Hvorfor de fleste strategier for KI-styring allerede er i trøbbel
Etterlevelsesrisiko: Organisasjoner tror ofte at juridisk dokumentasjon er tilstrekkelig, uten å innse den faktiske etterlevelsesrisikoen knyttet til KI.
Regulatorisk landskap: KI-styring skjer innenfor fragmenterte lover og krever kjennskap til eksisterende juridiske standarder og ansvar.
Oppdagelse av skjevhet: Skjevhet i KI stammer fra historiske data og påvirker ansettelsespraksis, ofte uten at det er tilsiktet eller kjent.
Leverandøransvar: Å stole utelukkende på leverandørenes sertifiseringer av etterlevelse kan skjule betydelige organisatoriske risikoer knyttet til KI-verktøy.
Behovet for styring: Effektiv KI-styring krever ledelsesmessig tilsyn og tydelig ansvar for å sikre etterlevelse og redusere risiko.
Papirarbeid kan få samsvar til å føles som noe som er ferdig. Juridisk avdeling godkjenner, kontrakter arkiveres med en skadesløsholdelsesklausul som lover beskyttelse. Men disse trinnene skaper ofte en illusjon av trygghet snarere enn faktisk trygghet.
Nylig deltok jeg på en konferanse med flere sesjoner viet til det juridiske landskapet rundt kunstig intelligens på arbeidsplassen. Praktikere, arbeidsrettsadvokater og eksperter på samsvar brukte mesteparten av to dager på å gå gjennom antakelsene organisasjoner har bygget strategiene sine for AI-styring på. Bildet som tegnet seg, var ikke et bilde av en overhengende fare. Eksponeringen er allerede her.
Det regulatoriske landskapet
Den føderale regjeringen har ikke vedtatt omfattende AI-lovgivning. Det er dette noen ledere stopper ved, og det er nettopp derfor så mange undervurderer risikoen sin. Det faktiske landskapet er et lappeteppe av delstatslover, lokale forskrifter og eksisterende føderal lovgivning som ikke trenger ny, AI-spesifikk regulering for å gjelde.
Continue Reading for Free
Create a free account to finish this article, plus get ongoing access to timely insights and practical resources.
Have an account? Log In
Du hører all denne retorikken om at «vi kommer ikke til å regulere dette» fra den nåværende administrasjonen. Ikke la deg rive med av det. De selger visshet der det ikke finnes noen.
Kelly og alle de andre advokatene som talte på konferansen, var ganske direkte om hva denne feiltolkningen koster organisasjoner. EEOCs strategiske prioriteringer for 2024–2028, som inkluderer initiativet for å tenke nytt om likestilling ved ansettelser, legger særlig vekt på tilsynelatende nøytrale systemer, altså verktøy som ikke diskriminerer eksplisitt, men som gir diskriminerende resultater.
Føderal lovgivning dekker allerede dette. Det gjør også EUs AI-forordning, som gjelder for alle organisasjoner med virksomhet eller ansettelsesaktiviteter i Europa.
Den nå beryktede Workday-saken, et gruppesøksmål som hevdet at selskapets HR-programvare diskriminerte søkere på grunn av alder og rase, viste tydelig at juridisk eksponering ikke venter på Kongressen.
Problemet med bevisinnhenting
En av de mer rystende samtalene på konferansen handlet om dokumentasjon. Mer spesifikt: Hva skjer når AI-beslutningene dine ender opp i bevisinnhentingen?
AI-instrukser kan kreves utlevert ved stevning. Intern logikk, beslutningsgrunnlag og modellkonfigurasjoner brukt i ansettelser, resultatstyring eller kompensasjonsprosesser kan kreves som bevis. Organisasjoner som ikke kan fremskaffe detaljerte opptegnelser over AI-beslutninger som går fire år tilbake, står overfor betydelig eksponering, både i rettstvister og ved regulatorisk gjennomgang.
