Hva er AI-styring (AI governance) – og hvorfor trenger virksomheter det? 

Kunstig intelligens er i ferd med å bli en naturlig del av arbeidslivet. Ansatte bruker ChatGPT til tekstproduksjon, utviklere benytter AI-assistenter til programmering, og stadig flere IT-systemer får innebygde AI-funksjoner. 

For mange virksomheter skjer dette raskere enn etableringen av retningslinjer, ansvar og kontrollmekanismer. Resultatet er at AI tas i bruk uten at ledelsen nødvendigvis vet hvordan, hvor eller til hvilke formål teknologien brukes. 

«AI governance» er blitt et av de viktigste begrepene innen kunstig intelligens. Enkelt forklart handler det om hvordan virksomheter styrer, kontrollerer og følger opp bruken av AI. På norsk kan AI governance oversettes til AI-styring eller styring av kunstig intelligens. 

Governance er et engelsk begrep som brukes innen områder som kvalitet, informasjonssikkerhet, personvern og virksomhetsstyring. Det beskriver hvordan en organisasjon etablerer ansvar, regler, prosesser og kontrollmekanismer for å sikre at et område styres på en ønsket måte. 

Når vi snakker om AI governance, handler det derfor ikke om selve teknologien, men om hvordan virksomheten styrer bruken av kunstig intelligens. 

På norsk brukes ofte begreper som AI-styring, styring av kunstig intelligens eller styringsmodell for AI. 

AI governance handler om å etablere regler, ansvar, prosesser og kontrollmekanismer for hvordan kunstig intelligens brukes i virksomheten. 

Målet er ikke å begrense innovasjon eller hindre bruk av AI. Tvert imot handler AI-styring om å legge til rette for trygg, effektiv og ansvarlig bruk av teknologien. 

Et AI governance-program skal bidra til at virksomheten: 

• bruker AI på en kontrollert måte 
• håndterer risiko knyttet til AI 
• oppfyller relevante lovkrav 
• beskytter informasjon og personopplysninger 
• sikrer kvalitet og pålitelighet i AI-baserte prosesser 
• dokumenterer hvordan AI brukes og følges opp 

Kort sagt handler AI governance om styring av kunstig intelligens på samme måte som virksomheter allerede styrer kvalitet, informasjonssikkerhet og personvern. 

På få år har AI gått fra å være en nisjeteknologi til å bli et verktøy som brukes av ansatte i nesten alle funksjoner. 

Ledere bruker AI til analyse og beslutningsstøtte. Markedsavdelinger bruker AI til innholdsproduksjon. HR benytter AI i rekruttering og kompetanseutvikling. Utviklere bruker AI til kodegenerering og testing. 

Samtidig øker både risikoen og kravene til kontroll. 

Behovet for AI-styring vokser raskt, og det skyldes blant annet følgende.

Selv om virksomheten ikke har innført egne AI-løsninger, bruker ansatte ofte AI-verktøy på eget initiativ. Dette kan skape utfordringer knyttet til sikkerhet, kvalitet og etterlevelse. 

Når AI brukes som beslutningsstøtte eller til automatisering av prosesser, blir det viktig å forstå hvordan resultatene er generert og hvilke begrensninger teknologien har. 

AI-systemer behandler ofte store mengder data. Uten klare retningslinjer kan sensitiv informasjon deles med eksterne tjenester eller brukes på en måte som ikke er i tråd med virksomhetens krav. 

EU AI Act innfører nye krav til virksomheter som utvikler, leverer eller bruker AI-systemer. Selv om kravene varierer ut fra risiko og bruksområde, er retningen tydelig: AI må styres og dokumenteres. 

Flere virksomheter begynner allerede å stille spørsmål om hvordan leverandører bruker kunstig intelligens. På samme måte som informasjonssikkerhet og personvern har blitt en del av anskaffelsesprosesser, vil AI-styring bli et stadig viktigere tema. 

AI kan skape betydelig verdi, men ukontrollert bruk kan også føre til problemer. 

Ansatte kan ubevisst dele konfidensiell informasjon med AI-tjenester uten å kjenne til hvordan dataene behandles. 

