Det växande gapet mellan AI-policy och tillämpning i praktiken

AI har ingen gemensam regelbok

AI införs i olika branscher och användningsområden snabbare än de policyer och styrningsramverk som behövs för att övervaka tekniken hinner utvecklas. Historiskt har AI-tillämpningar i stor utsträckning omfattats av befintliga regler för konsumentskydd, integritet och specifika branscher, tillsammans med företagens egna interna riktlinjer. Regeringar inför nu särskilda krav för AI, men dessa är fortfarande splittrade och ger ofta begränsad vägledning om hur systemen faktiskt ska fungera. Företagen måste därför försöka förena externa krav med sin egen riskbenägenhet, sina produktmål och de praktiska förutsättningarna i verksamheten.

EU tillämpar nu aktivt delar av AI Act, samtidigt som USA:s federala politik uttryckligen förespråkar ett mindre betungande nationellt regelverk. Executive Order 14365 syftar till att begränsa motstridiga krav på delstatsnivå, samtidigt som delstaterna lade fram mer än 1 000 AI-relaterade åtgärder under 2025. Dessa myndigheter beskriver var för sig olika mål, och det är företagen som utvecklar och inför systemen som får ta itu med att förena kraven.

Men att fastställa regelkrav är bara en del av utmaningen. När AI används inom allt fler tillämpningar och sammanhang måste företagen omsätta övergripande krav och interna riktlinjer i operativa kontroller och enskilda AI-beslut. Inget regelverk kan förutse varje tillämpning, situation eller avvägning. Organisationer behöver därför skapa en tydlig väg från styrande krav och interna riktlinjer till systembeteende, mätbara resultat samt granskning eller översyn. NIST:s ramverk för riskhantering av AI har ett liknande synsätt och betonar löpande mätning och hantering i stället för att behandla styrning som en fristående efterlevnadsövning. Kraven förs vidare nedåt, och beläggen förs tillbaka uppåt: tillsynsmyndigheter och företagsledningar kan definiera de önskade resultaten, men organisationerna måste visa att deras system faktiskt uppnår dem.

Detta innebär att en stor del av det praktiska ansvaret för AI-styrning ligger hos de organisationer som använder systemen.

Styrningen blir svår när den ska omsättas i praktiken

Regler och styrningsramverk fastställer i allmänhet principer, skyldigheter och önskade resultat. Produktionssystem måste däremot omsätta dessa i enskilda beslut, och det är där styrningen blir svår. En policy kan ange att diskriminering ska förebyggas, användare skyddas, transparens säkerställas eller meningsfull mänsklig granskning tillåtas. Men ett system i drift måste besvara betydligt mer specifika frågor: vid vilken tröskel ska det agera, på grundval av vilka belägg och med vilken säkerhet, när krävs mänsklig granskning, vad ska loggas och vad händer när systemet är osäkert?

Tillsynsmyndigheterna förväntar sig redan svar på de frågorna. FTC, DOJ, CFPB och EEOC uttalade gemensamt att de kommer att utöva sina befintliga befogenheter över automatiserade system. Det innebär att någon förr eller senare kommer att be ett företag förklara hur dess system fattar beslut.

Tänk på en plattform med en tydlig policy mot trakasserier. Ett meddelande med svordomar kan vara harmlöst skämtande mellan vänner, medan ett till synes oskyldigt meddelande kan ingå i en långvarig kampanj riktad mot en annan användare. Systemet måste avgöra vilket sammanhang det kan använda på ett tillförlitligt sätt, hur mycket belägg som krävs för att ingripa och vilket ingripande som är lämpligt: att blockera meddelandet, varna avsändaren, skicka ärendet vidare för mänsklig granskning eller inte vidta någon åtgärd. Lägre trösklar för upptäckt kan fånga upp fler skadliga beteenden, men också tysta legitim kommunikation. Krav på mänsklig granskning kan förbättra bedömningen, men samtidigt fördröja ingripandet. Inget av dessa beslut specificeras i en allmän policy mot trakasserier, men tillsammans avgör de hur policyn faktiskt tillämpas.

Inget policydokument avgör sådana avvägningar i förväg. Någon inom företaget måste därför fatta besluten, dokumentera dem och ompröva dem. Den personen utformar i praktiken policy, oavsett vad organisationsschemat säger.