Dette er ikke teoretisk. Etter hvert som AI-agenter påtar seg mer selvstendige roller i HR-driften, blir ansvarsproblemet tydeligere. Når et agentbasert system tar eller påvirker en ansettelsesbeslutning med betydelige konsekvenser, og noe går galt, plasserer loven ansvaret klart hos arbeidsgiveren, ikke leverandøren.
Objektivt ansvar for agenter setter organisasjonen i en situasjon der den må stå til ansvar for resultater som er produsert av verktøy den kanskje ikke forstår fullt ut.
Kravene til oppbevaring av dokumentasjon endrer seg tilsvarende. Styring som ikke ble utviklet med tanke på bevisinnhenting, må rekonstrueres under press.
Hvor skjevhet faktisk oppstår
De fleste organisasjoner behandler skjevhet i AI som et leverandørproblem. De kjøper et AI-verktøy, spør om det har blitt revidert, får et eller annet svar som betyr ja, og går videre. Jurist- og samsvarsmiljøene har begynt å påpeke hvor ufullstendig dette er.
Skjevhet kommer inn i AI-systemer gjennom historiske data, definisjoner av suksess, silingsfiltre og stedfortredende variabler. Når et AI-system trenes på flere år med informasjon om hvem som ble ansatt, hvem som ble forfremmet og hvordan prestasjonsvurderingene så ut, lærer det organisasjonens preferanser. Disse preferansene inneholder ofte innebygd diskriminering som ingen har utformet med hensikt, men som modellen likevel koder inn og skalerer opp.
«Skjevhet blir forsterket», bemerket Kelly, «og gjør isolerte beslutninger om til mønstre som omfatter hele institusjonen.»
Den juridiske standarden for forskjellsvirkning krever ikke at det foreligger en hensikt. En saksøker må påvise en statistisk forskjell, og terskelen er allerede definert. Fire femdeler-regelen, også kjent som 80-prosentregelen, innebærer at dersom utvelgelsesraten for en beskyttet gruppe er mindre enn 80 % av raten til gruppen med høyest utvelgelse, utgjør dette bevis på forskjellsvirkning.
Et AI-verktøy som gjennomfører tusenvis av CV-gjennomganger i måneden, kan krysse denne terskelen uten at én eneste person i selskapet har ment at det skulle skje.
En studie fra University of Washington som ble sitert under en av sesjonene, illustrerte omfanget av problemet. Da navnene på svarte mannlige søkere ble sammenlignet med navnene på hvite mannlige søkere i AI-baserte screeningsystemer, foretrakk systemene svarte navn null prosent av gangene.
Standarden for forskjellsbehandling, som omfatter tilsiktet diskriminering, bringer med seg egne AI-spesifikke komplikasjoner. Direkte inndata som bruker beskyttede kjennetegn som eksplisitte datapunkter, er det åpenbare tilfellet. Men skjulte motiver er vanskeligere å oppdage og vanskeligere å beskytte seg mot, som å velge en leverandør spesifikt fordi screeningverktøyet deres har en tendens til å filtrere bort eldre søkere, samtidig som dette internt fremstilles som en preferanse for en «hurtigarbeidende kultur».
En slik fremstilling opphever ikke hensikten fra et juridisk synspunkt.
Hvorfor leverandørorientert tilsyn ikke fungerer
Den vanlige styringsmodellen i de fleste organisasjoner går gjennom leverandørforholdet. Antakelsen er at hvis en leverandørs verktøy består en sertifisering eller leveres med revisjonsdokumentasjon, har organisasjonen oppfylt sine forpliktelser.
Den antakelsen tåler ikke møtet med verken loven eller den operative virkeligheten.
«Til syvende og sist er det organisasjonen som får ansvaret,» sa Kelly. «All risikoen kommer fra den samme potten. Du kan samarbeide med hvem som helst innen etterlevelse, risiko og juss, der alle arbeider for å minimere risikoen i sine jurisdiksjoner, men den eneste måten å gjøre det på er at folk i organisasjonen forstår hva dere bruker, og hva dere bruker det til. Hvis jeg ikke har fått med meg at rekrutteringsteamet deres bruker en teknologi som vi ikke tester for risiko, er arbeidet vårt i stor grad nytteløst.»
