Hvorfor de fleste AI-styringsstrategier allerede er i problemer
Risiko for manglende overholdelse: Organisationer tror ofte, at juridisk dokumentation er tilstrækkelig, uden at erkende de faktiske risici ved manglende overholdelse i forbindelse med AI.
Lovgivningsmæssigt landskab: AI-styring fungerer inden for fragmenteret lovgivning, hvilket kræver kendskab til eksisterende juridiske standarder og hæftelsesansvar.
Registrering af forudindtagethed: Forudindtagethed i AI stammer fra historiske data og påvirker ansættelsespraksis, ofte uden hensigt eller bevidsthed.
Leverandøransvar: Hvis man udelukkende stoler på leverandørers certificeringer af overholdelse, kan det skjule betydelige organisatoriske risici forbundet med AI-værktøjer.
Nødvendigheden af styring: Effektiv AI-styring kræver ledelsestilsyn og et tydeligt ansvar for at sikre overholdelse og reducere risici.
Papirarbejde kan få compliance til at føles afsluttet. Juraafdelingen godkender, kontrakter arkiveres med en skadesløsholdelsesklausul, der lover beskyttelse. Men disse skridt skaber ofte en illusion af sikkerhed snarere end reel sikkerhed.
For nylig deltog jeg i en konference med flere sessioner dedikeret til det juridiske landskab omkring AI på arbejdspladsen. Fagfolk, ansættelsesadvokater og complianceeksperter brugte det meste af to dage på at gennemgå de antagelser, som organisationer har baseret deres AI-styringsstrategier på. Det billede, der tegnede sig, var ikke et billede af en forestående fare. Eksponeringen er allerede her.
Det regulatoriske billede
Du hører al denne retorik om, at ‘vi kommer ikke til at regulere dette’, fra den nuværende administration. Lad dig ikke rive med af det. De sælger sikkerhed, hvor der ikke findes nogen.
Kelly og alle de øvrige advokater, der talte på konferencen, var ret direkte om, hvad denne fejllæsning koster organisationer. EEOC's strategiske prioriteter for 2024–2028, som omfatter initiativet til at gentænke lighed ved ansættelser, fokuserer specifikt på tilsyneladende neutrale systemer, hvilket vil sige værktøjer, der ikke udtrykkeligt diskriminerer, men som skaber diskriminerende resultater.
Continue Reading for Free
Create a free account to finish this article, plus get ongoing access to timely insights and practical resources.
Have an account? Log In
Føderal lovgivning dækker allerede dette. Det samme gør EU's AI-forordning, som gælder for enhver organisation med aktiviteter eller ansættelsesaktiviteter i Europa.
Den nu berygtede Workday-sag, et gruppesøgsmål, der hævdede, at virksomhedens HR-software diskriminerede ansøgere på grund af alder og race, viste tydeligt, at juridisk eksponering ikke venter på Kongressen.
Problemet med bevisfremskaffelse
En af de mere foruroligende samtaler på konferencen handlede om dokumentation. Mere specifikt: Hvad sker der, når dine AI-beslutninger ender som en del af bevisførelsen?
AI-prompter kan kræves udleveret ved en stævning. Intern logik, beslutningsinput og modelkonfigurationer, der bruges i forbindelse med ansættelse, præstationsstyring eller lønprocesser, kan begæres udleveret som bevis. Organisationer, der ikke kan fremlægge detaljerede optegnelser over AI-beslutninger fire år tilbage, står over for betydelig eksponering, både i retssager og ved regulatoriske gennemgange.
Dette er ikke teoretisk. Efterhånden som AI-agenter påtager sig flere autonome roller i HR-driften, bliver spørgsmålet om ansvar skarpere. Når et agentbaseret system træffer eller påvirker en afgørende ansættelsesbeslutning, og noget går galt, placerer loven ansvaret entydigt hos arbejdsgiveren, ikke leverandøren.
Objektivt ansvar for agenter placerer organisationen i den situation, at den ejer resultater, der er skabt af værktøjer, den måske ikke fuldt ud forstår.
