En personvernfokusert AI-strategi: Slik ser den ut, og hvorfor den er viktig

Lauren Wallace: Personvern er en grunnleggende menneskerettighet. Det er en grunnleggende forventning som gjør det mulig for oss å leve livene våre på en selvbestemt måte. I USA har vi historisk sett behandlet verdien av personopplysningene som om den tilhørte selskapet som samlet dem inn. I EU er personvern en grunnleggende menneskerettighet, og retten til å bestemme over bruken av personopplysningene dine tilhører den registrerte – mennesket.

Galen Low: Er regulering det byråkratiske hinderet som vil holde regulerte bransjer tilbake i AI-transformasjonen?

Lauren Wallace: Jeg tror faktisk at strengt regulerte virksomheter har en fordel når de skal utforme og gjennomføre AI-programmer som er i samsvar med regelverket. De er allerede innarbeidet i eksisterende regulatoriske rammeverk. For omtrent halvannet år siden lanserte vi en serie månedlige lunsj- og læringssamlinger om etisk AI. Vi snakket om åpenhet, vi snakket om ansvarlighet. Dette er det morsomste. Alle elsker jo krigshistorier, ikke sant? Jeg hentet frem eksempler – oppsiktsvekkende, helt ferske saker – som hadde berørt disse prinsippene om åpenhet eller begrensning av skjevhet.

Galen Low: Velkommen til podkasten The Digital Project Manager – programmet som hjelper leveranseledere med å jobbe smartere, levere raskere og lede bedre i AI-alderen. Jeg heter Galen, og hver uke går vi inn i virkelige strategier, nye verktøy, velprøvde rammeverk og den sporadiske krigshistorien fra prosjektets frontlinjer. Enten du styrer massive transformasjonsprosjekter, håndterer AI-arbeidsflyter eller bare prøver å holde kaoset under kontroll, er du på rett sted. La oss sette i gang.

I dag løfter vi lokket på AI-transformasjon i regulerte bransjer, og på hvordan en personvernfokusert tilnærming til AI faktisk kan fremskynde innovasjon, drive tverrfunksjonelt samarbeid og legge til rette for en smidig vei mot varig effekt. Med meg i dag har jeg Lauren Wallace, strategisk rådgiver og tidligere juridisk direktør i RadarFirst.

Lauren har omfattende erfaring fra juridiske roller, forretningsutvikling og lederstillinger hos selskaper som Apple, Microsoft og Nike, samt fra oppstartsbedrifter støttet av venturekapital og private equity. Hun er kjent for sine praktiske og tilgjengelige råd til juridiske-, produkt-, markedsførings- og utviklingsteam om ansvarlig bruk av AI. Og hun er en naturkraft når det gjelder å navigere i samsvar med regelverket i regulerte miljøer.

Lauren, tusen takk for at du er med meg her i dag!

Lauren Wallace: Takk for invitasjonen. Jeg gleder meg til å være her.

Galen Low: Jeg gleder meg også. Vi satt nettopp og improviserte i green room. Jeg skulle ønske jeg hadde tatt opp den delen. Jeg er veldig spent på dette.

Vi har en god energimessig match. Vi ser likt på enkelte ting, og på andre ting gjør vi kanskje ikke det. Jeg er veldig fascinert av bakgrunnen din, fordi du har denne blandingen av en hektisk oppstartskultur og den angivelig mindre hektiske farten i regulerte bransjer, som for eksempel finansielle tjenester. Jeg tror vi kan gå litt frem og tilbake i dag, men her er veikartet jeg har skissert for oss.

For å starte ville jeg få unna et av disse store, brennende spørsmålene – det påtrengende, men på en eller annen måte paradoksale spørsmålet som alle ønsker å vite svaret på. Deretter vil jeg gjerne zoome ut fra det og kanskje snakke om tre ting. For det første ville jeg snakke om hvordan en personvernfokusert AI-strategi faktisk ser ut på komponentnivå, og hva ledere i regulerte bransjer må etablere for å oppnå den, samt hvilke fordeler den kan gi.

Deretter vil jeg utforske noen eksempler på hvordan en tilnærming basert på personvern gjennom design ser ut i praksis, og hvordan ledere for ulike avdelinger som skal gjøre selskapets AI-visjon til virkelighet, kan legge til rette for å unngå smertefulle problemer i fremtiden. Til slutt vil jeg utforske hvordan konkurranselandskapet vil se ut etter fem år der organisasjoner av ulik størrelse har fått fart på AI-strategiene sine. Det var litt av en munnfull. Hva synes du om det?

Lauren Wallace: Bortsett fra delen om femårsperspektivet, Galen, tror jeg vi kan dekke mye her.

Galen Low: Greit. Jeg mener, vi kan ta frem krystallkulene våre og gå tre, fem eller ti år frem. Vi får se.

Jeg tenkte å begynne med å stille deg ett stort og vanskelig spørsmål, men jeg skal først legge opp til det. Når vi tenker på strengt regulerte bransjer som finansielle tjenester, helsevesen, energi eller telekom, tenker de fleste av oss på begrensninger som tvinger organisasjoner til å bevege seg sakte.

Og den videre tanken er at AI-transformasjon i regulerte bransjer også vil gå sakte, slik at disse bransjene blir hengende igjen i middelalderen mens resten av verden akselererer inn i AI-strategiene sine. Så mitt store og vanskelige spørsmål er: Er regulering det byråkratiske hinderet som vil holde regulerte bransjer tilbake i AI-transformasjonen?

Eller er det grunnlaget som til syvende og sist kan være til fordel for alle, eller noe helt annet?

Lauren Wallace: Ja. Jeg går for noe helt annet. Vel, la oss begynne et sted midt mellom alternativene du beskrev. Jeg vil snu dette litt på hodet og si at strengt regulerte virksomheter faktisk har en fordel når de skal utforme og gjennomføre AI-programmer som er i samsvar med regelverket.

Og det skyldes at prinsippene som ligger til grunn for AI-styring, som åpenhet, ansvarlighet, overvåking av skjevhet og forebygging, er viktige elementer i et program for AI-styring. De er allerede innarbeidet i eksisterende regulatoriske rammeverk. Og det omfatter mer enn noen kanskje nødvendigvis tror.

For det inkluderer ting som GDPR, som du sannsynligvis kjenner ganske godt til, uansett hvilken bransje du er i. Men hvis du arbeider i bankbransjen, er du underlagt lover om rettferdig utlånspraksis. Hvis du ansetter folk til virksomheten din, er du underlagt lover om like muligheter. Det finnes en rekke andre rammeverk for sivile rettigheter og forbrukerbeskyttelse som særlig kan inneholde forbud eller begrensninger mot bruk av algoritmisk beslutningstaking.

Disse reglene, som modellstyringsreglene bankene har brukt i årevis, har vært gjeldende lenge. Det kalles algoritmisk beslutningstaking, og det oversettes enkelt til det vi ser på med alle disse AI-verktøyene. Disse store, tungt regulerte institusjonene i noen av sektorene du beskrev, har allerede robuste, eksisterende samsvarsprogrammer for disse rammeverkene.

Og de har ressurser som er tildelt styring av disse rammeverkene. De har kontroller og verktøy som er utformet for å sikre samsvar med dem. Jeg sier ikke at det er enkelt å bygge AI-styring oppå dette, men du starter i det minste et sted når du vil legge til AI-samsvar.

