AI förändrar inte bara våra verktyg – utan våra arbetsflöden

AI har på mycket kort tid blivit en naturlig del av vardagen inom IT.

Vi använder tekniken för dokumentation, utveckling, felsökning, informationssökning, analys, sammanfattningar och beslutsunderlag.

Nästa steg är redan på väg.

AI integreras allt djupare med våra molnplattformar och får möjlighet att kommunicera med andra system, analysera information och i vissa fall även genomföra förändringar automatiskt.

Potentialen är betydande.

Men när AI går från att vara ett hjälpmedel till att bli en aktiv del av ett arbetsflöde förändras också ansvaret.

Frågan bör därför inte enbart vara:

Kan vi automatisera detta?

Utan också:

Bör vi automatisera det – och under vilka förutsättningar?

Börja med problemet – inte AI-modellen

En vanlig risk vid införandet av ny teknik är att börja med själva verktyget.

Organisationen inför en AI-plattform och börjar därefter leta efter arbetsuppgifter där den kan användas.

Ett mer hållbart arbetssätt är att börja i andra änden.

Vilket problem försöker vi lösa?

Var finns manuella moment?

Vilken information är svår att hitta?

Var uppstår kvalitetsproblem?

Vilka arbetsuppgifter utför människor repetitivt utan att deras kompetens egentligen behövs?

Först därefter bör vi avgöra om AI är rätt lösning.

AI lämpar sig exempelvis väl för:

  • informationssökning
  • sammanfattning
  • dokumentation
  • klassificering
  • dataextraktion
  • analys av stora informationsmängder
  • korrelation mellan exempelvis loggar och incidenter
  • förslag och beslutsunderlag

När AI däremot får möjlighet att fatta beslut eller förändra system behöver kontrollnivån öka.

Från AI-assistent till AI-agent

Det finns en viktig skillnad mellan en traditionell AI-assistent och en AI-agent.

En assistent väntar normalt på en instruktion från användaren.

En agent kan i stället få ett mål och därefter själv använda verktyg, hämta information och genomföra flera steg.

Ett IT-relaterat arbetsflöde skulle exempelvis kunna vara:

Incident → AI analyserar loggar → jämför tidigare incidenter → föreslår åtgärd → tekniker granskar → förändringen genomförs → resultatet verifieras

Här används AI som ett avancerat beslutsstöd.

Nästa nivå kan vara:

Incident → AI analyserar → AI väljer åtgärd → AI genomför förändringen → AI verifierar resultatet

Tekniskt kan båda lösningarna vara möjliga.

Ur säkerhets- och ansvarsperspektiv är de däremot helt olika.

När AI får möjlighet att agera självständigt behöver organisationen bland annat hantera:

  • identitet
  • behörigheter
  • least privilege
  • secrets
  • loggning
  • övervakning
  • rollback
  • separation of duties
  • incidenthantering
  • förändringskontroll

Säkerheten börjar före prompten

När AI används i molnet blir informationen som skickas till modellen en del av säkerhetsarkitekturen.

Organisationen behöver därför veta vilken information som får användas med vilken AI-tjänst.

Publik information

Information som redan är offentlig innebär normalt en relativt låg informationsrisk.

Intern information

Intern information bör hanteras genom organisationens godkända AI-miljö där avtal, identitet, åtkomst och datahantering är kända.

Konfidentiell information

Här behöver organisationen normalt ha tydligare kontroll över bland annat DLP, åtkomst, loggning, kryptering och lagring.

Särskilt känslig information

Vissa data bör kanske inte lämna en definierad säkerhetszon alls.

Då kan privata modeller, lokal inferens eller helt andra lösningar vara mer lämpliga.

Shadow AI är också en säkerhetsfråga

Om organisationen inte erbjuder bra och godkända AI-verktyg finns risken att medarbetarna hittar egna lösningar.

Privata konton och externa AI-tjänster kan då börja användas för arbetsrelaterad information.

Det gör så kallad Shadow AI till mer än ett användarproblem.

Det blir en fråga om:

  • informationssäkerhet
  • dataskydd
  • governance
  • utbildning
  • användarvänlighet

En framgångsrik AI-strategi behöver därför både begränsningar och attraktiva godkända alternativ.

Mänsklig kontroll bör följa risknivån

Alla AI-uppgifter kräver inte samma nivå av mänsklig kontroll.

En praktisk modell är att dela upp autonomin i fem nivåer.