AI kan generere innhold som fremstår korrekt, men som inneholder feil eller oppdiktet informasjon. Dersom dette brukes ukritisk, kan det føre til feil beslutninger eller redusert kvalitet. 

I mange virksomheter finnes det ingen oversikt over hvilke AI-verktøy som brukes, hvem som bruker dem eller hvilke oppgaver de benyttes til. 

AI-modeller kan produsere resultater som påvirkes av skjevheter i treningsdata eller algoritmer. Dette kan få konsekvenser for blant annet rekruttering, kundebehandling og beslutningsprosesser. 

Uten klare regler kan ulike avdelinger utvikle egne praksiser for bruk av AI. Det gjør det vanskelig å sikre enhetlig styring og kontroll. 

Et AI governance-program trenger ikke å være komplisert, men det bør dekke noen sentrale områder. 

Virksomheten må definere hvem som har ansvar for AI-relaterte beslutninger, oppfølging og risikohåndtering. 

Ansatte trenger tydelige rammer for hva AI kan brukes til, hvilke verktøy som er godkjent og hvordan informasjon skal håndteres. 

Bruk av AI bør vurderes på samme måte som andre teknologiske løsninger. Risiko knyttet til sikkerhet, personvern, kvalitet og etterlevelse må identifiseres og håndteres. 

Ansatte må forstå både mulighetene og begrensningene ved AI. Mange av risikoene knytter seg til manglende kompetanse og feil bruk. 

Virksomheten bør etablere mekanismer for å følge opp hvordan AI brukes og sikre at retningslinjer etterleves. 

Det bør være mulig å dokumentere hvilke AI-løsninger som brukes, til hvilke formål og hvilke vurderinger som er gjort. 

For virksomheter som benytter eksterne AI-løsninger, er det viktig å vurdere leverandører på samme måte som andre kritiske systemleverandører. 

ISO 42001 er verdens første internasjonale standard for styringssystemer for kunstig intelligens. 

Standarden beskriver hvordan virksomheter kan etablere, vedlikeholde og kontinuerlig forbedre et AI-styringssystem. 

Mange av elementene som inngår i AI governance finner vi igjen i ISO 42001, blant annet: 

• roller og ansvar 
• risikostyring 
• styring av AI-systemer 
• dokumentasjon 
• overvåking og forbedring 
• kompetanse og opplæring 

For virksomheter som ønsker en strukturert og anerkjent tilnærming til AI-styring, gir ISO 42001 et konkret rammeverk å bygge på. 

Mange virksomheter har allerede et godt utgangspunkt. 

Har dere etablert styringssystemer basert på ISO 9001, ISO 27001 eller lignende standarder, finnes det ofte prosesser og arbeidsformer som kan videreføres til AI-området. 

Et godt første steg er å kartlegge: 

• hvilke AI-verktøy som brukes i dag 
• hvilke prosesser som påvirkes av AI 
• hvilke risikoer som er relevante for virksomheten 
• hvilke retningslinjer som mangler 

Deretter kan virksomheten etablere nødvendige roller, retningslinjer og kontrollmekanismer som en del av det eksisterende styringssystemet. 

Som teknologibedrift med erfaring både fra styringssystemer og praktisk bruk av AI ser vi ofte at utfordringen ikke handler om dokumentasjon alene. Like viktig er det å forstå hvordan AI faktisk brukes i organisasjonen, hvilke prosesser som påvirkes, og hvordan teknologien kan styres på en måte som skaper verdi uten å introdusere unødvendig risiko. 

Våre rådgivere har lang erfaring med etablering og forbedring av styringssystemer basert på blant annet ISO 9001 og ISO 27001. Samtidig jobber vi i en teknologibedrift hvor AI brukes aktivt i både utvikling, drift og interne arbeidsprosesser. Denne kombinasjonen gjør oss i stand til å koble kravene i standardene med den praktiske virkeligheten virksomheter står i. 

Vi hjelper virksomheter med rådgivning, etablering og videreutvikling av styringssystemer for AI. Ta kontakt for å høre hvordan vi kan hjelpe deg!