Retningslinjer og personvern før dere slipper AI løs

De fleste bedrifter har allerede ansatte som bruker AI-verktøy, med eller uten tillatelse. Spørsmålet er ikke om dere skal tillate det, men hvordan dere gjør det trygt. Det krever fire avklaringer og én side med regler.

Avklaring 1: Hvilke data kan deles?

Del dataene deres i tre klasser, og bestem hva som gjelder for hver:

Det viktigste er klasse tre. En kundeliste eller en lønnsfil inn i et gratis chatteverktøy er et brudd på personvernregelverket, uansett hvor nyttig svaret var.

Avklaring 2: Databehandleravtale

Et AI-verktøy som behandler personopplysninger på vegne av dere, er en databehandler etter GDPR, og da trengs en databehandleravtale. De store leverandørene (Microsoft, Google, OpenAI, Anthropic) tilbyr dette i bedriftsabonnementene sine, men ikke i gratisversjonene.

Sjekk tre ting i avtalen: hvor dataene lagres, om de brukes til å trene modeller (svaret skal være nei), og hvor lenge de beholdes.

Og sjekk én ting til, som ofte glipper: hvilken konto de ansatte faktisk logger inn med. Bedriften kan ha en Team- eller Enterprise-avtale, mens en utvikler bruker sitt eget Pro- eller Max-abonnement i kodeverktøyet fordi det har høyere grenser. Da går koden under forbrukervilkårene, utenfor avtalen dere har signert.

Avklaring 3: Hvem eier resultatet?

Tekst, kode og bilder laget med AI kan ha uklar opphavsrett. For intern bruk spiller det liten rolle. For ting dere selger eller publiserer, bør et menneske ha bearbeidet resultatet, og dere bør vite hva verktøyets vilkår sier om eierskap.

Avklaring 4: Hvem godkjenner nye verktøy?

Nye AI-verktøy kommer hver uke. Én person (ofte den som har ansvar for IT eller sikkerhet) skal kunne si ja eller nei innen noen dager, etter en kort sjekkliste: databehandleravtale, lagringssted, trening på data, pris.

Retningslinjen på én side

Kopier og tilpass:

Bruk av AI-verktøy i [Bedrift AS]

1. Du kan bruke AI-verktøy i jobben. Vi oppfordrer til det.
2. Godkjente verktøy står på listen [lenke]. Ønsker du et nytt, spør [navn].
3. Åpne og interne data kan brukes i godkjente verktøy. Personopplysninger, helseopplysninger, passord og kontrakter under NDA skal aldri inn i et AI-verktøy uten særskilt godkjenning.
4. Du er ansvarlig for det du leverer, uansett om AI har laget det. Les gjennom, sjekk fakta, og rett.
5. Si fra hvis noe går galt. Ingen får kjeft for å melde fra.

Oppdatert [dato]. Spørsmål: [navn].

Fem punkter er nok. En retningslinje på ti sider leses ikke.

Hva dere gjør etterpå

Gå gjennom retningslinjen etter tre måneder. Da vet dere hvilke verktøy som faktisk brukes, og hva de brukes til. Oppdater listen og klassifiseringen, og gjør det til en vane: kort gjennomgang hvert halvår.

Les også AI i kontorjobben: hvor det gir mest effekt først, og se hvordan jeg selv følger disse reglene i kundeoppdrag.