Jeg har arbeidet med mange av disse store, strengt regulerte institusjonene med AI-samsvarsprogrammene deres, og det spenner over hele skalaen. Noen av dem er nærmest helt kalde eller har en institusjonell allergi mot AI, og da må man på en måte komme seg rundt det. Men det finnes mange som er svært sofistikerte.

De har disse eksisterende programmene og ser ganske enkelt på hvordan de kan utvide dem. Hvordan får vi inn talentet og ekspertisen vi trenger? Hvordan involverer vi fellesskapet vårt på en ny måte, slik at de kan delta i AI-samsvar på den større skalaen vi arbeider med? De har også, og dette vet jeg mye om, vært underlagt et svært komplekst lappeteppe av krav til varsling om sikkerhetshendelser.

Til alle i miljøet mitt, alle RadarFirst-folkene der ute: Jeg ser dere. Jeg elsker at dere bruker RadarFirst til dette. Vi har et produkt som jeg er stor tilhenger av, og det har rundt 500 globale regler for varsling om personvern- og sikkerhetshendelser som du kan teste hendelsene dine mot. Jeg synes folk må forstå at det ikke spiller noen rolle hvor hendelsen oppstår – enten den skyldes en feilsendt faks eller en AI du har aktivert for å bruke personopplysninger.

En hendelse er en hendelse. Hvis personopplysninger er involvert, er du underlagt disse reglene for umiddelbar varsling. Så du må vite det og ikke tro at du kan legge AI-hendelser til side. Du kan absolutt ikke bare skylde på AI-en. Vi har sett det. Det fungerer ikke særlig godt.

Så du trenger en prosess for å håndtere hendelser, men nå må du forbedre den. Du starter ikke fra bunnen av. For meg – det var et veldig langt svar på det korte spørsmålet ditt – er den største utfordringen faktisk mellomstore virksomheter. De kan møte dette regulatoriske motvinden for første gang når de innfører AI i arbeidsflytene sine, og da er spørsmålet: Hvor begynner de?

De har kanskje aldri hatt verktøy som gjorde det mulig å analysere data i stor skala, noe disse nye, og noen av dem relativt rimelige og ganske tilgjengelige, AI-produktene kan gjøre. Men plutselig utfører de prosesser og bruker informasjon på måter de ikke har gjort før, og kanskje utsetter de informasjonen for en rekke nye risikoer.

Så til dem som starter styringsprosessen fra bunnen av, sier jeg: Dere har mye arbeid foran dere. Det var mitt lange svar på det korte spørsmålet.

Galen Low: Jeg ventet på den håpefulle delen etterpå. Dere har mye arbeid foran dere, men …

Lauren Wallace: La oss gå til den håpefulle delen, da. For jeg tror du alltid kan begynne med de grunnleggende prinsippene for personvern gjennom design og deretter spre disse prinsippene til beskyttelse, ikke bare av personopplysninger, men også av selskapets fortrolige informasjon.

For du får en hel rekke nye risikoer når du legger selskapsinformasjon inn i ChatGPT eller hva det måtte være. Du vil vurdere og styrke sikkerhetsposisjonen din. Vi har en imponerende ny angrepsflate med AI. Så du må sørge for at sikkerheten er godt innstilt. Og aller viktigst – og dette håper jeg vi bruker mesteparten av samtalen på i dag – er å få i gang den interne samtalen, slik at dere virkelig forstår hva dere vil gjøre med AI, hva dere tror dere kan gjøre med AI, og hvilken reell avkastning dere håper å oppnå når vi tar denne samtalen inn i fellesskapene våre.

Jeg liker å dele det inn i to vektorer. Den ene er den interne bruken av AI til produktivitet, til å erstatte verktøy dere kanskje bruker i dag, og til funksjonelle forbedringer. Den andre er bruksområdene for produktutvikling.

Galen Low: Mm-hmm.

Lauren Wallace: Og det er svært ulike hensyn for hver av dem.

Galen Low: Jeg vil absolutt gå inn på det. Jeg er glad du nevnte dette med den opparbeidede kapasiteten, og jeg er glad du nevnte GDPR, fordi jeg kommer fra den digitale verden. Det er to ting i min verden der vi har opplevd å jage vår egen hale når det gjelder regulering. Det ene var GDPR, og det andre før det var tilgjengelighet, ikke sant. Da ADA-loven kom, løp vi rundt som hodeløse høns fordi vi tenkte: Vent litt.

Dette høres så juridisk ut. Vi har ingen prosess for dette. Vi vet ikke engang hvor vi skal begynne. Vi hadde ikke engang begynnelsen på en samtale om regulering, bøter, rapportering av hendelser eller bare synlighet i data. Vi hadde ingen av disse tingene, og vi måtte virkelig improvisere. Og det var noen som kom bedre ut av det, særlig på tilgjengelighetssiden.

Jeg opplevde at det plutselig ble et krav, og at vi måtte finne ut av det raskt. Byråene som hjalp kundene sine med å utvikle nettløsninger som var tilgjengelige, og digitale opplevelser som var tilgjengelige, fikk et forsprang. Men det var et slikt kappløp fordi vi så på det fra den andre siden, slik du nevnte, ikke sant?

Som i: Ja, la oss bare prøve alle verktøyene. La oss bevege oss raskt. Hvem bryr seg? Dette er digitalt, denne teknologien. Vi er ikke bundet av alle disse reglene. Og plutselig fikk vi en smak av det. Vi tenkte: Å, greit.

Lauren Wallace: Gjett hva? Regler? Ja. Så mange regler, og så mange regler som er utformet for å uttrykke komplementære prinsipper.

Men de kan praktisere dem på svært forskjellige måter. Hvis du har GDPR på den ene siden og CCPA, California-loven som senere ble fulgt opp av CPRA, på den andre, kommer de fra det samme gode utgangspunktet, men de gjennomføres svært forskjellig. Så hvordan kan du som digital prosjektleder sørge for – og jeg skal fortelle deg at dette er det mange av kundene mine gjør – at du finner det høyeste felles nivået?

Prøv å finne det som er konsekvent på tvers av regelverkene du opererer under, og behandle alle som om de var underlagt den samme høye, prinsippfaste tilnærmingen. Å forsøke å ligge langs bunnen og gjøre minst mulig i hvert enkelt tilfelle kan virke som om det vil redusere den regulatoriske eksponeringen, men det vil koste deg mye mer i gjennomføring og mental kapasitet når du skal gjøre interessante ting.

Så velg ganske enkelt den beste måten du kan gjøre det på, og gjør det. Du nevnte tilgjengelighet. Dette er et tema som står meg svært nær, og jeg arbeider med noen andre grupper på dette. Jeg vil gjerne komme tilbake og ha en ny samtale med deg om tilgjengelighet i AI, fordi jeg tror vi gjør mange antakelser om at retningslinjer som WCAG, der man bare krysser av for egenskapene ved nettstedet, er egnet når man håndterer en helt annen type kognitiv belastning som folk bruker eller ikke bruker, eller kanskje ikke har tilgang til.

