AI och etik: ansvar, risker och praktiska kontroller

AI och etik handlar om vad ett system får göra, vem som kan påverkas och vem som ansvarar när något går fel. De praktiska frågorna gäller bland annat dataskydd, partiskhet, insyn, säkerhet och mänsklig kontroll.

Etiska principer blir användbara först när de går att översätta till beslut om data, testning, ansvar och uppföljning. Ett allmänt löfte om "ansvarsfull AI" säger därför mindre än en dokumenterad rutin för vem som granskar systemet och vad som händer när det ger ett felaktigt svar.

På AIUC:s kurs AI för ledare arbetar deltagarna med risker, ansvar och praktisk användning. Den här artikeln ger grunden.

Vad AI och etik betyder i praktiken

Ett AI-system påverkas av många val: vilket problem som ska lösas, vilka data som används, hur resultatet mäts och hur människor får möjlighet att invända. Etiken ligger alltså inte bara i modellen. Den ligger också i arbetsprocessen runt modellen.

NIST:s AI Risk Management Framework från 2023 beskriver flera egenskaper som behöver vägas mot varandra: giltighet och tillförlitlighet, säkerhet, motståndskraft, ansvar, transparens, förklarbarhet, integritet och rättvisa. NIST betonar att egenskaperna beror på sammanhanget. Ett system för textutkast och ett system som påverkar en människas försörjning kan därför inte bedömas på samma sätt.

OECD:s AI-principer knyter frågorna till mänskliga rättigheter, demokratiska värden, transparens, robusthet och ansvar. Principerna ger ett gemensamt språk, men organisationen måste själv göra dem mätbara i den aktuella användningen.

Börja med användningen, inte verktyget

Samma modell kan ge liten risk i en uppgift och stor risk i en annan. Att sammanfatta ett offentligt mötesprotokoll är inte samma sak som att rangordna arbetssökande eller rekommendera en insats för en patient.

En första bedömning bör därför svara på följande:

1. Vilket beslut eller arbetsmoment ska systemet stödja?
2. Vilka personer kan påverkas av ett fel?
3. Vilka uppgifter får systemet läsa?
4. Hur upptäcks fel, partiskhet och missbruk?
5. Vem har rätt och möjlighet att stoppa användningen?
6. Vem ansvarar för resultatet när en människa använder det vidare?

Frågorna gör det lättare att skilja en praktisk riskbedömning från en lista med goda avsikter.

Dataskydd och integritet

AI-system kan behandla text, bilder, ljud och annan information som innehåller personuppgifter. IMY:s vägledning om GDPR och AI anger att dataskyddsreglerna gäller när personuppgifter används vid utveckling eller användning av AI. Verksamheten behöver bland annat ha rättslig grund, följa de grundläggande principerna och informera de registrerade på det sätt som krävs.

Den praktiska kontrollen börjar före den första prompten:

• Bestäm vilka uppgifter som får matas in.
• Kontrollera leverantörens villkor och dataflöden.
• Begränsa åtkomst till dem som behöver den.
• Bestäm hur länge uppgifterna sparas.
• Dokumentera vem som är ansvarig för behandlingen.
• Gör en fördjupad bedömning när användningen kan medföra hög risk för människor.

Att ett verktyg är vanligt eller lätt att använda är inte ett bevis på att det passar för känsliga uppgifter.

Partiskhet och rättvisa

Partiskhet kan komma från träningsdata, mätmetoder, urval, etiketter och sättet som resultatet används på. Ett system kan dessutom fungera olika bra för olika grupper även när ingen avsiktligt har byggt in en sådan skillnad.

Det räcker därför inte att fråga om modellen är "opartisk". En bättre kontroll är att jämföra fel och utfall mellan relevanta grupper, granska vilka data som saknas och undersöka om ett annat arbetssätt ger ett rimligare resultat.

NIST beskriver rättvisa som en egenskap där skadlig partiskhet hanteras. Formuleringen är viktig: alla skillnader går inte att ta bort, och vad som är ett acceptabelt utfall måste bedömas i sitt sammanhang. Därför behövs både teknisk mätning och personer som förstår verksamheten och dem som påverkas.

