Dette bør styremedlemmer gjøre nå for å styre bruken av kunstig intelligens

Det innebærer å skille mellom meningsfulle resultatmål og aktivitetsmål. Antall piloter, kjøpte programvarelisenser eller ansatte som har fått opplæring, kan vise at det skjer noe. Men tallene dokumenterer ikke i seg selv at AI skaper verdi. Styret bør be ledelsen rapportere om oppnådde resultater, kostnader, begrensninger og risiko – i tillegg til bruk og adopsjon.

En slik tilnærming kan også motvirke to vanlige problemer: at virksomheten godkjenner løsrevne eksperimenter uten en plan for oppskalering, eller at nyttig bruk stanses fordi ingen har definert hva suksess betyr. Guidens vekt på strategi, valg av bruksområder og avkastning skal knytte AI-investeringene tettere til virksomhetens overordnede prioriteringer.

Få de ansattes eksperimentering inn under styringen

Ansatte kan allerede bruke AI-verktøy uformelt eller utvikle egne arbeidsmåter. Guiden anbefaler ikke at virksomheten overser dette. I stedet bør nyttig eksperimentering gjøres om til en organisert og styrt kapasitet.

Styret bør forvente at ledelsen har oversikt over hvilke verktøy og bruksområder som er i bruk, hvem som har ansvaret, hvilke data som behandles og hvilke kontroller som gjelder. Blant anbefalingene er å dokumentere verktøy som er bygget med AI, etablere styring for bruken og sikre at krav til trygghet blir fulgt.

I praksis krever dette felles regler for godkjente verktøy, sensitiv informasjon, ansvar, overvåking og eskalering. Det betyr også at virksomheten bør kartlegge og videreutvikle de AI-ferdighetene som allerede finnes blant de ansatte, i stedet for å behandle innføringen som noe som bare kommer ovenfra.

En strategi uten en plan for kompetanse, eierskap og arbeidsprosesser vil ha vanskelig for å gå fra utprøving til stabil drift.

Hele styret må kunne nok til å utfordre ledelsen

Guiden omtaler AI-kompetanse som en styrekompetanse. Ikke alle styremedlemmer trenger å bli eksperter på maskinlæring. Men styret som helhet bør forstå hvordan AI kan påvirke bransjen, forretningsmodellen, konkurransen, beslutningene og risikobildet.

Flere styremedlemmer bør kunne stille kritiske spørsmål ved ledelsens antakelser, verdiberegninger og risikovurderinger. Styret bør også ha tilgang til minst én person – enten et styremedlem, en rådgiver eller et medlem av et styreutvalg – med tilstrekkelig teknisk innsikt til å utfordre valg knyttet til systemer, data, testing og kontrollmekanismer.

Dette er mer ambisiøst enn å plassere AI i et teknologidisiplinert styreutvalg og vente på periodiske statusrapporter. AI blir i stedet en del av styrets strategiske og forvaltningsmessige tilsyn, samtidig som styret fortsatt må hente inn spesialistråd når de tekniske spørsmålene går utover egen kompetanse.

Avklar hvem som kan beslutte – før systemene tas i bruk

AI-styring blir først praktisk når virksomheten har bestemt hvem som kan godkjenne, bruke, overvåke og stanse et AI-system. Styret bør kreve risikobaserte beslutningsgrenser som skiller mellom:

• beslutninger ledelsen kan ta innenfor godkjente rammer;
• beslutninger som må løftes til styret eller et styreutvalg; og
• beslutninger AI aldri skal ta selvstendig.

Jo større konsekvensene er, desto strengere bør kontrollene være. Ved bruk av AI i arbeidslivet – blant annet ved rekruttering, forfremmelse, oppsigelse og vurdering av prestasjoner – bør styret sette tydelige grenser for reell menneskelig gjennomgang og ansvarlige beslutningstakere. Et AI-svar bør ikke bli en ukontrollert, automatisert avgjørelse om et menneskes arbeid og levebrød.

Prinsippet samsvarer med den bredere forventningen om at AI skal støtte, ikke i det stille erstatte, menneskelig dømmekraft. Før systemet settes i drift, bør det derfor være klart hvem som eier det, når godkjenning kreves, hvor menneskelig kontroll skjer og hvordan systemet kan stoppes.

Krev testing av rettferdighet, datakvalitet og klagemuligheter

En ansvarlig godkjenningsprosess kan ikke stoppe ved spørsmålet om modellen fungerer godt i gjennomsnitt. Styret bør spørre hvordan virksomheten tester datakvalitet, dokumenterer begrensninger, undersøker mulig skjevhet og følger med på ytelsen etter lansering.

