Kun tekoäly ei enää vain vastaa vaan toimii, kuka määrittää sen toimivallan?

1. Tekoäly on siirtymässä avustamisesta toimintaan

Ensimmäinen AI-aalto keskittyi tiedon tuottamiseen ihmisen arvioitavaksi. Seuraavaksi tekoäly alkoi suositella päätöksiä ja priorisoida vaihtoehtoja, Nyt AI voi käynnistää prosesseja, tehdä muutoksia järjestelmiin ja kommunikoi muiden toimijoiden kanssa rajapintojen välityksellä. Toiminnan vaikutukset voivat ulottua tekoäly-järjestelmän ulkopuolelle: asiakastietoihin, viestintään, maksuihin, käyttöoikeuksiin tai muihin liiketoimintaprosesseihin. Esimerkiksi asiakaspalvelu-AI voi ensin luonnostella vastauksen, sitten lähettää sen itsenäisesti, seuraavaksi muuttaa asiakkaan tietoja ja lopulta myöntää hyvityksen. Kyse voi olla samasta käyttötapauksesta, mutta jokainen uusi valtuus muuttaa sen riskiprofiilia. Riskiä ei siksi määritä vain käytetty malli, vaan myös se, mihin tietoihin ja toimintoihin tekoäly on kytketty. Governance-kysymys siirtyy vastauksien laadusta toiminnan hallintaan. Kun AI:n tuotoksista tulee organisaation toimintaa, ei enää riitä, että arvioidaan vastausten laatua. On arvioitava myös tekoälylle annettua toimivaltaa.

2. Älykkyys ei tarkoita toimivaltaa

Kyky tehdä hyviä ehdotuksia ei automaattisesti tarkoita oikeutta tehdä päätöksiä. Tekninen pääsyoikeus ei vielä tarkoita organisatorista toimivaltaa. Organisaatioissa toimivalta perustuu rooleihin, vastuisiin ja delegointeihin, ei osaamiseen yksinään. AI voi päästä käsiksi tietoon, jota se tarvitsee tehtävän suorittamiseen, mutta sillä ei silti välttämättä ole oikeutta tehdä tietoon perustuvaa päätöstä. tekoälyn kohdalla älykkyyden ja päätösvallan erottaminen on keskeinen hallintaperiaate.

Käsite	Keskeinen kysymys
Kyvykkyys	Mitä AI pystyy tekemään?
Pääsyoikeus	Mihin tietoihin, työkaluihin ja järjestelmiin se pääsee?
Toimivalta	Mitä se saa tehdä organisaation puolesta?
Vastuu	Kuka hyväksyy, valvoo ja vastaa seurauksista?

Ihmiselle annettuun toimivaltaan liittyy tavallisesti tehtävä, rooli, vastuu, valvonta ja mahdollisuus puuttua väärään toimintaan. Saman periaatteen pitäisi koskea tekoäly-agentteja. AI:n valtuuksia ei pitäisi johtaa sen kyvykkyydestä vaan käyttötarkoituksesta, riskitasosta ja organisaation tietoisesta päätöksestä. Ihmisen mukanaolo ei yksin ratkaise ongelmaa: myös ihmisen tehtävä ja todellinen mahdollisuus arvioida tekoälyn toimintaa on määriteltävä. Muodollinen hyväksyntäpainike ei ole aitoa ihmisvalvontaa, jos hyväksyjällä ei ole aikaa, tietoa tai valtuuksia kyseenalaistaa ehdotusta. Riskit syntyvät usein silloin, kun tekninen kyvykkyys tulkitaan automaattisesti oikeudeksi toimia. AI:n kyvykkyys vastaa kysymykseen “voiko se tehdä tämän?”. Governance vastaa kysymykseen “saako se tehdä tämän ja millä ehdoilla?”

