ISO 42001 – den nye ledelsesstandard for kunstig intelligens

Men hvordan sikrer vi, at AI anvendes ansvarligt, sikkert og kontrolleret?

Det er netop baggrunden for ISO/IEC 42001 – verdens første internationale ledelsessystemstandard for kunstig intelligens.

AI skal styres – ikke blot anvendes

Mange virksomheder fokuserer i dag på de muligheder, som AI giver. Det er naturligvis vigtigt. Men lige så vigtigt er det at forstå de risici og konsekvenser, som følger med teknologien.

Et traditionelt IT-system udfører som udgangspunkt de samme handlinger hver gang. AI-systemer er anderledes. De kan generere nyt indhold, lære af data, træffe anbefalinger og i nogle tilfælde udvikle sig på måder, som ikke altid er fuldt forudsigelige.

Derfor opstår nye spørgsmål:

Hvem har ansvaret for AI-løsningerne?
Hvordan sikrer vi kvaliteten af de svar, som AI genererer?
Hvordan opdager vi fejl og bias?
Hvordan beskytter vi fortrolige oplysninger?
Hvordan sikrer vi, at AI anvendes etisk og lovligt?

ISO 42001 er udviklet for at skabe struktur omkring disse spørgsmål.

Ikke kun for softwarevirksomheder

En af de mest almindelige misforståelser omkring ISO 42001 er, at standarden kun er relevant for virksomheder, som udvikler kunstig intelligens. Det er ikke tilfældet.

Standarden er relevant for enhver organisation, der anvender AI som en del af sine arbejdsprocesser.

Det gælder eksempelvis:

Produktionsvirksomheder
Handelsvirksomheder
Servicevirksomheder
Hospitaler
Banker
Offentlige myndigheder
Konsulenthuse
Uddannelsesinstitutioner

Hvis medarbejdere anvender AI til at skabe indhold, analysere data, understøtte beslutninger eller kommunikere med kunder, er virksomheden allerede berørt af de problemstillinger, som ISO 42001 adresserer.

En velkendt struktur

For virksomheder, der allerede arbejder med ISO 9001, ISO 14001 eller ISO 27001, vil opbygningen af ISO 42001 virke velkendt.

Standarden følger den fælles High Level Structure, som i dag anvendes på tværs af de seneste versioner af ISO-standarderne for ledelsessystemer.

Det betyder, at denne standard – som de øvrige omfatter:

Organisationens kontekst / Rammer og vilkår
Lederskab
Planlægning
Støtteaktiviteter og -funktioner
Drift
Evaluering
Forbedring

Mange af principperne vil derfor være genkendelige for organisationer med erfaring inden for kvalitetsledelse, informationssikkerhed eller miljøledelse.

AI-governance – hjertet i standarden

Et af de vigtigste områder i ISO 42001 er AI-governance.

AI-governance handler grundlæggende om at skabe styring og ansvarlighed omkring organisationens anvendelse af kunstig intelligens.

Virksomheden skal blandt andet tage stilling til:

Hvilke AI-værktøjer må anvendes?
Hvem godkender nye AI-løsninger?
Hvilke data må anvendes i AI-systemer?
Hvordan overvåges AI-systemernes performance?
Hvordan håndteres fejl og utilsigtede konsekvenser?

Mange virksomheder vil have behov for at etablere klare roller og ansvarsområder, så anvendelsen af AI ikke udvikler sig til det, man kan kalde "skygge-AI", hvor medarbejdere anvender forskellige AI-værktøjer uden fælles retningslinjer og kontrol.

AI-risikovurderinger

Risikostyring er et velkendt begreb i mange ledelsessystemer.

ISO 42001 introducerer dog en række nye risikotyper, som virksomheder skal forholde sig til. Eksempler kan være:

Teknologiske risici

Hallucinationer og fejlagtige svar
Manglende robusthed
Forkerte analyser og anbefalinger

Datasikkerhedsrisici

Lækage af fortrolige oplysninger
Utilstrækkelig adgangskontrol
Datakvalitetsproblemer

Juridiske risici

Overtrædelse af GDPR
Ophavsretlige problemstillinger
Manglende overholdelse af kommende AI-regulering

Etiske risici

Diskrimination
Bias
Manglende gennemsigtighed

Omdømmerisici

Tab af tillid hos kunder
Negativ omtale
Fejlagtige beslutninger med stor synlighed

Organisationen skal identificere, vurdere og håndtere disse risici på samme systematiske måde, som vi kender det fra andre ledelsessystemer.

