En AI-politik, medarbejderne faktisk kan bruge

En medarbejder har 20 minutter til at gøre et notat forståeligt. Hun har hørt, at AI-værktøjet kan hjælpe, men notatet omtaler en konkret borger. På intranettet ligger en 18-siders “politik for ansvarlig anvendelse af kunstig intelligens”.

Hun åbner den ikke.

Det er ikke nødvendigvis medarbejderens fejl. En politik, der kun kan bruges af dem, som allerede kender svaret, styrer ikke adfærd.

En god AI-politik skal fungere i to højder: Ledelsen og specialisterne har brug for et dokument, der fordeler ansvar og beskriver kontrol. Medarbejderen har brug for en kort vejledning, der hjælper i det konkrete øjeblik.

Politik er mere end forbud

Mange første versioner består af sætninger som:

• Indtast aldrig fortrolige oplysninger.
• Kontrollér altid output.
• Brug AI ansvarligt.

De er ikke forkerte, men de er for åbne.

Hvad er fortroligt i praksis? Hvordan kontrollerer man et referat? Må man bruge den indbyggede assistent i kontorpakken, når man ikke må bruge en gratis offentlig chatbot? Hvem spørger man, hvis systemet allerede er aktiveret?

En anvendelig politik giver svar, eksempler og en vej videre. Den gør sikker adfærd lettere end usikker adfærd.

Lav to lag

Lag 1: Den korte brugsvejledning

En eller to sider med:

• godkendte værktøjer og kontotyper
• grønne, gule og røde anvendelser
• dataregler med konkrete eksempler
• krav til kontrol og åbenhed
• hvem der kan godkende en undtagelse
• hvor fejl og tvivl rapporteres

Den skal ligge, hvor arbejdet sker: i onboarding, værktøjsportalen og måske som et link direkte i AI-løsningen.

Lag 2: Styringsgrundlaget

Et mere detaljeret dokument for ledelse, IT, indkøb, HR, databeskyttelse og sikkerhed:

• formål og anvendelsesområde
• roller og beslutningsret
• vurdering og godkendelse af systemer
• leverandørkrav
• databehandling, adgang og logs
• test, overvågning og hændelser
• AI-færdigheder og dokumentation
• revision og ændringsstyring

De to lag skal hænge sammen. Brugsvejledningen må ikke love noget, som aftaler og teknik ikke kan holde.

Brug grøn, gul og rød – med virkelige eksempler

Farver er ikke jura, men de kan gøre en kompleks vurdering håndterbar.

Grøn: normalt tilladt

Eksempler kan være:

• idéer til en workshop uden person- eller virksomhedsoplysninger
• sproglig forbedring af en offentlig tekst
• forslag til overskrifter ud fra allerede publiceret materiale
• opsummering af et dokument, der er offentligt og godkendt til værktøjet
• oprettelse af en generisk tjekliste

Selv grøn brug kræver kontrol. En offentlig tekst kan stadig indeholde fejl, og et generisk forslag kan være dårligt.

Gul: kræver særlige vilkår eller godkendelse

• interne dokumenter i en godkendt erhvervsløsning
• mødeopsummering med kendte deltagere
• udkast til kundekommunikation
• analyse, der kan påvirke en beslutning om mennesker
• upload af større dokumentmængder
• en agent, der kan læse i interne systemer

Her skal vejledningen sige hvilke vilkår: bestemt konto, databehandleraftale, menneskelig godkendelse, sletning efter en periode eller faglig ejer.

Rød: ikke tilladt i den beskrevne form

• hemmeligheder, adgangskoder og sikkerhedsnøgler
• følsomme personoplysninger i et ikke-godkendt værktøj
• automatisk afgørelse med væsentlig konsekvens uden lovligt grundlag og kontrol
• falske personer, stemmer eller billeder, der kan vildlede
• handlinger i systemer uden godkendt adgang og stopmekanisme
• omgåelse af betaling, ophavsret, sikkerhed eller interne kontroller

Skriv altid “i den beskrevne form”. En rød opgave kan måske løses på en sikker måde efter anonymisering, et andet værktøj eller en faglig vurdering.

Datareglen skal komme før prompten

Medarbejderen skal kunne afgøre, om materialet må sendes, før det ligger i chatfeltet.

Beskriv datakategorier i jeres eget sprog:

• offentligt materiale
• internt materiale
• fortroligt forretningsmateriale
• almindelige personoplysninger
• følsomme eller strafbare forhold
• hemmeligheder og legitimationsoplysninger

Knyt dem til konkrete værktøjer. “ChatGPT” kan eksempelvis dække en privat gratis konto, en godkendt erhvervskonto og en teknisk integration med forskellige indstillinger og aftaler. Et produktnavn alene er ikke en datakategori.

Forklar også, at anonymisering kræver mere end at fjerne navnet. En stilling, en sjælden sygdom og en lille afdeling kan tilsammen identificere personen.

Gør kontrol til en arbejdsopgave

“Kontrollér output” skal omsættes til noget, der kan udføres.

