En bestyrelse bør kræve tre ting, før AI får lov at røre strategiarbejdet: at I ved hvor data fysisk ligger, at hver anbefaling kan spores til de kilder den bygger på, og at et menneske altid kan vælge noget andet. Kan leverandøren ikke svare klart på alle tre, er systemet ikke klart til jeres beslutninger.
Dit job i bestyrelsen er ikke at være ekspert i AI. Dit job er at sikre at ledelsens beslutninger hviler på ordentlige data og sund praksis.
Så får du at vide at jeres nye strategiplatform bruger AI. Automatisk analyse. Assistenter der arbejder videre uden at spørge om lov hver gang.
Du har tre spørgsmål:
- Hvem har adgang til vores data, og hvor ligger de?
- Kan vi se hvad AI'en rent faktisk gjorde?
- Hvis AI'en anbefaler A, må vi så vælge B?
De tre spørgsmål bliver til tre krav. En bestyrelse bør insistere på at alle tre er på plads, før I lukker AI ind i strategiarbejdet. Ikke fordi teknologien er farlig, men fordi ansvaret bliver hos jer uanset hvad systemet foreslår.
Krav 1: Ved I hvor jeres data fysisk ligger?
Spørgsmålet: hvor befinder jeres kundedata, økonomital og strategidokumenter sig i det øjeblik en AI analyserer dem?
Hvad de fleste bestyrelser går ud fra: at de ligger i EU.
Hvad der ofte viser sig: "vi bruger ChatGPT" eller "det er cloud, det har vi ikke spurgt ind til."
Forskellen er ikke teoretisk. Ligger data i amerikanske datacentre, er de juridisk tilgængelige for amerikanske myndigheder, uanset om nogen hos jer har haft til hensigt at dele dem.
Men placering alene afgør det ikke, og det er dét de fleste tager fejl af. En amerikansk-ejet udbyder kan være omfattet af amerikansk lovgivning på tværs af landegrænser, også når serveren står i EU. Og GDPR følger personoplysningerne frem for serveren, så den gælder også når behandlingen sker uden for EU. Spørgsmålet er derfor både hvor data behandles og hvem der kan tvinges til at udlevere dem. Den fulde test står i AI og datasikkerhed i EU.
Hvad du kan kræve, formuleret så det kan kontrolleres:
- Et navngivet EU-datacenter, ikke "EU-region" som markedsføringsord
- En kontraktbestemmelse om at data ikke flyttes ud af EU uden jeres accept
- Et svar på hvem der har nøglerne, jer eller leverandøren
- En dokumenteret sletteproces med en frist I har accepteret
Sig det ordret på næste møde:
"Hvor ligger vores strategidata når AI'en analyserer dem? Jeg vil se datacentret angivet ved navn og den klausul i kontrakten der binder placeringen."
Lyder svaret "det ved vi ikke helt" eller "både USA og EU", så er det ikke et svar. Det er et åbent punkt, og det skal lukkes før I går videre.
Krav 2: Kan I se hvad AI'en byggede sit svar på?
Spørgsmålet: når AI'en kommer med en anbefaling, kan I så spørge hvad den læste for at nå frem til den?
Hvad de fleste bestyrelser går ud fra: at der følger kilder med.
Hvad der ofte viser sig: et velformuleret svar uden spor af hvor det kommer fra.
En anbefaling uden kildehenvisning er en påstand. Den kan være rigtig, men I kan ikke efterprøve den, og I kan ikke forsvare den bagefter.
Konkret bør hver analyse kunne vise:
- Hvilke dokumenter der indgik, ikke bare at der indgik nogen
- Hvorfor anbefalingen faldt ud som den gjorde frem for det nærmeste alternativ
- Hvilken version af et datagrundlag der blev brugt, så en konklusion fra apriltal ikke forveksles med en fra septembertal
- Hvad AI'en blev nægtet adgang til, og hvorfor
Det sidste punkt overses tit, og det er det vigtigste. Hvis noget blev holdt tilbage fordi det er klassificeret fortroligt, skal det fremgå. Ellers ved I ikke om analysen er ufuldstændig eller bare kortfattet. Hvordan klassifikation i praksis afgør hvad en model får at se, står i de fire klassifikationsniveauer.
Hvorfor det betyder noget, konkret:
I åbner et nyt marked på baggrund af en analyse. Det går galt. Halvandet år senere spørger en investor eller en revisor hvad beslutningen hvilede på. "AI'en anbefalede det" er ikke et forsvar. "Her er de fem kilder, her er hvad modellen vurderede, og her er hvad vi valgte i stedet" er.