Chris Lippert, direktør hos Schellman, pekte på landskapet for leverandørsertifisering som en del av problemet. Mange AI-verktøy i HR-funksjoner er ikke blitt sertifisert uavhengig.
Greenhouse, en av de mest utbredte plattformene for sporing av søkere, mottok sin ISO/IEC 42001-sertifisering først i februar i år. Konsekvensen for bransjen er at organisasjoner tok i bruk AI-forbedret funksjonalitet lenge før verktøyene var validert, og mange kjører fortsatt på versjoner som ikke er kontrollert.
Bare fordi en applikasjon har AI, betyr ikke det at den bør brukes. Og hvis den får AI-funksjonalitet, er det på tide å se noe og si fra. Blir bedriftens retningslinjer oppdatert før teknologien rulles ut? Nei. Dere blir eksponert før dette kan fastsettes i retningslinjene.
Lippert anbefalte å bygge videre på vurderinger av personvernkonsekvenser som organisasjoner sannsynligvis allerede har gjennomført. En gjennomgang av AI-risiko trenger ikke å bygges fra grunnen av. De samme interessentene, de samme analytiske rammeverkene og mye av den samme dokumentasjonsinfrastrukturen finnes allerede i de fleste etterlevelsesprogrammer.
Å behandle AI-styring som en utvidelse av dette arbeidet, i stedet for som et separat initiativ, gjør det enklere å gjennomføre og mer robust.
More Articles
Styringsgapet på toppen
Det er ikke komplisert å ramse opp kravene til operativ styring.
- Kontrollpunkter for menneskelig tilsyn
- Valideringshyppighet
- Leverandøransvar
- Overvåking av resultater
- Dokumentasjon,
- Versjonskontroll
Alt dette er godt forstått. Det som er mindre tydelig i mange organisasjoner, er hvem som har ansvaret for dette, og om noen med organisatorisk myndighet aktivt følger med.
Den generelle konsensusen i alle rammeverk for AI-risiko er at dette må støttes ovenfra og ned. Man må ha dette eierskapet.
Howards poeng knytter seg til en bredere sviktmodus. Styringsstrukturer som bygges på team- eller funksjonsnivå, uten et ledelsesmandat og tydelig ansvar, har en tendens til å bli praktisert inkonsekvent og være vanskelige å håndheve.
Når en forretningsenhet tar i bruk et nytt AI-verktøy uten å gå gjennom en etablert gjennomgangsprosess, blir gapet dette skaper ikke synlig før det kommer en klage, et søksmål eller en forespørsel fra tilsynsmyndighetene.
Modellavvik forsterker dette. AI-verktøy endres over tid, noen ganger gjennom oppdateringer fra leverandøren, andre ganger gjennom endringer i de underliggende dataene de behandler. Et verktøy som besto en skjevhetsrevisjon ved implementering, vil kanskje ikke bestå en slik revisjon atten måneder senere.
«Etter hvert som modellene avviker, arver du mer risiko», sa Howard. «Du må gi folkene dine myndighet til å si fra når noe ser feil ut.»
Testing på egne premisser
Fraværet av et obligatorisk føderalt rammeverk betyr at organisasjoner i stor grad må utforme sine egne testprotokoller. Kellys råd om dette var direkte.
«Dette må dere håndtere selv», sa han. «Det er realiteten.»
Den praktiske konsekvensen er at organisasjoner må gjennomføre sin egen testing av skjevhet, kontinuerlig, og gjøre det med juridisk beskyttelse på plass. Ved å gjennomføre tester under advokat-klient-fortrolighet kan organisasjoner avdekke problemer uten automatisk å skape bevis for disse problemene som kan kreves fremlagt.
Det er en investering med tydelig avkastning, særlig for organisasjoner som bruker AI i ansettelser, der den juridiske eksponeringen er størst og dokumentasjonskravene er mest omfattende.
Organisasjonene som ligger i forkant av dette, har sluttet å anta at leverandøren gjorde jobben, og har begynt å behandle AI-styring som en operasjonell disiplin med reelt eierskap, reell testing og reelt ansvar.