Vad ansvarsfull AI faktiskt kräver

Om de som implementerar ett system i praktiken också är de som utformar policyn, kan ansvarsfull AI inte behandlas som en avsiktsförklaring. Den måste märkas i hur systemet fungerar varje dag. Det innebär att hantera hur AI används, mäts och korrigeras över tid, inte bara att godkänna en policy eller klara en inledande utvärdering. Tre principer är särskilt viktiga i praktiken, och alla följer av avvägningarna ovan:

• Styrningen bör stå i proportion till konsekvenserna. Ett AI-system som föreslår text, beviljar ett lån, identifierar ett säkerhetshot eller bidrar till ett medicinskt beslut medför helt olika risker. Organisationer behöver avgöra var det krävs starkare kontroller, granskning och tillsyn utifrån de möjliga konsekvenserna.
• Enbart träffsäkerhet räcker inte. Olika fel får olika konsekvenser. Ett falskt positivt resultat vid moderering kan tysta legitim kommunikation, medan ett misstag inom utlåning, hälso- och sjukvård eller säkerhet kan få betydligt allvarligare följder. Styrningen måste spegla ett besluts verkliga konsekvenser, inte bara modellens prestanda.
• Kontinuerlig utvärdering och återkoppling är avgörande. Överstyrningar, överklaganden, incidenter, gränsfall och efterföljande resultat bör alla bidra till den löpande utvärderingen.

Ett praktiskt ramverk för intern AI-styrning

Att omsätta dessa principer i praktiken kräver att styrning byggs in i hur AI-system utformas, införs och förvaltas. Fyra arbetssätt är särskilt viktiga:

• Behandla styrningskrav som produkt- och systemkrav redan från början. Efterlevnadskontroller som läggs till efter driftsättning tenderar att bli kostsamma och svåranpassade. Det är mycket enklare att bygga in integritet, transparens, granskningsbarhet och granskningsmekanismer i ett system än att lägga till dem i efterhand.
• Skapa en granskningsbar kedja från policy till beslut. Organisationer bör kunna koppla det styrande kravet eller den interna policyn till den kontroll som tillämpas och det beslut som följer. De behöver också de belägg som krävs för att utvärdera beslutet.
• Fördela tydligt ägarskap och ansvar. Definiera vem som ansvarar för policyn, vem som avgör vilken risknivå som är acceptabel och vem som övervakar resultaten. Någon bör också ha befogenhet att ingripa när systemet agerar utanför dessa ramar.
• Bygg en gemensam och anpassningsbar infrastruktur för styrning. Datakontroller, granskningsspår, konfigurerbara policyer, granskningsflöden och mätning bör kunna stödja flera regelkrav och användningsområden. Kontroller och tröskelvärden bör kunna anpassas efter jurisdiktion, tillämpning och risk, så att organisationer kan hantera förändrade krav utan att bygga om sina system.

Styrningen måste fungera i praktiken

Regleringar kan fastställa skyldigheter och principer, men företagen måste fortfarande omsätta dem i system som fattar verkliga beslut i stor skala. Därför är intern styrning ett ansvar i den löpande verksamheten, inte bara en övning i regelefterlevnad. Alla företag som inför AI i stor skala utformar redan policy genom sina tröskelvärden, granskningsregler och eskaleringsvägar. Den enda öppna frågan är om de gör det medvetet.

Tillsynsmyndigheter kommer att fortsätta att definiera vilka resultat de vill uppnå, och de kommer inte alltid att vara överens. Därför måste företaget avgöra hur dessa förväntningar ska omsättas i kontroller och sedan visa med belägg att kontrollerna fungerar. Företag som redan nu bygger upp tydligt ägarskap, mätbara kontroller, granskningsbarhet och anpassningsbar infrastruktur kommer att vara bättre rustade när regleringen fortsätter att utvecklas.

Jag har sett det här problemet från flera håll: i cybersäkerhetsmiljöer, när jag byggde riskmodeller och nu när jag driver AI-system i stor skala. I alla dessa sammanhang är lärdomen likartad: ett ramverk fungerar bara om det går att omsätta i tydliga beslut, mäta i praktiken och förbättra när verkligheten blottlägger bristerna.