For mange ledere er spørsmålet ikke lenger om virksomheten bruker AI, men hvor mye den brukes, hvilke prosesser den påvirker, og hvilke krav som allerede gjelder eller vil gjelde for den.
Utfordringen er at mange virksomheter ikke har tilstrekkelig oversikt til å kunne svare på disse spørsmålene. Det er her en vurdering av beredskap for AI Act kommer inn.
Hva er beredskap for AI Act?
Beredskap for AI Act (AI Act readiness) handler om en strukturert vurdering av virksomhetens bruk av kunstig intelligens med formål å identifisere hvordan AI Act kan påvirke organisasjonen.
Vurderingen gir ledelsen et grunnlag for å forstå:
- hvilke AI-systemer som er i bruk
- hvilke prosesser som påvirkes av AI
- hvilke deler av virksomheten som kan omfattes av strengere krav
- hvilke tiltak som bør prioriteres videre
Målet er ikke å dokumentere full etterlevelse av AI Act. Målet er å skaffe oversikt og forståelse nok til å kunne planlegge videre arbeid på en risikobasert måte.
Hvorfor bør virksomheter starte nå?
For de fleste organisasjoner vil den største utfordringen ikke være å skrive dokumentasjon eller etablere nye prosedyrer. Den største utfordringen vil være å forstå hvordan kunstig intelligens faktisk brukes i virksomheten.
Jo større organisasjonen er, desto vanskeligere blir dette.
AI brukes i dag gjennom:
- generative AI-verktøy som ChatGPT, Copilot og Gemini
- AI-funksjoner i eksisterende forretningssystemer
- analyse- og beslutningsstøtteverktøy
- leverandørløsninger som inneholder AI-funksjonalitet
Mange virksomheter kan derfor ha en langt større AI-portefølje enn ledelsen er klar over.
AI Act påvirker ikke alle virksomheter likt
AI Act er risikobasert og konsekvensene av regelverket avhenger i stor grad av hvordan AI brukes. Det betyr at ingen kan avgjøre hvor stor betydning AI Act får uten først å kartlegge virksomhetens AI-portefølje.
Hva inngår i en vurdering av beredskap for AI Act?
En typisk vurdering vil omfatte følgende.
Kartlegging av AI-porteføljen
Hvilke AI-løsninger finnes i virksomheten?
Analyse av bruksområder
Hvilke prosesser, beslutninger og arbeidsoppgaver påvirkes av AI?
Vurdering av regulatorisk eksponering
Kan noen av løsningene omfattes av høyrisikokategoriene i AI Act?
Vurdering av styring og kontroll
Har virksomheten tilstrekkelige retningslinjer, roller og prosesser for AI-bruk?
Identifisering av tiltak
Hvilke områder bør prioriteres videre?
En beredskapsvurdering gir et beslutningsgrunnlag
Det er lett å hoppe rett til diskusjoner om AI-styring, AI-policy eller ISO/IEC 42001.
For mange virksomheter er det imidlertid vanskelig å vite hvilke tiltak som er nødvendige før de har fått oversikt over dagens situasjon.
En vurdering av beredskap for AI Act gir ledelsen et faktabasert grunnlag for å vurdere risiko, prioriteringer og videre arbeid.
For noen virksomheter vil vurderingen vise at dagens AI-bruk representerer begrenset regulatorisk risiko. For andre kan den avdekke behov for mer omfattende tiltak knyttet til styring, dokumentasjon og internkontroll.
Start med oversikt
AI Act kommer ikke til å påvirke alle virksomheter på samme måte. Hvor stor betydning regelverket får, avhenger av virksomhetens AI-portefølje, bruksområder og risikoprofil.
Derfor er det første og viktigste steget å etablere oversikt.
Virksomheter som starter dette arbeidet tidlig vil være bedre rustet til å møte både regulatoriske krav og den videre utviklingen innen kunstig intelligens.
Usikker på hvordan AI Act påvirker dere?
Snakk med oss om en vurdering av beredskap for AI Act.
Mirjam Meling
Markeds- og kommunikasjonssjef
Produserer innhold for Certain QMS om ledelsessystemer, kvalitetsstyring, informasjonssikkerhet og AI-styring. Hun samarbeider med fagspesialister for å formidle komplekse temaer på en tydelig og praktisk måte.