Nivå 1 – AI assisterar

Människan utför arbetet och använder AI som stöd.

Nivå 2 – AI rekommenderar

AI analyserar information och presenterar ett förslag.

Människan fattar beslutet.

Nivå 3 – AI utför efter godkännande

AI kan genomföra en åtgärd först efter mänskligt godkännande.

Nivå 4 – AI agerar inom policy

AI får själv genomföra tydligt definierade åtgärder inom begränsade skyddsräcken.

Nivå 5 – Hög autonomi

AI arbetar till stor del självständigt och människor övervakar framför allt resultat och avvikelser.

Ju högre autonomi ett system får, desto större krav bör ställas på säkerhet, observability, återställning och ansvar.

Vem ansvarar när AI gör fel?

En modell kan rekommendera något.

En agent kan genomföra något.

Men organisationens ansvar går inte att delegera till modellen.

Varje produktionssatt AI-lösning bör därför ha en tydlig mänsklig och organisatorisk ägare.

Det bör gå att svara på:

  • Vem ansvarar för arbetsflödet?
  • Vem godkänner större förändringar?
  • Vem hanterar incidenter?
  • Vem granskar modellens beteende?
  • Vem kan stoppa systemet?
  • Vem avgör när modellen inte längre är lämplig?

Detta kommer sannolikt att bli en allt viktigare del av framtidens IT-governance.

Arbetsmiljön får inte glömmas bort

AI diskuteras ofta utifrån produktivitet.

Hur många timmar kan vi spara?

Hur många ärenden kan automatiseras?

Hur mycket kan kostnaderna reduceras?

Men en organisation består inte bara av processer.

Kollegor fungerar också som:

  • kunskapsbanker
  • bollplank
  • mentorer
  • kvalitetssäkrare
  • socialt stöd
  • organisationsminne

Om AI gör det möjligt att genomföra samma mängd arbete med färre människor kan organisationen därför också förlora värden som är betydligt svårare att mäta.

Vad händer med kunskapsöverföringen?

Vem lär upp nästa generation?

Var uppstår de spontana diskussionerna?

Hur utvecklas nya idéer?

Vad händer med arbetsmiljön om en allt större del av arbetsdagen består av kommunikation med digitala agenter istället för andra människor?

Detta bör vara en del av AI-strategin från början.

Kompetensparadoxen

AI skapar dessutom en intressant kompetensutmaning.

Den som redan har stor domänkunskap får ofta mycket hög nytta av AI eftersom personen också kan avgöra när modellen har fel.

En erfaren systemadministratör kan exempelvis läsa ett AI-genererat förslag och upptäcka att en parameter är felaktig.

En junior tekniker kanske inte gör samma bedömning.

Samtidigt är det ofta just de enklare arbetsuppgifterna som automatiseras först.

Problemet är att dessa arbetsuppgifter traditionellt också har fungerat som träningsområde.

Juniora medarbetare börjar med enklare problem och bygger därefter stegvis upp erfarenhet.

Om den första delen av kedjan automatiseras behöver organisationen hitta nya sätt att skapa erfarenhet och kompetens.

Annars finns en långsiktig risk:

Vi får allt mer avancerade AI-system samtidigt som färre människor får möjlighet att utveckla den kompetens som krävs för att kontrollera dem.

Framtidens kompetens är större än AI-kompetens

Det talas mycket om AI literacy och prompting.

Det är viktigt.

Men det räcker inte.

Framtidens kompetens behöver snarare kombineras som:

Domänkunskap + AI-kompetens + säkerhet + kritiskt tänkande + verifiering

En utvecklare behöver fortfarande förstå kod.

En tekniker behöver förstå infrastrukturen.

En nätverkstekniker behöver förstå nätverk.

En säkerhetsspecialist behöver förstå säkerhetsprinciperna bakom rekommendationen som AI genererar.

AI bör förstärka den mänskliga kompetensen – inte göra organisationen beroende av svar som ingen längre kan verifiera.

AI har också ett fysiskt fotavtryck

Molnet kan uppfattas som abstrakt.

I verkligheten bygger AI på fysisk infrastruktur.

GPU:er → servrar → lagring → nätverk → kylning → datacenter → elektricitet

Det innebär både energi- och resurskostnader.

Det betyder däremot inte automatiskt att AI är negativt för miljön.