AI-konsekvensvurderinger – standardens mest interessante element

Efter min vurdering er AI-konsekvensvurderinger et af de mest spændende elementer i ISO 42001.

Traditionelle risikovurderinger fokuserer ofte på virksomhedens egne risici. AI-konsekvensvurderinger går et skridt videre.

Her vurderes det, hvordan AI kan påvirke:

Kunder
Medarbejdere
Leverandører
Borgere
Samfundet generelt

Et eksempel kunne være anvendelse af AI til screening af jobansøgninger. Selv hvis løsningen fungerer teknisk korrekt, skal virksomheden stadig vurdere:

Behandles ansøgere retfærdigt?
Forekommer der diskrimination?
Kan beslutningerne forklares?
Er der mulighed for menneskelig indgriben?

Det samme gælder inden for kundeservice, sundhedssektoren, finansielle tjenester og mange andre områder.

Her bevæger vi os ind i en diskussion om etik, ansvarlighed og samfundsmæssige konsekvenser – emner som tidligere kun i begrænset omfang har været en del af klassiske ledelsessystemer.

Data bliver endnu vigtigere

AI-systemers kvalitet afhænger af kvaliteten af de data, de arbejder med.

Derfor lægger ISO 42001 stor vægt på datastyring.

Organisationen skal sikre:

Kendte datakilder
Tilstrækkelig datakvalitet
Beskyttelse af personoplysninger
Kontrol med adgangsrettigheder
Korrekt håndtering af følsomme oplysninger
På dette område vil der ofte være et tæt samspil med GDPR, informationssikkerhed og eventuelle krav fra ISO 27001.

Kompetencer og bevidsthed

Mange organisationer undervurderer betydningen af medarbejdernes kompetencer inden for AI.

ISO 42001 stiller krav om, at medarbejdere forstår:

Hvad AI kan anvendes til
Hvad AI ikke kan anvendes til
Risici ved anvendelsen
Virksomhedens interne retningslinjer

Det handler ikke om at gøre alle medarbejdere til AI-specialister. Det handler om at skabe den nødvendige forståelse, så teknologien anvendes forsvarligt.

Intern audit og ledelsens evaluering

Som i andre ISO-standarder skal organisationen løbende evaluere sit AI-ledelsessystem.

Det sker blandt andet gennem:

Intern audit
Overvågning af AI-systemernes performance
Håndtering af hændelser og afvigelser
Ledelsens evaluering

Formålet er at sikre, at organisationens styring af AI fortsat er effektiv og relevant.

En standard med stor fremtid

Jeg er overbevist om, at ISO 42001 i de kommende år vil få stor betydning for mange organisationer.

Ikke nødvendigvis fordi alle virksomheder straks vil søge certificering, men fordi standarden adresserer nogle af de mest centrale udfordringer ved anvendelsen af kunstig intelligens.

Virksomheder efterspørger allerede i dag klare retningslinjer for ansvarlig anvendelse af AI. Kunder, myndigheder og samarbejdspartnere forventer i stigende grad dokumentation for, hvordan AI anvendes og kontrolleres.

ISO 42001 giver et solidt fundament for dette arbejde.

Opsummering

Kunstig intelligens rummer enorme muligheder for effektivisering, innovation og værdiskabelse. Men teknologien skal anvendes med omtanke.

For mig er essensen af ISO 42001 ganske enkel: Det handler ikke om at begrænse brugen af AI. Det handler om at sikre, at AI anvendes ansvarligt, transparent, sikkert og under menneskelig kontrol.

Jeg oplever allerede i dag virksomheder, hvor AI anvendes i stor stil uden fælles spilleregler. Medarbejderne gør det bedste, de kan, men ledelsen har ofte ikke taget stilling til, hvilke værktøjer der må anvendes, hvilke data der må deles, eller hvordan kvaliteten af resultaterne skal vurderes.

Derfor tror jeg også, at ISO 42001 vil blive en interessant og betydningsfuld ledelsesstandard i de kommende år.

Lasse Michael Ahm
Adm. direktør
TOPmanager A/S

Mere fra...