Transparens och förklarbarhet

Transparens handlar om att rätt personer får relevant information om systemet och dess användning. Förklarbarhet handlar om att kunna redogöra för hur ett resultat togs fram eller vilka faktorer som påverkade det.

All teknisk detalj behöver inte visas för alla. En användare kan behöva veta att ett svar är AI-genererat och hur det ska kontrolleras. En ansvarig chef kan behöva dokumentation om data, testresultat och kända begränsningar. Den som påverkas av ett beslut kan behöva en begriplig förklaring och en väg till mänsklig prövning.

Ett system bör inte användas i en uppgift där organisationen inte kan förklara resultatet på den nivå som uppgiften kräver.

Mänsklig kontroll är en arbetsuppgift

"Människa i loopen" är inte en skyddsåtgärd om personen saknar tid, kunskap eller mandat att säga nej. Kontrollen behöver utformas lika konkret som övriga arbetsmoment.

Den som granskar behöver veta:

• Vilka typer av fel som är vanliga.
• Vilka källor som ska kontrolleras.
• När resultatet måste avvisas.
• Hur avvikelser rapporteras.
• Vem som beslutar om systemet ska pausas.

Vid återkommande användning bör fel och avvikelser följas över tid. Ett system som fungerade vid pilotstart kan bete sig annorlunda när underlag, användare eller leverantör ändras.

Säkerhet och missbruk

AI kan användas på andra sätt än leverantören eller organisationen avsåg. Ett system som läser externa dokument kan få instruktioner gömda i materialet. En chattfunktion kan ge åtkomst till mer information än användaren borde se om behörigheterna är fel.

Säkerhetsarbetet bör därför omfatta testning av oväntade indata, begränsade behörigheter, loggning, incidentrutiner och möjlighet att stänga av funktioner. Det behövs också en plan för vanliga fel, inte bara extrema scenarier.

Ett arbetssätt för ansvarsfull användning

NIST delar riskarbetet i fyra återkommande funktioner: styra, kartlägga, mäta och hantera. Översatt till vardagen kan det se ut så här:

1. Utse ansvar. Bestäm vem som äger användningen och vem som får stoppa den.
2. Beskriv sammanhanget. Dokumentera uppgift, användare, data och möjliga konsekvenser.
3. Testa före drift. Använd verklighetsnära fall, gränsfall och försök till missbruk.
4. Mät det som spelar roll. Följ kvalitet, fel, skillnader mellan grupper och incidenter.
5. Begränsa användningen. Tillåt bara de uppgifter och data som har bedömts.
6. Följ upp. Gör om bedömningen när verktyget, datan eller arbetssättet ändras.

Det här arbetet behöver vara proportionerligt. Ett internt stöd för språklig bearbetning kräver inte samma kontroll som ett system som påverkar tillgång till arbete, vård eller offentlig service.

Frågor att ställa före användning

Innan ett AI-system tas i bruk bör organisationen kunna svara ja på följande:

• Finns ett tydligt och avgränsat syfte?
• Är datakällorna och behörigheterna kända?
• Har systemet testats i den miljö där det ska användas?
• Är felgränser och kända begränsningar dokumenterade?
• Finns en namngiven ansvarig?
• Kan en människa granska, rätta och stoppa?
• Finns en väg för den som påverkas att få hjälp?
• Följs fel, incidenter och ändringar upp?

Om flera svar saknas är nästa steg inte bredare användning, utan ett mindre test med tydligare ansvar.

Sammanfattning

AI och etik är ett löpande riskarbete. De centrala frågorna gäller dataskydd, partiskhet, transparens, säkerhet och ansvar. Principer från NIST och OECD hjälper till att strukturera arbetet, medan IMY:s vägledning ger stöd när personuppgifter behandlas.

Det viktigaste är att knyta varje krav till en person, en kontroll och ett dokumenterat beslut. Då blir ansvarsfull AI något som går att följa upp, inte bara ett värdeord.

AIUC erbjuder öppna kurser och verksamhetsanpassad utbildning för grupper som behöver förstå riskerna och använda verktygen i sitt eget arbete. Kontakta oss om ni vill diskutera ett upplägg.