Når de bruker AI, enten i en direkte interaksjon, som i et forbrukerrettet verktøy som Copilot eller noe lignende, eller når de samhandler med AI i den fysiske verden. Når vi ser på mennesker med funksjonsnedsettelser som virkelig har fått større selvstendighet gjennom ting som Alexa og HomeKit, slik at de kan sette opp hjemmene eller omgivelsene sine på måter som er mye bedre, mer praktiske og enklere å bruke.

Men disse tingene styres av AI i bakgrunnen, og derfor ser du det ikke og forteller den ikke hva den skal gjøre. Likevel har noen andre igjen gjort antakelser om driftsmiljøet ditt for deg, og dette er utrolig kraftfullt. Folk fortjener mye mer av dette. Så jeg gleder meg til en egen samtale om tilgjengelighet med deg.

Galen Low: Det vil jeg gjerne. Rettferdighet har kommet opp, og lik tilgang har kommet opp, mange ganger i disse samtalene. Og jeg tror du har rett om det høyeste felles nivået. Jeg arbeidet også med noen prosjekter innen tilgjengelighet, nettilgjengelighet og WCAG, der det definitivt ble en avkrysningsøvelse, og det definitivt skjedde et par uker før de skulle få en sanksjon.

Og det var definitivt å gå langs bunnen, men det skapte faktisk enda mer risiko, fordi mange tenker: Å, men Lauren, overkonstruerer vi ikke når vi gjør dette? Når vi konstruerer på høyeste reguleringsnivå, på de vanlige punktene.

Men jeg har faktisk sett det. Jeg vet at det på mange måter er dyrere å skrape bunnen og bare gjøre minimum. Du kommer tilbake til det senere og setter i gang alle disse andre initiativene for å forbedre det. Det er bare å utsette det uunngåelige.

Lauren Wallace: Ja. Du vil ikke måtte gå inn og gjøre punktvise utbedringer senere.

Og jeg tror også at det å velge dette høyeste felles nivået fra et regulatorisk perspektiv vil oppmuntre til en etisk tilnærming til arbeidet du gjør. Selv der du ikke har regulatoriske forpliktelser som er skrevet ned et sted du kan vise til kapittel og vers, kan du si: Vi mener fortsatt at dette er den beste måten å gjøre det på.

Jeg tror det er viktig, ganske enkelt fordi vi vil være gode samfunnsborgere og kunne fortelle barna våre at vi ikke gjorde forferdelige ting i jobben vår. Også fordi du ikke vet på forhånd nøyaktig hvor utfordringene kan komme fra. De kan komme fra en statlig tilsynsmyndighet, en føderal tilsynsmyndighet eller en europeisk tilsynsmyndighet.

De kan komme fra et gruppesøksmål. De kan komme fra et entreprenørielt juridisk team et eller annet sted som har oppdaget en mulighet. De kan komme fra konkurrentene dine. Derfor er det ikke nok å kunne peke på at du oppfylte et eller annet varslingskrav i en eller annen regulering.

Du må kunne vise at du som organisasjon opererer i samsvar med etiske retningslinjer som finnes i organisasjonen din. Og jeg vet at dette er noe vi ønsker å snakke om i dag: å oppnå støtte. Som prosjektleder er det hverdagen din, ikke sant? Å få folk på samme side. Men hvordan kommuniserer du om den siden?

Du vil at folk skal stille seg på den. Hvilke verktøy har du tilgjengelig? Hvilke ord har du? Hvilket vokabular?

Galen Low: Jeg elsker det. Jeg lurer på om vi kan gå inn i det, for notatet jeg hadde her var: Jeg har hørt deg snakke om temaet å utvikle en personvernfokusert AI-transformasjonsstrategi. Det du sier om ganske enkelt å være etisk.

Og det å kommunisere dette slik at alle er på samme side, det treffer meg også. Jeg lurte på om du kunne bryte ned for lytterne mine hva kjernekomponentene i en personvernfokusert tilnærming til AI-transformasjon er. Kanskje noen av fordelene, men vi kan også gjerne se bredere enn bare personvern, fordi jeg tror personvern er en del av den etiske tilnærmingen.

Det er fortsatt en del av veven. Så hvis du vil zoome litt ut, tar jeg gjerne imot det også.

Lauren Wallace: Jeg skal zoome inn først, og bli litt personlig og kanskje litt kontroversiell. For meg er personvern en grunnleggende menneskerettighet. Det finnes en grunnleggende forventning som gjør det mulig for oss å leve livene våre på en selvbestemt måte.

Og organisasjoner og stater bør gjøre inngrep i dette med stor forsiktighet. Eller burde jeg? De burde ikke gjøre det, ikke sant? Men hvis de skal gjøre det, må de være forsiktige. Der jeg blir litt kontroversiell, er når jeg ser på det globale personvernlandskapet. I EU, som er retningsgivende når det gjelder å behandle personvern som en grunnleggende menneskerettighet og å beskrive helt konkret hva de mener med det i GDPR og, i forlengelsen, i EUs AI-forordning, som bygger tungt på GDPR og sier: Greit, la oss begynne med personvern og gå videre derfra.

Dette er EUs DNA. Personvern er en grunnleggende menneskerettighet, og retten til å bestemme over bruken av personopplysningene dine tilhører den registrerte – mennesket. I USA har vi historisk sett behandlet verdien av personopplysningene som om den tilhørte selskapet som samlet dem inn, og selskapet som bruker dem, fordi selskapet trekker verdi ut av dem. Og hvis de trakk ut verdien, må den vel tilhøre dem.

Der blir jeg litt kontroversiell. Det er mindre kontroversielt å si at det finnes andre jurisdiksjoner rundt om i verden der verdien av personopplysningene, og faktisk det konkrete innholdet i personopplysningene, anses å tilhøre staten fordi staten skal bruke dem til beste for den registrerte.

Dette er altså tre svært forskjellige grunnleggende teorier om hvem som eier og bør få verdien av personopplysningene. Når du ser på selskapets etiske retningslinjer, bør du derfor spørre: Hvor befinner vi oss i dette landskapet? Det er her du begynner. Ikke med en liste over prinsipper som rettferdighet, ansvarlighet og begrensning av skjevhet.

Dette er gode, flotte ord, og de kan hjelpe deg med å bygge malen som dere alle skal fylle ut sammen og dele i selskapet når dere sier: Dette representerer verdiene våre. Men innerst inne: Tror vi som organisasjon at vi tjener på å trekke verdi ut av personopplysninger?

Eller tror vi at vi tjener ved å hjelpe kundene våre med å bruke personopplysninger til fordel for den registrerte? I USA har du lov til å velge disse tingene. Jeg vil hjelpe de selskapene som ønsker å tjene interessene til den registrerte.

Galen Low: Nettopp. Ja. Du nevnte den europeiske modellen som den retningsgivende modellen for individuelt personvern som en rettighet.

Det er morsomt når du sier det. Hvis jeg skal zoome ut og se på det fra et nordamerikansk perspektiv, har jeg på en måte akseptert at dataene mine er som valuta. De er transaksjonelle. Da du sa at fordi de har trukket ut verdien, eier de dem, tenkte jeg: Ja, det gir mening. I hodet mitt var det slik: Jeg betalte ikke penger.

For som forbruker tenker jeg på en måte: Greit, hvis jeg ikke trenger å gi deg penger og det er «gratis», så er det greit. Og jeg tror det er der sluttbrukeren begynner å tillate en organisasjon å være mindre forsiktig med dataene mine, fordi jeg tenker: Ja, ta e-postadressen min og berik dataene.

