedömaren. Kräver ändringen att bolaget accepterar mer risk tar du frågan till styrelsen.

Efter en incident ska du granska all användning som visat sig ligga utanför den godkända riskgränsen. Behöver själva gränsen ändras tar du frågan till styrelsen.

Håll listan aktuell. Granska varje tillämpning när åtkomsten till systemen utökas eller när följderna för verksamheten ändras. Börja nästa genomgång med styrelsen med den användning som ligger utanför gränsen.