Sporbarheden er ikke mistillid til modellen. Den er dokumentation for at I gjorde arbejdet.
Krav 3: Må mennesket vælge noget andet?
Spørgsmålet: hvis AI'en peger på A, og bestyrelsen mener B er rigtigt, kan I så vælge B uden at systemet spænder ben?
Hvad de fleste bestyrelser går ud fra: at det siger sig selv.
Hvad der ofte viser sig: systemet gør det besværligt nok til at ingen gør det.
Der findes tre realistiske indstillinger, og de skal vælges bevidst:
Kun indsigt. AI'en samler og fremlægger. Mennesker træffer alle beslutninger. Modellen er statistiker, ikke rådgiver.
Forslag med godkendelse. AI'en foreslår, et menneske godkender før noget sker.
Fuld automatik. AI'en beslutter og udfører, mennesker kan rulle tilbage bagefter. Forsvarligt til rutineopgaver, ikke til strategi.
Strategiarbejde hører til i de to første. Hvor grænsen præcist går, og hvordan man vælger niveau per opgave, er emnet i autonomi-niveauer.
Et eksempel der faktisk koster noget:
Analysen foreslår at I dropper det kundesegment der står for 8% af omsætningen og 40% af supporttiden. Regnestykket er rigtigt. Det modellen ikke ved er, at segmentet kom med fordi jeres største kunde forlangte det, og at det ryger med hvis I lukker det.
Det er ikke en fejl i analysen. Det er en oplysning der aldrig kom ind i den. Derfor skal mennesket have det sidste ord, og derfor skal det være ubesværet at bruge det.
Sig det ordret på næste møde:
"Hvis systemet anbefaler A, og vi vælger B, hvad sker der så rent praktisk?"
Handler svaret om at algoritmen bliver upræcis eller at modellen skal læres op igen, så er indretningen forkert. Systemet er bygget til at I skal følge det. Det skal være omvendt.
Tjeklisten: ni spørgsmål til næste møde
Print den og tag den med.
Placering
- Hvor ligger vores data? Svaret skal være et navngivet EU-datacenter.
- Hvem har nøglerne? Svaret skal være os.
- Hvordan sletter vi? Svaret skal indeholde en frist.
Sporbarhed
- Kan vi se kilderne bag en anbefaling?
- Kan vi se hvorfor A blev valgt frem for B?
- Kan vi se hvad modellen ikke fik adgang til?
Kontrol
- Kan vi vælge noget andet end det anbefalede?
- Koster det os noget i systemet at gøre det?
- Kan en beslutning rulles tilbage?
Ni gange ja, og grundlaget er i orden. Ét nej er ikke en katastrofe, men det er et punkt til dagsordenen med IT og jura, ikke et punkt til næste år.
Derfor har vi bygget godkendelse som en gate
Et krav der ikke har en konsekvens i systemet er en hensigtserklæring. Derfor er godkendelse i 360° Sprint bygget som en gate frem for et statusfelt.
Gate 1 godkender laget Vision Map, Theme Detail, Goal Canvas og Strategic Response. Gate 2 godkender Road Map Overview og Strategic Portfolio. Når en gate godkendes, markeres lagets modeller som færdige, så fremdriftstallet afspejler en truffet beslutning i stedet for en afkrydsning.
Hvem der må godkende, er en indstilling på organisationen og ikke op til den enkelte. Den kan stå på kun administratorer, ledere og opefter, eller alle medlemmer. Forsøger en rolle uden adgang at godkende, bliver det afvist.
Det er den samme pointe som krav 3, oversat til noget der kan efterprøves: beslutningen ligger et sted, den ligger hos en rolle I selv har valgt, og der er et spor af at den blev truffet.
Hvad du gør nu
Tag de ni spørgsmål med til næste møde og stil dem højt. Du behøver ikke forstå modellen for at stille dem, og du kan høre på svaret om leverandøren har tænkt over det.
De tre krav gør ikke AI'en dårligere. De gør den til det den skal være: en afdeling der arbejder for jer. Hvordan bestyrelsen flytter sig fra modtager til aktiv part i det arbejde, er emnet i bestyrelsen og AI.
Dit job er ikke at være AI-ekspert. Dit job er at sikre at strategien stadig er jeres.
Er bestyrelsen ny, eller er I ved at sammensætte den, så står grundlaget i bestyrelse i SMV.