Er minimisering den beste tilnærmingen til KI-styring?

Når organisasjoner integrerer kunstig intelligens (KI) i virksomheten, trenger de tydelige måter å håndtere risikoene knyttet til utvikling og bruk av teknologien på. Effektiv styring gir tilsyn, men kompliserte prosedyrer kan kreve mye ressurser og forsinke gjennomføringen. Minimering kan gjøre styringen mer proporsjonal ved å begrense unødvendig bruk av data, samtidig som ansvarliggjøring og sikkerhetstiltak ivaretas.

Hvorfor KI-styring er viktig

KI-styring fastsetter retningslinjer, ansvarsområder og tilsyn som veileder organisasjoners utvikling, innføring og bruk av KI-systemer. Den hjelper organisasjoner med å identifisere risikoer, plassere beslutningsmyndighet og etablere prosesser for å følge med på ytelsen og håndtere problemer.

Organisasjoner må ta hensyn til flere risikoer når de tar i bruk KI, blant annet brudd på personvernet, sikkerhetssårbarheter, skjeve resultater, unøyaktige utdata og begrenset åpenhet. Uten egnede kontrolltiltak kan KI-genererte beslutninger påvirke kunder, ansatte og andre interessenter på måter som er vanskelige å rette opp. Styring hjelper også organisasjoner med å oppfylle gjeldende lovkrav og tilpasse KI-bruken til virksomhetens mål.

International Association of Privacy Professionals rapporterte at 77 % av de spurte organisasjonenearbeidet med KI-styring i 2025. Funnene viser at organisasjoner vier temaet betydelig oppmerksomhet, selv om arbeid med styring ikke nødvendigvis betyr at en organisasjon har fullført eller gjennomført rammeverket sitt fullt ut.

Tydelig ansvarsfordeling og løpende oppfølging hjelper organisasjoner med å oppdage nye problemer, undersøke uventede resultater og tilpasse kontrolltiltak etter hvert som systemene endres. Effektiv styring kan også styrke interessentenes tillit ved å vise at organisasjonen vurderer konsekvensene av KI-bruken og står ansvarlig for beslutningene sine.

Utfordringer ved KI-styring

Selv om styring hjelper organisasjoner med å håndtere risikoer ved KI, kan det være vanskelig å etablere og opprettholde effektivt tilsyn. For å avgrense tilsynet må organisasjonene avgjøre hvilke KI-systemer, aktiviteter og avhengigheter som trenger styring.

For å avgrense KI-styringen tydelig kan organisasjoner ta utgangspunkt i ISO/IEC 42001, som stiller krav til etablering og vedlikehold av et styringssystem for KI. Etterlevelse kan forbedre modellens ytelse, slik at KI kan bli raskere og tryggere. Den hjelper også organisasjoner med å avgjøre hvilke deler av virksomheten som omfattes av styringssystemet for KI. Disse standardene tar hensyn til geografisk dekning, tilknytninger til andre systemer og omfanget av KI-aktivitetene deres.

Andre viktige utfordringer omfatter:

• Komplekse KI-systemer: KI-applikasjoner kan bygge på sammenkoblede modeller, datasett, tredjepartsverktøy og automatiserte beslutninger. Disse avhengighetene kan gjøre det vanskelig å spore utdata, identifisere sårbarheter og avgjøre hvor det er nødvendig med kontrolltiltak.
• Personvern og datasikkerhet: Organisasjoner må beskytte sensitive opplysninger gjennom hele prosessen med datainnsamling, modelltrening, innføring og løpende bruk.
• Skjevheter og begrenset åpenhet: Lite representative treningsdata kan bidra til urettferdige resultater, mens ugjennomsiktig modellatferd kan gjøre beslutninger vanskelige å forklare, vurdere eller bestride.
• Regelverk og standarder i endring: Organisasjoner som opererer på tvers av jurisdiksjoner, kan møte ulike eller skiftende lovkrav. Styringsprosessene må ivareta relevante forpliktelser uten å skape unødvendig dobbeltarbeid.
• Begrensninger i ressurser og drift: Fagkompetanse, dokumentasjon, gjennomganger og kontinuerlig oppfølging krever tid og finansiering.
• Balansen mellom tilsyn og innovasjon: Overdrevne krav til godkjenning kan forsinke prosjekter, mens svake kontrolltiltak kan føre til at betydelige risikoer ikke håndteres.

Disse utfordringene viser verdien av å redusere unødvendig kompleksitet. Samtidig må en forenkling av styringen også innebære kontrolltiltak som beskytter mennesker og informasjon og sikrer at organisasjonen kan holdes ansvarlig.

New York State Comptroller fant for eksempel at etater i New York City hadde ulike tilnærminger til tilsyn med KI, og at noen manglet retningslinjer for vurdering av skjevheter og nøyaktighet. Funnene viser at redusert kompleksitet krever tydelige og konsekvente styringsstandarder for å ivareta ansvarliggjøring.

Hva minimering innebærer i KI-styring

Minimering i KI-styring innebærer å redusere unødvendig databruk og administrativt merarbeid, samtidig som tiltakene som trengs for å håndtere risiko, opprettholdes. Minimering har to hoveddimensjoner: dataminimering og minimering av styringen. Begge tar sikte på å gjøre KI-praksis mer proporsjonal med formålet og den potensielle påvirkningen.