For et referat kan kontrollen være:

• sammenlign beslutninger og frister med optagelse eller egne noter
• bekræft navne og ansvar hos deltagerne
• fjern udsagn, der ikke hører til i et varigt referat
• markér uenighed i stedet for at udglatte den

For en faglig tekst:

• åbn primære kilder
• kontrollér tal, datoer, citater og undtagelser
• søg efter manglende modargumenter
• vurder om sproget passer til modtageren

For kode, beregninger eller juridiske beslutninger kræves andre kontroller. Politikken bør pege på de faglige procedurer frem for at lade én generel sætning bære det hele.

Fordel ansvaret uden at skubbe det nedad

Det er fristende at skrive: “Brugeren er ansvarlig for alt output.” Det er urimeligt, hvis organisationen har valgt værktøjet, slået det til og sat tidsmål, der gør kontrol umulig.

Fordel ansvaret:

• Ledelsen fastlægger risikovillighed, prioriterer ressourcer og accepterer væsentlige anvendelser.
• Faglig ejer definerer formål, kvalitet, undtagelser og menneskelig kontrol.
• IT og sikkerhed styrer adgang, integration, logs og tekniske barrierer.
• Databeskyttelse/jura rådgiver om grundlag, aftaler og rettigheder.
• Indkøb sikrer dokumenterbare leverandørkrav.
• HR/L&D sørger for rollebaserede AI-færdigheder.
• Brugeren følger vejledningen, kontrollerer inden for sin opgave og rapporterer fejl.

Hvis alle er ansvarlige, er ingen ansvarlig. Sæt navne eller funktioner på.

Giv et godkendt alternativ

Et forbud virker dårligt, hvis værktøjet løser et reelt problem, og organisationen ikke tilbyder andet.

Hvis medarbejderne ikke må bruge en offentlig chatbot til interne dokumenter, bør de vide:

• om der findes en godkendt erhvervsløsning
• hvordan de får adgang
• hvilke dokumenter den må bruges til
• hvilken manuel metode de skal bruge indtil da
• hvor de kan foreslå en ny anvendelse

Skyggebrug opstår ofte, fordi behovet er ægte og den officielle vej er uklar eller langsom.

Rapporter fejl uden skam

Medarbejdere vil begå fejl: indsætte noget forkert, stole for meget på et svar eller opdage, at en ny funktion deler mere end forventet.

Politikken skal beskrive:

• hvor hændelsen rapporteres
• hvilke oplysninger der skal med
• hvem der vurderer sikkerhed, persondata og faglig konsekvens
• hvordan adgangen kan stoppes
• hvordan den berørte medarbejder får hjælp

En kultur, der straffer den første ærlige rapport, får færre rapporter – ikke færre hændelser.

Test politikken med fem scenarier

Før publicering, giv vejledningen til medarbejdere fra forskellige funktioner. Bed dem løse scenarier:

1. “Må jeg få hjælp til at omskrive denne offentlige webtekst?”
2. “Må jeg uploade et internt budget til den AI, der følger med min private konto?”
3. “Mødeassistenten er slået til. Hvem skal informeres, og hvad gemmes?”
4. “AI’en har skrevet et forkert tal i et tilbud, der er sendt. Hvad gør jeg nu?”
5. “Jeg vil forbinde en agent til vores fællespostkasse. Hvem godkender?”

Hvis brugerne når forskellige svar, skal politikken forbedres. Mål forståelse, ikke kun om alle har klikket “læst”.

Opdatér efter virkeligheden

NIST anbefaler, at acceptable-use-politikker omfatter både egne og tredjeparts AI-teknologier og data. Det er vigtigt, fordi AI-funktioner dukker op i værktøjer, organisationen allerede har købt.

Gennemgå politikken:

• på en fast dato, eksempelvis hvert kvartal
• når en væsentlig funktion eller leverandør ændres
• efter en hændelse eller klage
• når ny lovgivning eller vejledning bliver relevant
• når medarbejdere finder gentagne gråzoner

Bevar versionshistorik og kommuniker ændringer kort: Hvad er nyt, hvem berøres, og fra hvilken dato?

Den gode politik skaber kvalificerede ja’er

En brugbar AI-politik er ikke skrevet for at stoppe teknologi. Den gør det muligt at sige ja til de rigtige anvendelser på tydelige vilkår – og nej til dem, hvor data, konsekvens eller ansvar ikke er under kontrol.

Hvis medarbejderen kan finde sit værktøj, sin datatype og sin opgave på to minutter, har I et arbejdsredskab. Hvis faglige ejere ved, hvordan en ny idé vurderes, har I en styringsproces. Hvis fejl fører til læring og ændringer, har I begyndelsen på moden praksis.

Resten er papir.

Kilder og videre læsning

• Digitaliseringsstyrelsen: Guide til virksomheder om generativ AI – dansk myndighedsguide til ansvarlig anvendelse.
• NIST: Generative AI Profile – anbefalinger om blandt andet acceptable-use-politikker, data, tredjepart og overvågning.
• NIST: AI RMF Playbook – Govern – praktiske handlinger til ansvar, politik og governance.
• Digitaliseringsstyrelsen: Dataetik i virksomheder – danske ressourcer til at arbejde struktureret med dataetiske valg.
• Datatilsynet: Kunstig intelligens – vejledning og afgørelser om AI og databeskyttelse.