Når et AI-system påvirker mennesker på en vesentlig måte, bør de berørte ha en reell mulighet til å forstå beslutningen, bestride utfallet og be om en ny vurdering av et menneske. Forklaringen trenger ikke avsløre forretningshemmeligheter eller alle tekniske detaljer, men den må være god nok til at beslutningen kan etterprøves og påklages.

Dette inngår i et bredere kontrollmiljø. Singapores materiale om virksomhetsstyring beskriver behovet for transparente og ansvarlige AI-beslutninger, samt oppmerksomhet på regulatoriske og etiske standarder. Styrets oppgave er å sørge for at prinsippene blir til dokumenterte prosesser med tydelig eierskap og sporbare bevis.

Se AI som en del av cyber- og driftsberedskapen

AI skaper en sikkerhetsutfordring i to retninger. Virksomheter må forberede seg på AI-forsterket phishing, sosial manipulering, svindel, automatiserte angrep og raskere oppdagelse av sårbarheter. Samtidig må selve AI-systemene beskyttes mot datalekkasjer, prompt-injeksjon, modellmanipulering og svakheter hos leverandører eller andre tredjeparter.

Derfor bør AI-risiko inngå i rapporteringen om cybermotstandskraft, kontrollarbeid og hendelseshåndtering – ikke ligge i en separat teknologisk silo. Sentrale spørsmål er hvem som kan deaktivere et system, hvordan hendelser skal rapporteres, hvordan berørte data og beslutninger skal granskes, og hvordan virksomheten kommer tilbake i drift dersom en AI-tjeneste blir utilgjengelig eller kompromittert.

Dette bygger videre på styrets eksisterende ansvar for cyberberedskap og risikostyring. SID har også i sin cyberveileder lagt vekt på at motstandskraft må bygges inn i virksomhetens strategi, fremfor å behandles som en rent teknisk oppgave.

Still høyere krav til kritiske systemer

Konsekvensene av en AI-feil varierer kraftig fra bruksområde til bruksområde. Et internt verktøy med lav risiko krever ikke samme oppfølging som et system som støtter kritiske tjenester, kritisk infrastruktur eller annen virksomhet med store følger ved svikt.

I slike miljøer bør styret kreve strengere krav til motstandskraft, sikkerhet, testing, overvåking, eskalering og gjenoppretting. Grunnen er enkel: En feil eller kompromittering kan ramme mer enn virksomhetens økonomi eller omdømme. Den kan også forstyrre viktige tjenester eller få bredere driftsmessige konsekvenser.

Den risikobaserte tilnærmingen betyr at alle AI-applikasjoner ikke skal behandles likt. Myndighet og kontroll må stå i forhold til hva som kan gå galt – og hvor alvorlig det vil være.

Et praktisk styredashboard for viktige AI-bruksområder

Anbefalingene kan omsettes til et kort register eller dashboard på styrenivå. For hvert vesentlig bruksområde bør ledelsen kunne oppgi:

1. Eier: Hvem har ansvaret for systemet og resultatene?
2. Forventet virksomhetsresultat: Hva skal oppnås, og hvordan måles suksess?
3. Beslutningsmyndighet: Hvilke grenser og eskaleringspunkter gjelder?
4. Datakilder og regler for databehandling: Hvilke data brukes, og hvordan håndteres de?
5. Risikoklasse: Hvorfor er bruksområdet plassert på dette risikonivået?
6. Kontroller: Hvilke sikkerhets-, rettferdighets- og datakvalitetskontroller finnes?
7. Menneskelig kontroll: Hvor skjer gjennomgangen, og hvem har ansvaret for den endelige avgjørelsen?
8. Test- og overvåkingsresultater: Hva viser testene, og hvilke begrensninger er kjent?
9. Hendelser, klager eller anker: Hva har skjedd, og hvordan ble det håndtert?
10. Neste gjennomgang: Når skal bruken vurderes på nytt, eller hvilke hendelser utløser en ny vurdering?

En slik struktur kobler verdiskaping og risikostyring i samme oversikt. Den gir også styremedlemmene dokumentasjon de kan undersøke, i stedet for å måtte nøye seg med generelle påstander om at virksomheten «bruker AI på en ansvarlig måte».

Konklusjonen for styremedlemmer

SID fremstiller ikke AI-innføring og AI-styring som motsetninger. Budskapet er at styret bør forfølge nyttige bruksområder med samme disiplin som ved andre vesentlige strategiske investeringer: Definer verdien, plasser ansvaret, forstå risikoen, test kontrollene og følg opp resultatene.

Det umiddelbare steget for styret er å sette AI på den faste agendaen, gå gjennom virksomhetens viktigste bruksområder og finne hull i kompetanse, eierskap, beslutningsmyndighet, menneskelig kontroll, testing og beredskap. Den beste AI-strategien er ikke nødvendigvis den som skaper mest aktivitet. Det er den styret kan forklare, måle og styre.