Waarom de meeste AI-governancestrategieën al in de problemen zitten
Nalevingsrisico: Organisaties geloven vaak dat juridische documentatie voldoende is en herkennen de daadwerkelijke nalevingsrisico's van AI niet.
Regelgevingslandschap: AI-governance opereert binnen versnipperde wetgeving, waardoor kennis van bestaande wettelijke normen en aansprakelijkheden noodzakelijk is.
Detectie van vooringenomenheid: Vooringenomenheid in AI komt voort uit historische gegevens en beïnvloedt wervingspraktijken, vaak zonder opzet of bewustzijn.
Verantwoordelijkheid van leveranciers: Uitsluitend vertrouwen op certificeringen van leveranciers op het gebied van naleving kan aanzienlijke organisatierisico's die samenhangen met AI-tools verhullen.
Noodzaak van governance: Effectieve AI-governance vereist toezicht door leidinggevenden en duidelijke verantwoordelijkheid om naleving te waarborgen en risico's te beperken.
Administratieve rompslomp kan ervoor zorgen dat naleving afgerond lijkt. De juridische afdeling geeft goedkeuring, contracten worden gearchiveerd met een vrijwaringsclausule die bescherming belooft. Maar die stappen creëren vaak de illusie van veiligheid in plaats van echte veiligheid.
Onlangs woonde ik een conferentie bij met verschillende sessies over het juridische landschap rond AI op de werkplek. Praktijkbeoefenaars, arbeidsrechtadvocaten en compliance-experts besteedden het grootste deel van twee dagen aan het ontleden van aannames waarop organisaties hun AI-governancestrategieën hebben gebouwd. Het beeld dat naar voren kwam, was niet dat van dreigend gevaar. De risico's zijn er al.
Het regelgevingsbeeld
De federale overheid heeft geen uitgebreide AI-wetgeving aangenomen. Dat is het feit waarbij sommige leidinggevenden blijven steken, en precies daarom onderschatten zo velen hun risico. Het werkelijke landschap is een lappendeken van wetgeving op staatsniveau, lokale verordeningen en bestaande federale wetgeving, waarvoor geen nieuwe AI-specifieke regelgeving nodig is om van toepassing te zijn.
Create a Free Account to Keep Reading—and Keep Leading Smarter
Unlock this piece and join a community of forward-thinking leaders discovering tools, playbooks, and insights for thriving in the age of AI.
Have an account? Log In
\u0022Je hoort al die retoriek van de huidige regering over ‘we gaan dit niet reguleren’. Laat je daar niet door meeslepen. Ze verkopen zekerheid waar die niet bestaat.\u0022
Kelly en alle andere advocaten die op de conferentie spraken, waren vrij direct over wat die verkeerde inschatting organisaties kost. De strategische prioriteiten van de EEOC voor 2024–2028, waaronder het Initiatief voor het herzien van gelijkheid bij aanwerving, richten zich specifiek op ogenschijnlijk neutrale systemen, oftewel hulpmiddelen die niet expliciet discrimineren maar wel discriminerende uitkomsten produceren.
De federale wetgeving dekt dat al. Dat geldt ook voor de EU AI Act, die van toepassing is op elke organisatie met activiteiten of werkgelegenheidsactiviteiten in Europa.
De inmiddels beruchte Workday-zaak, een collectieve rechtszaak waarin werd gesteld dat de HR-software van het bedrijf sollicitanten discrimineerde op basis van leeftijd en ras, maakte duidelijk dat juridische blootstelling niet wacht op het Congres.
Het probleem van vindbaarheid
Een van de meest schokkende gesprekken op de conferentie ging over documentatie. Specifiek: wat gebeurt er wanneer je AI-beslissingen in het kader van bewijsvergaring terechtkomen.
AI-prompts kunnen worden opgevraagd via een dagvaarding. Interne logica, invoergegevens voor beslissingen en modelconfiguraties die worden gebruikt bij werving, prestatiemanagement of beloningsprocessen kunnen als bewijs worden opgevraagd. Organisaties die geen gedetailleerde gegevens over AI-beslissingen over de afgelopen vier jaar kunnen overleggen, lopen aanzienlijke risico's, zowel in rechtszaken als bij toezicht door regelgevende instanties.