Jeg arbeider i mediebransjen, ikke sant? Så jeg har sett deler av bakenden på noe av dette. Noe av det er mer verdifullt enn penger, men dette med eierskap fikk meg til å tenke: Wow. Greit. Ja. Og det som alltid har festet seg hos meg med GDPR, er at folk tar kontroll over sine egne personopplysninger og får råderett over dem. Men så er det dette gapet:

Hvem har tid? Jeg har knapt tid til å slette bilder fra kamerarullen. Jeg kommer ikke til å finne ut hvor dataene mine befinner seg og skrive forespørsler om: Kan dere være så snille å slette disse dataene permanent fra serveren deres? Folk gjør det. Det var bare ikke meg. Og jeg tenkte: Greit. Vi tillater det nesten på en måte.

Lauren Wallace: Ære være organisasjoner som NOYB, som står for «None Of Your Business», Max Schrems’ organisasjon. Visste du det? NOYB, None Of Your Business. Fordi de kan utøve denne retten i stor skala. For oss som enkeltpersoner er det utrolig vanskelig å utøve denne retten individuelt.

Nå har mange av delstatene – og dette er noe jeg tror beveger seg fremover med AI-regulering, men som har manglet i personvernreguleringen – en plikt til å innhente samtykke, informere og deretter kreve samtykke, og samtykket må være informert. I personvernverdenen har samtykke vært underforstått i så mange av transaksjonene våre.

Når du klikker deg gjennom informasjonskapselbanneret eller et hvilket som helst skjema og produktet du bruker, bør du alltid være oppmerksom på dette grunnleggende prinsippet i personvern. Jeg er sikker på at du har hørt det en million ganger: Hvis produktet er gratis, er det du som er produktet.

Galen Low: Ja. Nettopp.

Lauren Wallace: Men det er svært lett å bli forført av funksjonaliteten som loves deg.

Og tenke: Det er bare meg. Det er bare meg som sitter her i mitt eget rom i Portland i Oregon. Hvor mye kan personopplysningene mine egentlig være verdt? Men samlet og i det berikede miljøet du snakker om – og dette er en av de nye risikoene som følger med AI, en ny personvernrisiko som finnes i AI på grunn av muligheten for berikelse –

og slutninger som kan trekkes fra berikede data. Informasjonen du ga til én leverandør i én bestemt situasjon for å kjøpe én bestemt ting, har kanskje ikke så stor verdi alene, kanskje bare noen få øre for noen. Men når den samles, berikes og selges videre til tredjeparter som kan bruke den til andre formål, er verdien av datasettet ditt mye høyere.

Og hvordan kan du som registrert gå inn i hver enkelt av dem? Det kan du ikke. Det er ikke tilgjengelig for deg. Du kan ikke rette opp i det. Så igjen går tankene mine til organisasjonene som ønsker å være etiske i utgangspunktet, og som har dyp bevissthet om hvilke data de har, hvor de fikk dem fra, og om de hadde samtykke til å bruke dem i utgangspunktet.

Bruker de dem på en måte som overskrider omfanget av det opprinnelige samtykket? Kan de forsvare det på en eller annen måte? Er denne utvidede bruken i samsvar med den opprinnelige hensikten? Ble den registrerte informert da vedkommende leverte opplysningene om hva samtykket skulle brukes til? Dette er ikke ting du ønsker å måtte gå tilbake til i det eldre datasettet ditt.

Nå kjøper du et selskap, og du kjøper det for dataene deres. Ikke for noe annet. Jeg tenkte på dette her om dagen. Det var en stor sak i nyhetene nylig. Jeg skal ikke nevne navn, men en stor bank hadde kjøpt en oppstartsbedrift. Oppstartsbedriften leverte tjenester til personer som søkte økonomisk støtte, studenter som søkte økonomisk støtte, og banken kjøpte oppstartsbedriften fordi den sa at den hadde fire millioner navn på personer som hadde kjøpt tjenestene deres for studielån.

Banken så åpenbart på dette som en informasjonskilde om enkeltpersoner som de kunne bruke til å målrette disse personene som potensielle bankkunder. Kostnaden for kundeanskaffelse i banken er rundt 150 dollar, avhengig av hvor vellykket kundeanskaffelsen er – en person som faktisk åpner en brukskonto.

Så de var villige til å betale 175 millioner dollar for disse fire millioner navnene. Det er omtrent 40–45 dollar per navn. Du kan se hvorfor de tenkte at forskjellen mellom 40 og 150 dollar betydde at det var verdt omtrent hundre dollar per person å kjøpe en kvalitetssikret liste over potensielle bankkunder.

Men så oppdaget de at de fire millioner navnene var falske. De var syntetisk generert ved hjelp av en eller annen AI-løsning. Så snart de faktisk testet navnene, oppdaget de at de alle var blindspor. Og dermed var 175 millioner dollar bundet opp i dette prosjektet.

De saksøkte selskapet og trakk seg fra oppkjøpet. Kanskje fikk de pengene tilbake. Jeg vet ikke. Jeg syntes det var så interessant. De kjøpte oppstartsbedriften, ikke på grunn av teknologien eller menneskene, men utelukkende på grunn av navnene på listen. Og med den offentlige informasjonen om oppkjøpet og søksmålet kunne vi se den tilskrevne verdien av hvert av navnene svært tydelig.

Selskapet var verdiløst dersom disse fire millioner navnene ikke var korrekte. Tenk på det i ditt eget liv. Hva om du eller ett av barna dine hadde vært en del av denne data- og verdikjeden fra svært ung alder, og nå hadde nådd alderen der du kanskje åpner en brukskonto eller får et boliglån fra denne banken?

Den transaksjonelle verdien du ser når du tenker «greit, klikk for å kjøpe, hva som helst», og dataene mine i dette øyeblikket ikke føles som om de er verdt særlig mye – men hvis du ser på verdien gjennom hele livet, så tenkte denne store banken at du var verdt minst hundre dollar. Ville du gjort noe annet med disse hundre dollarene enn det du vet at beslutningen du nettopp tok innebærer?

Galen Low: Det er så mye der, fordi det er en så god parallell til det du sa tidligere om at mange tenker på AI og AI-transformasjon på arbeidsplassen som det de samhandler med, og ferdigheten de trenger å utvikle for å gjøre jobben sin. Det er ikke alltid åpenbart, det du nettopp beskrev – altså hva som faktisk befinner seg i den svarte boksen over det som skjer.

Og vanligvis tenker vi: Vi vet ikke hvordan noen av disse modellene fungerer. Maskinlæringen reparerer sin egen kode, og vi vet grunnleggende sett ikke hvorfor noe av denne AI-en fungerer. Men det er ikke den svarte boksen vi mener her. Den svarte boksen vi mener her, er det du faktisk ikke ser etter at du trykker på send, etter at du sender inn en forespørsel eller et spørsmål – hvor havner alt sammen?

Hvordan blir det samlet? Skifter det hender? Når vi går tilbake til modellen, der du setter deg ned og bestemmer: Greit, vi er ikke EU-modellen. Vi mener definitivt at vi får verdi fra kundedataene våre. La oss begynne der. Det er fortsatt så mye arbeid som må gjøres for å forstå hvor alle disse dataene tar veien, hva vi er ansvarlige for, og hva vi etisk sett er ansvarlige for som organisasjon.