Kravene til opbevaring af dokumentation ændrer sig tilsvarende. Styring, der ikke er opbygget med tanke på bevisfremskaffelse, vil kræve rekonstruktion under pres.
Hvor bias faktisk kommer ind
De fleste organisationer behandler bias i AI som et leverandørproblem. De køber et AI-værktøj, spørger, om det er blevet revideret, får et eller andet svar i retning af ja og går videre. Det juridiske miljø og compliancefællesskabet er begyndt at påpege, hvor ufuldstændig denne tilgang er.
Bias kommer ind i AI-systemer gennem historiske data, definitioner af succes, screeningsfiltre og proxyvariabler. Når et AI-system trænes på mange års data om, hvem der blev ansat, hvem der blev forfremmet, og hvordan præstationsvurderinger så ud, lærer det organisationens præferencer. Disse præferencer indeholder ofte indlejret diskrimination, som ingen bevidst har designet, men som modellen indkoder og derefter skalerer.
Bias forstærkes," bemærkede Kelly, "og omdanner isolerede beslutninger til mønstre, der præger hele institutionen.
Den juridiske standard for indirekte diskrimination kræver ikke forsæt. En sagsøger skal påvise en statistisk forskel, og tærsklen er allerede fastlagt. Fire-femtedele-reglen, også kendt som 80 %-reglen, fastslår, at hvis udvælgelsesraten for en beskyttet gruppe er mindre end 80 % af raten for den gruppe, der udvælges hyppigst, udgør det bevis på indirekte diskrimination.
Et AI-værktøj, der gennemgår tusindvis af CV'er om måneden, kan overskride denne tærskel, uden at en eneste person i virksomheden har haft til hensigt, at det skulle ske.
En undersøgelse fra University of Washington, som blev citeret under en session, illustrerede problemets omfang. Da navnene på sorte mandlige ansøgere blev sammenlignet med navnene på hvide mandlige ansøgere i AI-screeningssystemer, foretrak systemerne sorte navne nul procent af tiden.
Standarden for forskellig behandling, som omfatter forsætlig diskrimination, medfører sine egne AI-specifikke komplikationer. Direkte input, der anvender beskyttede karakteristika som eksplicitte datapunkter, er det oplagte tilfælde. Men skjulte motiver er sværere at opdage og sværere at forsvare sig imod, som når man vælger en leverandør specifikt, fordi deres screeningsværktøj har tendens til at frasortere ældre ansøgere, mens det internt fremstilles som en præference for en "kultur med højt tempo."
Den indramning neutraliserer ikke hensigten set fra et juridisk perspektiv.
Hvorfor leverandørorienteret tilsyn mislykkes
Den standardmæssige styringsmodel i de fleste organisationer går gennem leverandørforholdet. Antagelsen er, at hvis en leverandørs værktøj består en certificering eller leveres med revisionsdokumentation, har organisationen opfyldt sine forpligtelser.
Den antagelse holder ikke i mødet med hverken lovgivningen eller den operationelle virkelighed.
"I sidste ende er det organisationen, der står til ansvar," sagde Kelly. "Al risiko kommer fra den samme pulje. Man kan samarbejde med alle mulige medarbejdere inden for compliance, risikostyring og jura, som alle arbejder på at minimere risikoen i deres jurisdiktioner, men den eneste måde at gøre det på er, at folk i organisationen forstår, hvad I bruger, og hvad I bruger det til. Hvis jeg har overset, at jeres rekrutteringsteam bruger en teknologi, som vi ikke tester for risiko, er vores arbejde i nogen grad nytteløst."
Chris Lippert, en direktør hos Schellman, pegede på landskabet for leverandørcertificering som en del af problemet. Mange AI-værktøjer i HR-funktioner er ikke blevet certificeret uafhængigt.
Greenhouse, en af de bredere udbredte platforme til ansøgersporing, modtog først sin ISO/IEC 42001-certificering i februar i år. Konsekvensen for området er, at organisationer tog AI-forbedret funktionalitet i brug længe før værktøjerne blev valideret, og mange kører stadig på ikke-kontrollerede versioner.