Dit is niet theoretisch. Naarmate AI-agenten meer autonome rollen op zich nemen in HR-processen, wordt de aansprakelijkheidskwestie scherper. Wanneer een systeem met agentische werking een ingrijpende arbeidsbeslissing neemt of beïnvloedt en er iets misgaat, legt de wet de verantwoordelijkheid volledig bij de werkgever, niet bij de leverancier.
Risicoaansprakelijkheid voor agenten plaatst de organisatie in de positie dat zij verantwoordelijkheid draagt voor uitkomsten die zijn geproduceerd door hulpmiddelen die zij mogelijk niet volledig begrijpt.
De vereisten voor het bewaren van documentatie veranderen dienovereenkomstig. Governance die niet met het oog op vindbaarheid is opgebouwd, zal onder druk moeten worden gereconstrueerd.
Waar vooringenomenheid daadwerkelijk ontstaat
De meeste organisaties benaderen vooringenomenheid in AI als een probleem van de leverancier. Ze kopen een AI-hulpmiddel, vragen of het is gecontroleerd, krijgen een bepaalde vorm van bevestiging en gaan verder. De juridische en compliancegemeenschap begint erop te wijzen hoe onvolledig dat is.
Vooringenomenheid komt AI-systemen binnen via historische gegevens, definities van succes, screeningsfilters en proxyvariabelen. Wanneer een AI-systeem wordt getraind op basis van jarenlange gegevens over wie werd aangenomen, wie promotie kreeg en hoe prestatiebeoordelingen eruitzagen, leert het de voorkeuren van de organisatie. Die voorkeuren bevatten vaak ingebouwde discriminatie die niemand opzettelijk heeft ontworpen, maar die het model wel vastlegt en vervolgens op grotere schaal toepast.
"Vooringenomenheid wordt versterkt," merkte Kelly op, "waardoor afzonderlijke beslissingen veranderen in patronen die de hele instelling omvatten."
De juridische norm voor ongelijke impact vereist geen opzet. Een eiser moet een statistische ongelijkheid aantonen, en de drempel is al vastgesteld. De vier-vijfdenregel, ook wel de 80%-regel genoemd, houdt in dat wanneer het selectiecijfer van een beschermde groep lager is dan 80% van het selectiecijfer van de hoogst geselecteerde groep, dit bewijs vormt van een ongelijke impact.
Een AI-hulpmiddel dat maandelijks duizenden cv's screent, kan die drempel overschrijden zonder dat ook maar één persoon binnen het bedrijf dat bewust heeft beoogd.
Een onderzoek van de University of Washington dat tijdens een sessie werd aangehaald, illustreerde de omvang van het probleem. Toen de namen van zwarte mannelijke sollicitanten werden vergeleken met die van witte mannelijke sollicitanten in AI-screeningsystemen, gaven de systemen in nul procent van de gevallen de voorkeur aan zwarte namen.
De norm voor ongelijke behandeling, die opzettelijke discriminatie omvat, brengt zijn eigen AI-specifieke complicaties met zich mee. Directe invoer waarbij beschermde kenmerken als expliciete gegevenspunten worden gebruikt, is het voor de hand liggende geval. Maar verborgen motieven zijn moeilijker te detecteren en moeilijker te bestrijden, zoals het specifiek selecteren van een leverancier omdat diens screeningstool oudere sollicitanten doorgaans eruit filtert, terwijl dit intern wordt omschreven als een voorkeur voor een "dynamische cultuur."
Die formulering maakt de intentie juridisch gezien niet ongedaan.
Waarom toezicht dat op leveranciers is gericht tekortschiet
Het standaard governancemodel in de meeste organisaties loopt via de relatie met de leverancier. De aanname is dat de organisatie aan haar verplichtingen heeft voldaan als de tool van een leverancier een certificering doorstaat of met auditdocumentatie wordt geleverd.
Die aanname houdt geen stand wanneer men wordt geconfronteerd met de wet of de operationele realiteit.
"Uiteindelijk ligt de verantwoordelijkheid bij de organisatie," zei Kelly. "Alle risico's komen uit dezelfde pot. Je kunt samenwerken met mensen op het gebied van compliance, risico's en juridische zaken, die allemaal werken aan het beperken van risico's binnen hun rechtsgebieden, maar de enige manier om dat te doen is ervoor te zorgen dat mensen binnen je organisatie begrijpen wat je gebruikt en waarvoor je het gebruikt. Als ik niet weet dat je wervingsteam technologie gebruikt waarvoor we geen risicobeoordeling uitvoeren, is ons werk grotendeels nutteloos."