Jeg synes det er et interessant spørsmål. Jeg vet ikke om vi trenger å svare på det i dag, men vi kan prøve.

Lauren Wallace: Det er på en måte et stort spørsmål. Det finnes så mange store spørsmål når vi går inn i dette området som borgere, foreldre, forbrukere og samfunnsborgere. Det er så mange store spørsmål, og jeg opplever at det er et enormt hav å koke. Jeg står her på kanten med en stor lighter og prøver å koke havet, men det er for mye.

For meg liker jeg å begynne med et bruksområde. Hva er det faktiske du prøver å oppnå med denne konkrete applikasjonen og dette konkrete datasettet som du kanskje skal mate inn i applikasjonen? Hvilken avkastning håper du virkelig å hente ut av det? Sparer du penger? Tjener du penger? Kan du skaffe flere kunder? Begynn å bryte det ned derfra.

I samsvarskretser snakker vi mye om «tone at the top», altså tonen fra toppen. Jeg synes det er en svært verdifull konstruksjon: Hvordan snakker ledelsen og styret om verdiene sine, og hvordan sender de disse verdiene ned i organisasjonen? Men det tar deg bare et stykke på vei når vi arbeider på prosjektnivå.

Da må du bryte det ned igjen og si: Greit, hva prøver vi å oppnå? Hvilket bruksområde arbeider vi med? Hva er den faktiske avkastningen? Hvordan samsvarer de etiske prinsippene som ledelsen vår kanskje har fastsatt, eller reguleringene vi er underlagt, med det vi faktisk skal gjøre?

Og hvis vi ikke vet det, fordi den svarte boksen er uoversiktlig, er det da trygt å fortsette? Jeg har sagt nei. I min rolle som juridisk direktør i RadarFirst kan jeg fortelle deg hva jeg mener. Vi så på hundrevis av leverandører i løpet av året. Jeg holdt faktisk en liten gjennomgang av det. En ganske stor andel av dem avslo vi.

Vi sa: Vi har ikke nok informasjon, eller de har ikke publisert et tillitssenter som vi virkelig kan gå inn i for å finne opplysningene vi trenger, eller de bruker underliggende modeller som de ikke opplyser om. De gjorde litt undersøkelser, og jeg oppdaget at de kanskje også var involvert der borte, og det var ikke et verktøy vi hadde kvalitetssikret. Så jeg synes det er helt greit å føle seg trygg på å si nei noen ganger.

Og det er her det hjelper å ha et etisk rammeverk. Du kan si: Greit, ett av de etiske prinsippene våre er ansvarlighet. La oss velge det. Hvis jeg ikke vet svaret på ett av disse spørsmålene i denne ganske enkle analysen av hva produktet skal gjøre for oss, hvem skal da holdes ansvarlig for det?

Jeg kan ikke bare snu meg til leverandøren og si: Jeg forsto egentlig ikke hva dere gjorde da jeg kjøpte det av dere. Ansvarlighet er et krevende prinsipp. Det er svært idealistisk. Og det er en god ambisjon. Men hvem mener vi egentlig når vi sier ansvarlig? Mener vi at styret er ansvarlig? Mener vi at toppledelsen er ansvarlig?

Mener vi at enkeltpersoner i teamet er personlig ansvarlige? Jeg tror du igjen kan begynne fra prosjektperspektivet på denne måten. En tilnærming som er orientert mot bruksområdet og avkastningen, innebærer å sette opp team som er ansvarlige overfor hverandre. Når du setter sammen dette teamet for et prosjekt som skal bruke AI, tror jeg det er svært viktig å involvere hele fellesskapet ditt, og det er klart at produkt må være med rundt bordet.

Du har utvikling rundt bordet. Du kan ha sikkerhet rundt bordet. Men du må også ha, la oss si, kundesuksess rundt bordet. Har kundesuksess-teamet manus slik at de kan svare på kundespørsmål om denne funksjonaliteten? Forstår de funksjonaliteten godt nok til at de, uten manus, i det minste har vokabularet som trengs for å formidle spørsmålet videre til noen andre?

Produktmarkedsføring: Har dere dokumentasjon som grundig forklarer og viser at dere forstår hva dette produktet skal gjøre for dere? Markedsføring: Når dere snakker med fellesskapet deres, vet dere om kundene deres tilhører kategorien som er allergisk mot AI, eller den andre enden av skalaen, der de er svært ivrige etter å prøve nye ting?

Hvordan skal dere justere budskapet slik at dere møter dem der de er når dere snakker om nye funksjoner som er AI-aktiverte? Juridisk må selvsagt være med rundt bordet. Det må jeg si. Men viktigst av alt, tilbake til kundene: Det kan hende dere har kunder i porteføljen som forbyr bruk av AI i produktene de kjøper fra dere.

Det kan være skjult et sted i kontrakten. Det trenger ikke stå AI; det kan stå algoritmisk beslutningstaking eller bruk av modeller. Det kan hende dere har en ti år gammel kontrakt som forbyr denne bruken, så juridisk må også være med rundt bordet. Og så må dere se på det fra et regulatorisk perspektiv. Nå sitter dere alle rundt bordet.

Det er da dere utvikler ansvarlighet overfor hverandre og kan si: Jeg spurte deg, og jeg fikk ikke svar på dette.

Galen Low: Jeg er glad du gikk dit, for mens jeg tenkte på dette, innså jeg at det er et komplisert spørsmål: Ansvarlighet. Hvem? Og jeg tenkte: Greit, hvor skal vi ta dette? Det handler på en måte om at vi holder hverandre internt ansvarlige fordi vi er et team.

Spørsmålet jeg faktisk hadde formulert her, og som jeg tror vi på en måte har dekket, er at noe som personvern i mange tilfeller bare er så sterkt som det svakeste leddet, ikke sant? Du setter sammen et team, og hvis én person på teamet tenker: Det spiller ingen rolle, jeg laster bare opp dette datasettet til en offentlig, stor språkmodell, eller vi kan omgå dette fordi vi slipper unna med det.

Vi må levere innen fredag. Så la oss bare få det gjort. Vi kommer tilbake til det. Men denne kulturen med å holde hverandre ansvarlige for den verdien tror jeg er veldig sterk.

Lauren Wallace: Og her er det jeg elsker ved personvern som et veiledende prinsipp: Det kan utspille seg på så mange forskjellige måter.

I motsetning til så mange andre hensyn vi tar når vi ser på utvikling eller produktdesign, er personvern personlig. Gjør en rask undersøkelse i organisasjonen din en dag. Spør alle om de selv, eller noen de bryr seg om, har vært utsatt for et brudd på personopplysninger.

På den ene siden får vi alle brev fra alle leverandørene våre hele tiden som sier: Forresten, du bør opprette overvåking av kredittrapporten din hos Experian. Men hvis du noen gang personlig har fått misbrukt dataene dine, tilsynelatende til fordel for noen andre, er det et bokstavelig mareritt. Jeg har selv vært gjennom det.

Det er ikke grunnen til at jeg ble personvernjurist, men det er ikke grunnen til at jeg ble personvernavtale heller.

Galen Low: Greit nok. Ja, jeg forstår. Jeg forstår.