AI kan samtidigt användas för att optimera energianvändning, datacenter, logistik, transporter och många andra verksamheter.

Den mer relevanta frågan blir därför:

Är mängden beräkningskraft proportionerlig mot nyttan?

Alla uppgifter behöver inte hanteras av den största modellen.

Enklare klassificering kan kanske hanteras av en mindre modell.

Avancerad analys kan skickas vidare till en större modell.

Återkommande resultat kan cachelagras.

Batchbearbetning kan användas när realtid inte behövs.

Agentflöden kan begränsas så att modeller inte fastnar i onödiga loopar.

Resurseffektivitet bör därför bli en del av AI-arkitekturen.

Vi behöver mäta mer än produktivitet

När företag utvärderar AI-projekt är produktivitet ofta det första måttet.

Det är rimligt – men otillräckligt.

En mogen AI-strategi bör även mäta:

Affärsvärde

Hur mycket tid, pengar eller resurser sparas?

Kvalitet

Blir resultatet faktiskt bättre?

Modellkvalitet

Hur ofta produceras felaktiga eller missvisande resultat?

Säkerhet

Introducerar lösningen nya risker eller incidenter?

Kompetens

Ökar eller minskar organisationens egen kunskap?

Arbetsmiljö

Hur förändras arbetsbelastning, samarbete och stress?

Resursförbrukning

Vilken beräknings- och energikostnad skapar lösningen?

Motståndskraft

Vad händer om AI-tjänsten plötsligt inte är tillgänglig?

Den sista punkten är särskilt viktig.

Om en kritisk process byggs runt en extern AI-tjänst behöver organisationen veta vad som händer om modellen, API:t eller molnplattformen försvinner.

En praktisk modell för ansvarsfull AI i molnet

Ett AI-initiativ kan sammanfattas i nio steg.

1. Purpose

Vilket problem försöker vi lösa?

2. Data

Vilken information behöver lösningen?

3. Risk

Vad händer om AI har fel?

4. Human

Var behöver människor vara involverade?

5. Automation

Hur mycket autonomi är rimlig?

6. Security

Hur hanteras identitet, behörigheter, loggning och återställning?

7. People & Skills

Hur påverkas kompetens, roller, samarbete och arbetsmiljö?

8. Sustainability

Är modellen och mängden beräkningskraft proportionerlig mot uppgiften?

9. Measure

Hur mäter vi kvalitet, risk, kostnad och faktisk nytta?

Därefter börjar processen om.

AI bör inte betraktas som ett projekt som blir färdigt.

Det är en kontinuerligt föränderlig del av IT-miljön.

Människa eller AI är fel fråga

Diskussionen om framtidens arbetsliv hamnar ofta i frågan om människan kommer att ersättas av AI.

Det är sannolikt en alltför förenklad bild.

En mer intressant modell är:

Människa + människa + AI

AI är mycket bra på att minska repetition, bearbeta stora informationsmängder och hjälpa oss att hitta mönster.

Människor bidrar med något annat:

  • erfarenhet
  • ansvar
  • förtroende
  • empati
  • kreativitet
  • organisationskännedom
  • kritiskt tänkande
  • professionellt omdöme

Den mest framgångsrika AI-organisationen behöver därför inte vara den som automatiserat flest arbetsuppgifter.

Det kan istället vara den organisation som hittat den bästa balansen mellan människor, teknik och ansvar.

Slutsats

AI i molnet kommer sannolikt att bli en lika naturlig del av moderna IT-miljöer som virtualisering, SaaS och publika molntjänster redan har blivit.

Men AI skiljer sig på en viktig punkt.

Tekniken lagrar och transporterar inte bara information.

Den analyserar den.

Tolkar den.

Rekommenderar åtgärder.

Och kan i allt större utsträckning även agera på den.

Därför behöver införandet behandlas därefter.

Det räcker inte att mäta hur många timmar AI kan spara.

Vi behöver samtidigt förstå hur tekniken påverkar:

säkerheten, kompetensen, organisationen, arbetsmiljön, miljön och människorna som arbetar där.

Den verkliga möjligheten med AI ligger kanske därför inte i att automatisera bort människan.

Den ligger i att automatisera bort sådant som hindrar människor från att använda sin tid och kompetens där den faktiskt behövs.

Ansvarsfull AI handlar inte om att använda mindre teknik. Det handlar om att använda rätt teknik, på rätt plats, med rätt kontroll och av rätt anledning.