Chris Lippert, directeur bij Schellman, wees op het landschap van leverancierscertificering als onderdeel van het probleem. Veel AI-tools binnen HR-functies zijn niet onafhankelijk gecertificeerd.
Greenhouse, een van de meest gebruikte platforms voor het volgen van sollicitanten, ontving pas in februari van dit jaar zijn ISO/IEC 42001-certificering. De implicatie voor het vakgebied is dat organisaties AI-uitgebreide functionaliteit al gebruikten lang voordat de tools waren gevalideerd, en dat veel organisaties nog steeds werken met niet-gecontroleerde versies.
Alleen omdat een toepassing AI heeft, betekent dat niet dat deze moet worden gebruikt. En als er AI-functionaliteit wordt toegevoegd, is dat het moment om iets te zien en iets te zeggen. Worden uw bedrijfsbeleidsregels bijgewerkt voordat de technologie wordt uitgerold? Nee. U loopt al risico voordat dit in beleid kan worden vastgelegd.
Lippert adviseerde om voort te bouwen op privacy-impactbeoordelingen die organisaties waarschijnlijk al hebben uitgevoerd. Een AI-risicobeoordeling hoeft niet vanaf nul te worden opgebouwd. Dezelfde belanghebbenden, dezelfde analytische kaders en een groot deel van dezelfde documentatie-infrastructuur zijn al aanwezig in de meeste complianceprogramma's.
Door AI-governance te behandelen als een uitbreiding van dat werk in plaats van als een afzonderlijk initiatief, wordt het uitvoerbaarder en duurzamer.
De governancekloof aan de top
Operationele governancevereisten zijn niet ingewikkeld om op te sommen.
- Controlepunten voor menselijk toezicht
- Validatiefrequentie
- Verantwoordelijkheid van de leverancier
- Monitoring van resultaten
- Documentatie,
- Versiebeheer
Dit wordt allemaal goed begrepen. Wat in veel organisaties minder duidelijk is, is wie hiervoor verantwoordelijk is en of iemand met organisatorische bevoegdheid actief toezicht houdt.
De algemene consensus over alle kaders voor AI-risico’s is dat dit van bovenaf moet worden ondersteund. Je moet die verantwoordelijkheid hebben.
Howards punt sluit aan bij een bredere faalmodus. Bestuursstructuren die op team- of functieniveau worden opgezet, zonder mandaat van de directie en duidelijke verantwoordingsplicht, worden doorgaans inconsistent toegepast en zijn moeilijk af te dwingen.
Wanneer een bedrijfsonderdeel een nieuwe AI-tool invoert zonder een vastgelegd beoordelingsproces te doorlopen, wordt de ontstane leemte pas zichtbaar wanneer er een klacht, rechtszaak of onderzoek door een toezichthouder komt.
Modelverloop versterkt dit probleem. AI-tools veranderen in de loop der tijd, soms door updates van leveranciers en soms door veranderingen in de onderliggende gegevens die ze verwerken. Een tool die bij de ingebruikname voor een bias-audit slaagde, slaagt daar achttien maanden later mogelijk niet meer voor.
"Naarmate modellen veranderen, neem je meer risico over," zei Howard. "Je moet je medewerkers de ruimte geven om aan de bel te trekken wanneer iets niet klopt."
Testen op je eigen voorwaarden
Doordat een verplicht federaal kader ontbreekt, moeten organisaties grotendeels zelf hun testprotocollen ontwerpen. Kelly's advies hierover was onomwonden.
"Je staat er alleen voor," zei hij. "Dat is de realiteit."
In de praktijk betekent dit dat organisaties zelf voortdurend op bias moeten testen en dit moeten doen met juridische bescherming. Door tests uit te voeren onder het verschoningsrecht tussen advocaat en cliënt kunnen organisaties problemen aan het licht brengen zonder automatisch bewijs te creëren dat over die problemen kan worden opgevraagd.
Het is een investering met een duidelijk rendement, vooral voor organisaties die AI gebruiken bij werving, waar de juridische risico's het grootst zijn en de documentatievereisten het strengst.
De organisaties die hierop vooruitlopen, gaan er niet langer van uit dat de leverancier het werk heeft gedaan, maar zijn AI-governance gaan behandelen als een operationele discipline met echte verantwoordelijkheid, echte tests en echte verantwoordingsplicht.