Bare fordi en applikation har AI, betyder det ikke, at den bør bruges. Og hvis den tilføjer AI-funktionalitet, er det dér, man skal se noget og sige noget. Bliver jeres virksomhedspolitikker opdateret, før teknologien rulles ud? Nej. I bliver eksponeret, før det kan fastfæstes i politikken.
Lippert anbefalede at bygge videre på de konsekvensanalyser vedrørende privatliv, som organisationer sandsynligvis allerede har gennemført. En AI-risikovurdering behøver ikke at blive bygget fra bunden. De samme interessenter, de samme analytiske rammer og en stor del af den samme dokumentationsinfrastruktur findes allerede i de fleste compliance-programmer.
Hvis AI-styring behandles som en udvidelse af dette arbejde i stedet for som et separat initiativ, bliver den lettere at gennemføre og mere holdbar.
More Articles
- Kan du gøre overholdelse af AI-regler til en konkurrencefordel?
- Skygge-AI: Ledelsesudfordringen, der holder ledere vågne om natten
- AI på arbejdspladsen: Praktiske anvendelser, eksempler fra virkeligheden & vejledning i implementering
- AI inden for præstationsstyring: Guide til anvendelser og implementering
- Ekspert i AI-integration afslører opskriften på en selvsikker og succesfuld implementering
Styringskløften i toppen
Det er ikke kompliceret at opliste kravene til operationel styring.
- Kontrolpunkter for menneskeligt tilsyn
- Valideringsfrekvens
- Leverandøransvar
- Overvågning af resultater
- Dokumentation,
- Versionsstyring
Alle disse ting er velkendte. Det, der er mindre klart i mange organisationer, er, hvem der har ansvaret for dem, og om nogen med organisatorisk beføjelse aktivt holder øje.
Den generelle konsensus på tværs af alle AI-risikorammer er, at det skal understøttes fra toppen og ned. Man skal have det ejerskab.
Howards pointe knytter sig til en bredere fejltilstand. Styringsstrukturer, der opbygges på team- eller funktionsniveau uden et mandat fra ledelsen og et klart ansvar, bliver ofte anvendt inkonsekvent og er vanskelige at håndhæve.
Når en forretningsenhed tager et nyt AI-værktøj i brug uden at gennemgå en etableret vurderingsproces, viser det hul, der opstår, sig først, når der kommer en klage, et søgsmål eller en forespørgsel fra en tilsynsmyndighed.
Modeldrift forstærker dette. AI-værktøjer ændrer sig over tid, nogle gange gennem opdateringer fra leverandøren, andre gange gennem ændringer i de underliggende data, de behandler. Et værktøj, der bestod en revision for skævhed ved implementeringen, består måske ikke en tilsvarende revision atten måneder senere.
"Efterhånden som modeller driver, arver du mere risiko," sagde Howard. "Du skal give dine medarbejdere mulighed for at sige fra, når noget ser forkert ud."
Test på dine egne præmisser
Fraværet af en obligatorisk føderal ramme betyder, at organisationer i vid udstrækning selv skal udforme deres testprotokoller. Kellys råd om dette var kontant.
"Du er på egen hånd," sagde han. "Det er virkeligheden."
Den praktiske konsekvens er, at organisationer selv skal gennemføre tests for skævhed løbende og gøre det med juridisk beskyttelse på plads. Ved at gennemføre tests under advokat-klient-fortrolighed kan organisationer afdække problemer uden automatisk at skabe beviser på disse problemer, som kan kræves fremlagt i en retssag.
Det er en investering med et klart afkast, særligt for organisationer, der anvender AI i rekruttering, hvor den juridiske eksponering er størst, og kravene til dokumentation er mest omfattende.
De organisationer, der kommer dette i forkøbet, er holdt op med at antage, at leverandøren har udført arbejdet, og er begyndt at behandle AI-styring som en operationel disciplin med reelt ejerskab, reel testning og reelt ansvar.