3. Tekoälynhallinta (AI governance) on yhä enemmän toimivallan hallintaa

Tekoäly-agentit voivat jo tehdä hankintoja, käsitellä tikettejä, hyväksyä työnkulkuja ja hallita järjestelmiä. Käytännössä organisaatiot delegoivat AI:lle päätösvaltaa, vaikka sitä ei aina tunnisteta sellaiseksi. Toimivalta voi syntyä vähitellen integraatioiden ja automaation kautta ilman tietoista päätöstä. Keskeinen kysymys ei ole voiko tekoäly toimia, vaan missä rajoissa sen pitäisi saada toimia eli mikä on AI:n toimivaltakehys tai valtuusalue. Jokaiselle merkittävälle tekoäly-agentille pitäisi pystyä määrittelemään ainakin:

• käyttötarkoitus ja tehtävä
• nimetty omistaja tai vastuullinen sponsori
• käytettävissä olevat tiedot, järjestelmät ja työkalut
• sallitut päätökset ja toimenpiteet
• kielletyt toimenpiteet
• euromääräiset, ajalliset tai muut toimintarajat
• tilanteet, joissa tarvitaan ihmisen hyväksyntä
• seuranta-, raportointi- ja uudelleenarviointikäytännöt
• toimivallan voimassaolo ja peruuttaminen.

Koska erilaiset muutokset toimintaympäristössä voivat kasvattaa AI:n toimivaltaa, niin sitä pitäisi arvioida aina, kun:

• käyttötarkoitus muuttuu
• agenttiin liitetään uusi tietolähde tai työkalu
• pääsyoikeuksia laajennetaan
• hyväksyntävaihe poistetaan
• agentin toimintaa laajennetaan uuteen prosessiin.

Ajatus erillisestä agentin identiteetistä, omistajasta, elinkaaresta ja valtuutuksesta ei ole enää vain teoriaa, vaan sitä rakennetaan jo yritysten identiteetinhallintaan. Esimerkiksi Microsoft käsittelee agenttien identiteettejä, sponsoreita, elinkaaren hallintaa ja pääsyoikeuksien suojaamista omana kokonaisuutenaan. (Microsoft Entra Agent ID)

4. Politiikka ei yksin pysäytä rajan ylittämistä

Dokumentoitu politiikka ei yksin estä järjestelmää tekemästä jotain, jos tekniset kontrollit puuttuvat. Governance epäonnistuu usein silloin, kun vastuut määritellään paperilla mutta niitä ei valvota teknisesti. Tekoäly-agentit tarvitsevat samantyyppisiä käyttöoikeus- ja valtuutusmalleja kuin ihmiset. Organisaatioiden on siirryttävä “policy by document” -ajattelusta “policy by design” -ajatteluun. Tämä tarkoittaa kolmea erilaista kontrollityyppiä:

• Ennalta ehkäisevät kontrollit: pääsyoikeudet, toimintarajat, hyväksyntäpisteet ja tehtävien eriyttäminen.
• Havaitsevat kontrollit: lokitus, poikkeamien tunnistaminen, toiminnan seuranta ja hälytykset.
• Korjaavat kontrollit: toiminnan keskeyttäminen, valtuuksien poistaminen, päätöksen palauttaminen ja poikkeaman käsittely.

AI:lla pitäisi olla oma tunnistettava identiteetti; sen ei lähtökohtaisesti pitäisi toimia käyttäjän tai pääkäyttäjän rajoittamattomilla oikeuksilla. Agentille annettujen oikeuksien pitäisi noudattaa vähimpien oikeuksien periaatetta. Korkean vaikutuksen toimenpiteissä voidaan tarvita euromääräisiä rajoja, kaksinkertaista hyväksyntää tai tehtävien eriyttämistä. Kontrollien on ulotuttava myös poikkeustilanteisiin: mitä tapahtuu, jos tekoäly yrittää tehdä jotain kiellettyä tai toimii odottamattomasti? Kaikkien kontrollien ei tarvitse olla teknisiä. Myös hyväksymismenettelyt, vastuunjako, koulutus, säännölliset arvioinnit ja muutoksenhallinta ovat osa kokonaisuutta. AI-politiikka kertoo, miten tekoälyä pitäisi käyttää. Toimiva governance varmistaa, että politiikka näkyy myös oikeuksissa, hyväksynnöissä, prosesseissa, seurannassa ja poikkeamien käsittelyssä.