Lauren Wallace: Og jeg snakket nylig med noen, for bare en uke eller så siden, som nylig hadde gått gjennom hele prosessen med å forsøke å bygge opp livet sitt igjen etter at bankkontoen deres, tror jeg, var blitt hacket.

Og så skjedde alle slags vonde ting som følge av det. Når du prøver å oppmuntre til ansvarlighet og omsorg for hverandre i denne prosjektkonteksten, kan du trekke inn personvern og se hvor personlig det egentlig er. Ønsker foreldre virkelig at opplysningene om barna deres skal være tilgjengelige for hvem som helst med en kode, og gjennom hele livsløpet vi snakket om da vi så på bankeksempelet? Se virkelig fremover og tenk: Denne informasjonen jeg legger inn her, handler om barnet mitt, hjemmet mitt eller noe annet. Den kan være svært verdifull for noen om fem eller ti år. Kan jeg stoppe det nå?

Galen Low: Jeg lurer på om vi kan ta denne vertikale delen og se på den fra et prosjekt- eller produktperspektiv, kanskje bare ut fra det du nevnte om tonen fra toppen. Ja, det er viktig, men det er heller ikke det eneste som betyr noe.

Hvis vi begynner rett under dette, med å utvikle et produkt som skal bruke AI eller algoritmisk behandling på en eller annen måte, er det noen deler du nevnte. Si fra om jeg tar feil, men jeg tenker på opplæringsdelen. Du nevnte å ha et vokabular, eller til og med empati nok til å tenke: Dette er bare kundedataene våre, kontra at dette kunne ha vært dataene til barna mine.

Og så har vi dette med å ha alle rundt bordet. Jeg vet at noen som lytter, tenker: Vi kan ikke ha alle rundt bordet for alt. Lauren, det blir så dyrt. Det fungerer kanskje for deg i finansielle tjenester, men vi er nøysomme hele veien ned til at hvis noen bryter med denne verdien i teamet, hva gjør teamet for å begynne å reparere det?

Det er de tre punktene jeg ville se på.

Lauren Wallace: La meg se litt annerledes på det. Jeg vil tenke et øyeblikk, for du har tilsiktet misbruk av personopplysninger, som er en forferdelig ting og et lovbrudd noen steder, men du har alltid også utilsiktet og uforvarende bruk av personopplysninger. Og det tror jeg er noe vi kan ta stort ansvar for å forsvare oss mot.

De fleste av verktøyene vi kjøper, har konfigurasjoner du kan aktivere. De gjør det mulig å beskytte personopplysningene dine, eller igjen den fortrolige bedriftsinformasjonen din. La oss samle disse under ett for dette formålet. Det finnes defensive tiltak du kan gjøre i utgangspunktet, først på det grunnleggende sikkerhetslaget, men også med disse produktene når du tar dem i bruk og begynner å bruke dem.

La oss først sørge for at vi gjør disse tingene. La oss unngå den utilsiktede misbruken. Når det er ryddet bort, kommer vi til kjerneproblemet du snakker om, nemlig tilsiktet eller kanskje uforsiktig eller hensynsløs bruk av folks personopplysninger.

Galen Low: Ja, nettopp.

Lauren Wallace: Bruk av folks personopplysninger fordi vi har tidsfrister som skal nås. Vi skal lansere noe innen fredag.

Galen Low: Bare ikke gjør det. Jeg er faktisk glad for at du sa det, for da du sa tidligere at du må si nei, og at du historisk har sagt nei mange ganger, tenkte jeg på at kona mi arbeider i forsikringsbransjen. De er svært strengt regulert, særlig her i Canada.

Og risiko og samsvar er svært alvorlig. Virksomhet blir avslått på grunn av risiko, noe som ikke er tilfellet like ofte i andre organisasjoner og bransjer, der de tenker: Vi lar penger ligge på bordet hvis vi ikke har dette. Kontra: Hva er risikoen ved å ta imot disse pengene hvis vi ikke har gjort grundig arbeid på den andre siden?

Eller når det gjelder infrastrukturen eller angrepsflaten. Jeg er faktisk veldig glad for at du sa det. Bare ikke gjør det. Det er en ferdighet som er vanskelig, ikke sant? Selv når det er jobben din, kan jeg forestille meg at det er krevende å være den som sier: Nei, vi kan ikke skrive denne avtalen. Beklager. Eller: Du kan ikke levere dette produktet. Beklager. Eller kanskje ikke beklager. Jeg vet ikke. Det er en tøff posisjon å være i. Hvordan heiser du det flagget, særlig når det egentlig ikke er «jobben din»?

Lauren Wallace: Det er ingen glede i det, ikke sant? Det er ikke noe hevngjerrig ved det. Og jeg tror vi kan gå tilbake til det felles vokabularet og verktøyene vi har.

For å snakke om det organisatorisk på en mer produktiv måte. Den mest tradisjonelle måten å gjøre dette på er den gode, gamle risikomatrisen, der sannsynlighet går opp langs den ene siden og alvorlighetsgrad går på tvers av den andre. Da kan dere ha en ærlig samtale om hvor dere befinner dere i feltet, og som organisasjon bli enige om at grensen vår ligger til venstre for det punktet.

Under det punktet. Da gjør vi ikke den tingen. Det trenger ikke å være en individuell sak. Dere kan si at organisasjonen har en risikotilnærming som styret tror på, investorene tror på og tilsynsmyndighetene tror på. Hvis vi ikke står bak den fra dag til dag, vil vi ikke måtte komme tilbake om to–tre år og si: Vi gikk litt utenfor linjene den gangen.

Og hvis vi gikk utenfor linjene fordi vi egentlig ikke forsto hva vi kjøpte eller hva vi gjorde i disse svarte boksene, er uvitenhet ikke et forsvar i lovens forstand. Ja. Det har det aldri vært. Det kommer det aldri til å bli. Så jeg tror tonen fra toppen, felles verdier og den personlige investeringen vi har i vårt eget personvern og i personvernet til familiene og våre nærmeste alltid er et godt sted å lande.

Galen Low: Jeg elsker det. Og vet du hva jeg liker med det? En del av meg tenkte: Skal vi snakke om å bygge kapasiteten rundt etisk bruk av AI, personvern og alle disse verdiene? En del av meg tenkte: Blir det slik at dere sier at en liten oppstartsbedrift må bygge et stort team på bedriftsnivå med mange personer som håndterer risiko, samsvar, jus og alt det der? De kommer til å si: Vi måtte ansatt 20 personer og skrive boken fra grunnen av.

Men det du egentlig sier, si fra om jeg tar feil, er at tonen fra toppen er viktig fordi den setter verdiene. Deretter er opplæring i teamene, slik at de kan si: Dette høres ut som om det kanskje ligger på feil side av risikogrensen vår. Kan vi snakke om det? Det er begynnelsen på denne kapasiteten, selv om du ikke har en juridisk direktør, eller om den personen også har tre andre roller i organisasjonen. Det handler fortsatt om å ha vokabularet, kulturen og tonen som trengs for å ta den samtalen.

Det andre jeg synes var interessant – jeg skulle egentlig utfordre deg på dette, men jo mer jeg tenkte på det, jo mer mening ga det – var at jeg tidligere sa at lytterne mine kom til å si: Lauren, vi kan ikke ha alle disse menneskene rundt bordet. Vi kan ikke ta med alle hver gang vi gjør noe. Og så tenkte jeg: Men når det gjelder AI akkurat nå, trenger man kanskje faktisk det, fordi dette ikke er noe man kjenner godt.