Dataminimering

Dataminimering begrenser innsamling, lagring, behandling og deling av informasjon til det et KI-system trenger for et definert formål. Organisasjoner kan følge dette prinsippet ved å begrense tilgangen til sensitive opplysninger og bruke anonymiserte eller syntetiske data når det er hensiktsmessig.

Å redusere unødvendige data kan begrense personverneksponeringen og mengden informasjon organisasjoner må beskytte. Dataminimering krever imidlertid nøye vurderinger. Hvis relevante opplysninger fjernes, kan det svekke modellens nøyaktighet, redusere representasjonen av ulike grupper eller gjøre det vanskeligere å avdekke skjeve resultater. Organisasjoner må avgjøre hvilke data som er nødvendige for å oppnå det ønskede formålet og sikre pålitelige og rettferdige resultater.

Forenkling av styringen

Forenkling av styringen handler om å effektivisere tilsynsprosessene. Organisasjoner kan slå sammen overlappende gjennomganger og gjenbruke vurderinger når det er hensiktsmessig. De kan også tydeliggjøre hvem som har beslutningsmyndighet, og fjerne godkjenningsledd som ikke gir vesentlig bedre risikobeskyttelse.

Disse endringene bidrar til å redusere administrative kostnader og forsinkelser, samtidig som ansvarsområdene til teamene blir tydeligere. Forenkling av styringen bør imidlertid ikke føre til at nødvendig dokumentasjon, uavhengig gjennomgang, menneskelig tilsyn eller obligatoriske kontroller fjernes. Målet er å effektivisere tilsynet og samtidig opprettholde ansvarligheten.

Strategier for å forenkle KI-styringen

En tilnærming basert på minimering kan effektivisere KI-styringen når organisasjoner tilpasser datapraksis og tilsynskrav til risikoen ved hvert bruksområde. Flere tiltak kan redusere unødvendig kompleksitet og samtidig ivareta ansvarlighet, pålitelig ytelse og egnede sikkerhetstiltak.

Velg en risikobasert tilnærming

Organisasjoner kan klassifisere KI-systemer ut fra tiltenkt bruk, mulig påvirkning og hvor sensitive dataene er. AI Risk Management Framework fra National Institute of Standards and Technology gir en struktur for å håndtere KI-risiko gjennom fire funksjoner som omfatter Govern, Map, Measure og Manage. Organisasjoner kan bruke disse funksjonene til å identifisere risikoer, vurdere hvor betydelige de er og fastsette egnede tiltak.

Definer tydelige krav til data

Hvert KI-system bør ha et definert formål før datainnsamlingen begynner. Organisasjoner kan deretter identifisere nødvendige datakategorier, fjerne irrelevante felt, begrense tilgangen og fastsette egnede lagringsbegrensninger. Testing bør bekrefte at reduserte datasett fortsatt gir grunnlag for nøyaktige og rettferdige resultater.

Optimaliser modeller og dataressurser

Modelloptimalisering, effektive algoritmer og energieffektiv maskinvare kan bidra til å redusere unødvendige beregningsbehov. Selskaper kan utforske føderert læring, som reduserer behovet for å overføre store mengder informasjon. Denne praksisen kan redusere beregningskostnader og energiforbruk, samtidig som den ivaretar personvernet. 

Forenkle arbeidsflytene for styring

Organisasjoner kan slå sammen overlappende gjennomganger, gjenbruke vurderinger som dekker de samme risikoene, tydeliggjøre ansvarsområder og etablere godkjenningsløp ut fra risikonivå. Standardiserte prosesser hjelper team med å behandle rutinemessige bruksområder effektivt, samtidig som mer komplekse saker sendes videre til de rette fagpersonene.

Oppretthold nødvendige sikkerhetstiltak

En tilnærming basert på minimering må opprettholde personvern- og sikkerhetstiltak, vurderinger av skjevhet, hensiktsmessig menneskelig tilsyn, revisjonsspor og rutiner for hendelseshåndtering. Organisasjoner bør også kontrollere at forenklede prosesser fortsatt oppfyller gjeldende juridiske og regulatoriske krav.

Følg med på ytelsen og vurder kontrollene på nytt

Kravene til styring kan endres etter hvert som et KI-system videreutvikles, tas i bruk av nye brukergrupper eller får flere oppgaver. Organisasjoner bør følge med på nøyaktighet, rettferdighet og personvernrisiko etter at systemet er tatt i bruk. De bør også vurdere datakrav og tilsynsrutiner på nytt når forholdene endrer seg.

Slik får du minimering til å fungere i KI-styringen

Minimering er mest effektivt som en del av en risikobasert styringsstrategi. Hvor omfattende minimeringen bør være, vil imidlertid variere ut fra KI-systemets formål, kompleksitet og mulige påvirkning. Ved å balansere effektivitet med egnede sikkerhetstiltak, ansvarlighet og løpende evaluering kan organisasjoner forenkle KI-styringen og samtidig sikre ansvarlig og pålitelig bruk av KI.