5. Päätöksestä on pystyttävä rakentamaan todistusketju

Jokaisesta merkittävästä tekoälyn tekemästä tai tukemasta päätöksestä pitäisi jäädä jälki. On pystyttävä osoittamaan mitä tietoa käytettiin, mitä sääntöjä sovellettiin ja kuka oli vastuussa. Audit trail muuttuu keskeiseksi osaksi tekoälynhallintaa, mutta pelkkä tapahtumaloki ei yksin riitä. Evidenssin tarkkuuden pitäisi olla suhteessa päätöksen merkittävyyteen ja riskiin. Todistusketjun pitäisi kyetä vastaamaan seuraaviin kysymyksiin:

• mikä AI-järjestelmä tai agentti toimi
• millä versiolla ja määrityksillä se toimi
• mitä tietoa ja tietolähteitä käytettiin
• mitä ohjetta, politiikkaa tai sääntöä sovellettiin
• mitä AI suositteli tai päätti
• puuttuiko ihminen toimintaan tai hyväksyikö hän sen
• mitä toimenpiteitä järjestelmissä tehtiin
• mikä oli lopputulos
• kuka vastasi käyttötapauksesta ja valvonnasta.

Kaikkea ei pidä kerätä rajattomasti: jäljitettävyyden rinnalla on huomioitava tietosuoja, säilytysajat ja tietojen minimointi. Myös poikkeukset, valtuuksien muutokset ja hyväksyntäpäätökset kuuluvat audit trailiin. Jäljitettävyys palvelee auditoinnin lisäksi virheiden selvittämistä, toiminnan kehittämistä ja vastuun osoittamista. AI:n tuottaman lopputuloksen lisäksi pitäisi voida arvioida sitä prosessia, jolla lopputulokseen päädyttiin. Luottamus ei tarkoita sitä, että tekoäly on aina oikeassa. Se tarkoittaa, että organisaatio pystyy selvittämään, miten AI toimi, miksi se toimi niin ja kuka toiminnasta vastasi.

6. Skaalaaminen alkaa hallitusta toimivallasta

Organisaatiot voivat turvallisesti kasvattaa tekoälyn käyttöä vain, jos toimivallan rajat ovat selvät. Toimivalta pitäisi aloittaa pienimmästä tehtävän kannalta riittävästä tasosta. Ensin määritellään mitä AI saa tehdä, vasta sitten kuinka laajasti sitä käytetään. Laajentamisen pitäisi perustua mitattuun suorituskykyyn, havaittuihin poikkeamiin ja kontrollien toimivuuteen. Tekoälyn toimivaltaa kannattaa laajentaa asteittain esim. hallitun toimivallan laajentamisen mallilla: Määrittele → rajaa → ota käyttöön → seuraa → arvioi → laajenna, säilytä tai peruuta.

• AI:n toimivalta ei ole yksi lineaarinen asteikko, vaan useista rajoista muodostuva kokonaisuus.
• Jokaiselle käyttötapaukselle määritellään pienin tehtävän suorittamiseen riittävä toimivalta.
• Toimivaltaa rajataan tehtävien, tietojen, järjestelmien, vaikutusten ja ihmisen hyväksyntäpisteiden perusteella.
• Laajentamisen pitää perustua toiminnasta kerättyyn evidenssiin, ei pelkästään tekniseen kyvykkyyteen.
• Jokainen merkittävä toimivallan muutos on dokumentoitu governance-päätös.
• Toimivaltaa on voitava laajentamisen lisäksi rajata, keskeyttää ja peruuttaa.
• Tekoälyn skaalaaminen tarkoittaa hallittua toimivaltakehyksen muuttamista, ei automaattista etenemistä kohti täydellistä autonomiaa.

Hallittu delegointi mahdollistaa automaation laajentamisen ilman hallinnan menettämistä. Toimivallan laajentaminen on governance-päätös, ei vain tekninen konfiguraatiomuutos. Johdon pitäisi saada näkyvyys siihen, kuinka paljon toimivaltaa AI:lle on kokonaisuutena delegoitu. Organisaation kypsyys ei näy siinä, kuinka itsenäisiä sen tekoäly-agentit ovat, vaan siinä, kuinka tietoisesti niiden itsenäisyys on päätetty ja rajattu. Tulevaisuuden menestyjät eivät välttämättä ole organisaatioita, jotka antavat tekoälylle eniten valtaa. Ne ovat organisaatioita, jotka osaavat antaa sille oikean määrän valtaa, oikeaan tarkoitukseen ja hallituin ehdoin.