Det er ikke noe der risikoen er lav. Du vet ikke hva folk kommer til å gjøre med det, når de overlates til seg selv. Og faktisk bidrar det å få folk rundt bordet til å ha denne samtalen, ikke bare til å få arbeidet gjort. Det handler om å bygge kultur.

Lauren Wallace: Ja. Og kulturelt sett kjenner jeg ikke til en organisasjon som ikke enten gjennomgår eller vurderer en AI-transformasjon akkurat nå. Du kan ikke se bort fra at mange i organisasjonen din kanskje personlig er motstandere av utbredelsen av AI i livene sine.

De ser rundt seg og innser at absolutt alt de gjør, berøres av AI. De forstår det ikke særlig godt. Og hvordan skulle de kunne gjøre det? Det er ingen kritikk. Du kan ikke forstå det. Det er ikke tilgjengelig for deg å forstå. Og så ber du disse menneskene, disse enkeltmenneskene, som kanskje har en personlig motstand mot AI – av hensyn til sin egen sikkerhet, familiens sikkerhet, jobbsikkerheten og sikkerheten til personopplysningene sine – om å slå det av fordi vi aggressivt følger en strategi for AI-transformasjon.

Du kan få initiativene dine opp fra bakken, men jeg tror de vil ebbe ut når folk ikke har fått muligheten til å utvikle fortrolighet og trygghet. Så jeg vil fortelle deg om noe vi gjorde i RadarFirst for omtrent halvannet år siden. Vi lanserte en serie månedlige lunsj- og læringssamlinger om etisk AI.

Det var svært uformelt. Men alle var selvfølgelig invitert, og det skulle være et åpent forum. Vi dekket ett tema i hver samling, og vi hadde omtrent 60–90 minutter hver gang. Vi snakket om menneskelig medvirkning og tilsyn, om åpenhet og om ansvarlighet. Til dette brukte jeg de grunnleggende retningslinjene for EUs AI-skolering.

Det var før AI-forordningen kom, men vi hadde allerede mye å arbeide med. Dette finnes der ute. Vi ga litt opplæring i hvordan disse retningslinjene var utviklet, hvor de kom fra, og hvilke grunnleggende menneskerettighetsprinsipper som lå under hvert av dem. Vi utviklet et vokabular rundt dette.

Vi viste noen eksempler. Det var det morsomste. Alle elsker krigshistorier, ikke sant? Jeg hentet frem eksempler. Jeg vet ikke om du kjenner til AI-hendelsesdatabasen. Det er en fantastisk ressurs på nettet. Bare slå den opp. AI-hendelsesdatabase. Det var oppsiktsvekkende, helt ferske saker som berørte prinsippene om åpenhet eller begrensning av skjevhet.

Vi snakket om eksempelet som ble gitt i hvert tilfelle. Hva gikk galt her? Hva kunne de ha gjort på forhånd for å unngå dette, eller nå som det har skjedd, hvilket ansvar har de for å redusere konsekvensene? Deretter hadde vi et åpent forum der vi diskuterte dette. Personene som kom inn i rommet, befant seg på alle stadier av sin personlige AI-transformasjonsreise.

Da de gikk ut av rommet, hadde de kanskje ikke endret vurderingen av hvor de befant seg. Greit nok. Men da de gikk tilbake til pultene sine og arbeidet med sine egne AI-aktiverte eller AI-fremmende prosjekter, visste de hvilket rammeverk de skulle arbeide innenfor. De hadde et vokabular for å diskutere bekymringer med teamet sitt eller eskalere dem til juridisk avdeling, samsvarsfunksjonen eller produktteamet etter behov.

Det var en flott erfaring. Jeg anbefaler det til alle. Det er utrolig morsomt å gjøre. Det forsterker også at vi snakker om menneskelige dyder og menneskelige verdier, og om innvirkningen på oss selv, familiene våre og planeten vår i fremtiden.

Galen Low: Hvem skulle lede disse samlingene hvis de ikke har en Lauren Wallace?

Lauren Wallace: Hvis du ikke har en Lauren Wallace, herregud. Dette bringer oss faktisk tilbake til et annet spørsmål: Hvem leder styringskomiteen deres? Dere har kanskje ikke en slik komité, men det er fint om dere har en, og det er fint om den er svært tverrfunksjonell, slik at alle blir involvert, også personer på ulike nivåer av ansiennitet i organisasjonen.

For noen av de friskeste tankene kommer fra personer som ikke nødvendigvis har vært der lenge eller har kommet langt i karrieren ennå. Men hvem bør lede den? Det er et godt spørsmål. Det er det samme spørsmålet for hver av disse tingene. Er det noen på produktsiden, som står svært nær hvordan selskapet bokstavelig talt tenker på å muliggjøre dette?

Eller bør det være noen innen G&A, som er tett på hvordan selskapet bruker penger på AI eller forventer å spare penger på AI? Dere må ha et bidrag fra ledelsen. Dere vil ha en leder som i det minste er sponsor for dette, men jeg kan også se for meg at dere deler oppgaven mellom ulike personer fra måned til måned.

Og får litt ulik verdi hver gang.

Galen Low: Jeg elsker det, og jeg elsker at du begynte med å bruke ordet fellesskap. Nå kan jeg se hvordan det utvikler seg, ikke nødvendigvis som et tradisjonelt praksisfellesskap, men som handlingen med å møtes for å dele informasjon, finne ut hvor det finnes samsvar eller behov for diskusjon, og utstyre hverandre med vokabularet som trengs for å fortsette samtalen i hverdagen.

For i hodet mitt, og sannsynligvis i hodet til noen av lytterne mine, er det slik: Må vi ansette en ekspert på AI, personvern og etisk implementering av AI for å lede lunsj- og læringssamlinger? Jeg tror egentlig tonen fra toppen, en ledersponsor, menneskene som gjør arbeidet, beslutningene de tar og det de tenker på, er nok til å skape dialogen.

Dette er et tverrfunksjonelt arbeid nå. Det er en samtale på tvers av mange funksjoner som må tas for å etablere det nye vi ikke hadde før. Ikke alle organisasjoner vurderte eller gjennomførte en AI-transformasjon tidligere, og nå er det en forutsetning.

Lauren Wallace: Det kom også så raskt.

Galen Low: Det gjorde det absolutt. Og det er det jeg liker ved det du sa i begynnelsen: Organisasjoner og institusjoner i regulerte bransjer hadde faktisk i noen tilfeller allerede denne kapasiteten til å håndtere risiko og føre dialog om risiko.

Lauren Wallace: Og de har tatt beslutninger om risikogrenser før.

Det er ikke en ny samtale. Du snakker om å få institusjonell støtte og tillatelse til å si nei til ting der du ikke allerede har integrert risikoperspektivet i det selskapet gjør. Det blir et vanskelig problem å løse fra første stund, sak for sak.

Tilbake til spørsmålet ditt om hvem som bør lede dette: Jeg tror ikke det er noe galt i å hente inn en konsulent som kan hjelpe deg med å etablere rammeverket for hvordan dere skal ha disse samtalene. Ellers kommer dere til å snakke hele dagen og aldri få gjort alt.

