Hvem har myndighet til å stanse KI-løsningen?

Økonomi24 skrev nylig om at medarbeidere uten utviklerbakgrunn nå selv kan bygge KI-løsninger.

Det er ikke bare gode nyheter, mener Deloitte-manager Jan-Haakon Tvete.

– I dag trenger man ikke engang å være utvikler for å bygge en spare-app for en bank. Fra et sikkerhets- og risikoperspektiv må jeg innrømme at det gir meg frysninger nedover ryggen, sier Tvete, som snakket på et seminar hos Deloitte i Oslo 28. oktober.

Han kjenner likevel godt til presset for å komme raskt i gang. Medarbeiderne etterspør verktøy, kundene har forventninger, og konkurrentene virker å ligge langt foran.

Utdatert før den er tatt i bruk

Problemet er at teknologien beveger seg raskere enn beslutningsprosessene. Ved et tradisjonelt teknologivalg kartlegger man alternativene, vurderer scenarioer og veier fordeler mot ulemper før man bestemmer seg.

– Hvis man hadde startet en slik prosess for KI for seks måneder siden, ville man kanskje vært ferdig i dag. Men da ville løsningen allerede vært utdatert, sier Tvete.

Mange hopper derfor over prosessen og implementerer KI i høyt tempo. Det har en pris, mener han:

– Baksiden av medaljen er at vi sannsynligvis aldri har sett flere sikkerhets- og GDPR-brudd enn det vi ser akkurat nå.

Han vil likevel ikke bremse. Svaret hans er KI-styring, det som på engelsk kalles AI governance: kontroll, fullmakter, rolleavklaring og ansvarsfordeling.

– Gjør det enkelt å velge trygt

– KI-styring handler ikke om å produsere flest mulig retningslinjer og policydokumenter, men om å gjøre det enkelt for organisasjonen å velge trygge løsninger, slik at medarbeiderne vet nøyaktig hva de kan og ikke kan gjøre, sier Tvete.

Det begynner med verktøykassen. Deloitte ser ofte virksomheter med svært ambisiøse KI-strategier, men med verktøy som ikke står i stil, forteller han.

– Vi vet av ryggmargen at vi åpner Excel for å regne og Word for å skrive. Det sitter ennå ikke like godt når det gjelder KI-verktøy, men den logiske koblingen må være der. Krever strategien at du skal skru inn en skrue, hjelper det lite å bare ha vater og målebånd i verktøykassen.

Etter hvert som verktøykassen vokser, må den organiseres i det Tvete kaller domener, ut fra hvor arbeidsprosessene faktisk foregår.

– Jobber du i økonomiavdelingen, skal det ikke være din oppgave å lete frem alle verktøy som kan hjelpe deg. Du skal kunne gå til ett definert sted og bli ledet videre til de relevante verktøyene derfra.

Klarsignal og stoppknapp

Like viktig er det å avklare hvem som bestemmer. Ledelsen må være med og forankre strategien, men det er ikke nok.

– Det må defineres eksplisitt: Hvem har myndighet til å stanse en løsning? Hvem kan gi klarsignal for utrulling? Og hvem har det overordnede ansvaret? sier han.

Svarene spriker. I PwCs undersøkelse Digital Trust Insights, som Økonomi24 nylig omtalte, oppgir 29 prosent av topplederne og sikkerhets- og risikolederne at ansvaret for KI-styring og KI-risiko ligger hos teknologifunksjonen, 26 prosent hos en egen KI-leder og 17 prosent hos sikkerhetsfunksjonen.

For å vite hvor risikoen ligger, trenger virksomheten også innsyn. Den må vite hvem som bruker verktøyene, hva de brukes til, hvilke data de har tilgang til og hvilke beslutninger KI påvirker. Tilgangsstyring, konkurransesensitiv informasjon og cybersikkerhet er ikke nye problemstillinger, påpeker Tvete:

– Likevel må dette ivaretas også her, og det bør ikke isoleres fra virksomhetens eksisterende sikkerhetsorganisasjon.

Når autonome agenter utfører oppgaver på vegne av mennesker, må også det samspillet inn i rammene, mener han. Økonomi24 har tidligere omtalt hvorfor økonomiledelsen bør sette grensene før KI får handle på egen hånd.

Kontroll etter konsekvens

Kollega Hanne Helseth, også manager i Deloitte, viser til Deloitte-rapporten «State of AI in the Nordics», som Økonomi24 omtalte da den kom i april. Der oppgir 77 prosent av de nordiske virksomhetene at tilliten til KI har økt betraktelig siden 2022. Samtidig er 84 prosent bekymret for personvern og sikkerhet.

Mange gjør noe med det: 68 prosent har forbedret datasikkerheten, og 64 prosent jobber med å styrke datakvaliteten i KI-initiativene sine.

Ifølge Helseth er første steg å definere nøyaktig hva KI skal brukes til.

– Det kreves en helt annen grad av kontroll hvis KI bare skal brukes til å lage tekstutkast eller sette opp en møteagenda, enn hvis teknologien skal støtte store strategiske beslutninger eller prosesser som direkte berører enkeltmennesker, sier Helseth.

Jo større konsekvensene av en feil er, desto viktigere er kontroll og obligatoriske menneskelige vurderinger. Mange virksomheter har allerede sikkerhetsrutiner og risikorammeverk de kan bygge videre på. For mange økonomidirektører er det internkontrollen de allerede har ansvaret for.

– Det er viktig at ansvaret forankres og tildeles tidlig. Da kan man heller gjøre trinnvise forbedringer underveis, etter hvert som man høster erfaringer og bygger kompetanse, sier hun.