Galen Low: Det er rimelig.

Lauren Wallace: Men menneskene i organisasjonen er ekspertene som bør bidra med innspill til dette rammeverket og hjelpe dere med å bestemme hvordan dere skal avgjøre hvilke resultater dere skal oppnå.

Galen Low: For å runde av vil jeg snakke litt om fremtiden. Jeg tror ikke jeg skal gjøre krystallkule-tingen.

Vi har nevnt noen av reguleringene som har kommet tidligere, som GDPR, og det har vært samtaler nå og det siste tiåret eller mer om at lovgivningen ligger etter bruken av ting som sosiale medier. Vi har snakket om hvordan folk i regulerte bransjer faktisk kan ha et forsprang fordi de har bygget opp kapasiteten til å ha disse samtalene om risiko og samsvar.

De har varslingssystemene, de forstår angrepsflaten. Men jeg tenker: Du vil helst slippe å gå tilbake og gjøre om ting hvis det er mulig. Samtidig har ikke lovgivningen helt innhentet AI heller. Går alle organisasjoner litt inn i et gråområde?

Og har vi flere tiår foran oss med antakelser som senere blir møtt av lovgivning som endrer alt? Eller er det kanskje snudd? Vil faktisk atferd nå påvirke hvordan lovgivningen utformes?

Lauren Wallace: Det var et godt spørsmål, Galen.

Galen Low: Bare for å runde av med et lite spørsmål.

Lauren Wallace: Ja. Dette er et litt tankevekkende spørsmål.

Ingen problem. La oss tenke på loven et øyeblikk. Loven er bare en måte å skrive ned våre felles etiske prinsipper på og plassere dem et sted der folk kan finne dem, slik at de vet. Du er kanskje ikke enig i alt som er skrevet ned, og du deler kanskje ikke det etiske prinsippet, men du vet hvor du kan finne ut hva fellesskapet mener om dette felles prinsippet, og hvordan du skal følge det opp.

Prosessen med rettssaker finnes først og fremst for å håndtere problemer når de er nye, når de ikke har oppstått før, og når det ikke har vært tid til å behandle dem gjennom lovgivningssykluser. Derfor er det svært interessant å se på rettspraksis for å se hva som faktisk kommer ut av rettssammenhengen, og hvordan folk blir stilt til ansvar.

Vi snakket om gruppesøksmål for litt siden. Det er som å slå ned muldvarper, der du ser at leverandører av store grunnmodeller og grensemodeller noen ganger vinner og noen ganger taper. Det er mye spillerom i hvordan dette utspiller seg. Men resultatene fra disse rettssakene blir ofte ført tilbake til lovgivningen vår.

Men det tar lang tid. Vi sier at rettferdighetens hjul maler langsomt, men svært fint. Dermed ender du med lovgivning på 180 sider som forsøker å fange opp alle mulige scenarier, slik at du ikke får nye utfall som skaper en lovgivningssituasjon. Det er svært kostbart, tidkrevende og forferdelig for alle.

Det er noe av grunnen til at det tar så utrolig lang tid, og jeg tror ikke vi egentlig kan forvente at lovgiverne skal handle raskt i denne saken. Jeg vil egentlig ikke at de skal gjøre det. Vi så i Colorado da de kom med sin AI-lovgivning at de handlet ganske raskt. De fikk til noe ganske bra, og så måtte de trekke det tilbake fordi de ikke klarte å finne ut hvordan de faktisk skulle sette det i verk.

Så selskaper begynte å etablere samsvarsprogrammene sine proaktivt før regelen kom, og så ble den trukket tilbake, og kanskje kommer den i juni, eller kanskje etter det. Du kan virkelig bli pisket frem og tilbake av proaktivt regulatorisk samsvar.

Hvis du prøver å gjøre det punkt for punkt, blir det vanskelig. Hvis du har utviklet tonen fra toppen, hvis du vet hva det betyr å være en etisk organisasjon, og hvis du vet hvor risikogrensen din går, vil du plassere lovgivnings- eller rettsrisikoen på høyre side av kategorien og si: Greit, vi er villige til å møte den hvis det kommer til det. Men vi vet ikke nok akkurat nå. Det vi vet om oss selv, er hva vi mener er riktig, hva vi mener kundene våre forventer av oss, og at vi kan handle på det i dag.

Galen Low: Det var et fantastisk svar. Dette var utrolig. Tusen takk. Bare for moro skyld: Har du et spørsmål du vil stille meg?

Lauren Wallace: Det har jeg, Galen. Vi har hatt en svært interessant samtale. Vi har snakket om virkelig krevende og virkelig interessant arbeid de siste 45 minuttene eller så. Og om hvor komplekse hverdagene våre er. Så jeg vil sjekke hvordan du har det, og spørre når du sist tok ferie. Og hvis du reiste et sted, hvor dro du?

Galen Low: Det var for ett år siden, og det var Mexico. Det var en stor familietur med min kones side av familien – hele familien, søsteren hennes og barnet mitt. Ikke hunden. Hunden ble hjemme. Men det var deilig å bare sitte og henge. Vi hadde flott vær, og det var virkelig en oppladning og en refleksjon over familien, hvis det gir mening.

På godt og vondt. Livet går fort, og du velger ikke alltid retningene ting tar når det gjelder helse, karriere og alt mulig. Men ja, det var siste gang. Vi trenger en ny tur. Jeg kjenner faktisk, selv når vi snakker om AI-transformasjon, at du har rett i at det er svært få organisasjoner som ikke tenker på dette nå.

Noen føler seg tvunget til det, andre gleder seg til det, men det føyer seg inn i listen over ting vi må tenke på i en allerede hektisk verden. Det skjer mye. Å sette av tid, finne tid til ting og finne balansen – det er vanskelig. Jeg tror det er vanskelig for mange akkurat nå.

Kanskje på en snikende måte, kanskje uten at folk vet det. Jeg tror det er en innvirkning vi må snakke mer om i tidsånden: Hvordan livene våre ser ut nå som vi blir bedt om å drikke fra brannslangen på så mange områder.

Lauren Wallace: Den kognitive belastningen vår er umåtelig på dette tidspunktet, og noen ganger er det eneste du kan gjøre, det du gjorde: Ta med deg menneskene dine, dra et varmt sted og bare sette pris på det. Jeg er glad for at du gjorde det.

Galen Low: Og midlertidig. Ja. Flykte midlertidig.

Lauren Wallace: Det er flott.

Galen Low: Fantastisk. Lauren, tusen takk for at du var med meg i dag. Jeg satte stor pris på samtalen vår. For lytterne våre som også likte samtalen, hvor kan de lære mer om deg?

Lauren Wallace: Ta kontakt med meg på LinkedIn, så tar vi det derfra.

Galen Low: Flott. Fantastisk. Jeg legger også inn en lenke til Laurens profil i programnotatene, sammen med noe av lovgivningen vi nevnte og NOYB. Så sjekk det ut, og ja, det var alt.

Lauren Wallace: Takk, Galen.

Galen Low: Det var alt for dagens episode av podkasten The Digital Project Manager. Hvis du likte samtalen, må du abonnere der du lytter. Og hvis du vil ha enda flere praktiske innsikter, casestudier og arbeidsbøker, kan du gå til thedigitalprojectmanager.com.

Til neste gang: Takk for at du lyttet.