AI-policy for bedriften: slik lager du den på én side

Det er lett å tenke at en AI-policy er noe bare store konsern trenger. Men de ansatte bruker allerede kunstig intelligens, ofte uten å tenke over det. De limer inn e-poster for å få dem omskrevet, ber en chatbot oppsummere et møtereferat, eller lar et gratisverktøy rydde i et regneark. Problemet oppstår når det som limes inn inneholder kundedata, personopplysninger eller forretningshemmeligheter.

En kort policy handler ikke om å forby teknologien, men om å gjøre det trygt å bruke den. Uten regler tar hver ansatt sine egne vurderinger, og da er det bare et tidsspørsmål før noe sensitivt havner et sted det ikke burde. Med enkle, tydelige kjøreregler får dere gevinsten uten å ta unødig risiko. Hvordan det ser ut når reglene mangler, kan du lese i Shadow AI.

Test selv: spør tre ansatte hvilket AI-verktøy de brukte sist uke, og til hva. Får du tre ulike svar, eller ett «ingen» du ikke helt tror på, trenger dere arket.

En AI-policy trenger ikke være lang, men den bør svare på det viktigste. Tenk på den som en huskeliste alle kan forholde seg til:

1. Hvilke verktøy er godkjent? Pek ut konkrete tjenester dere har vurdert, i stedet for å la det være fritt frem.
2. Hvilke data er lov å legge inn? Og, enda viktigere, hva skal aldri limes inn: personopplysninger, kundedata, forretningshemmeligheter, passord.
3. Hvem har ansvaret? Én person eller rolle som eier retningslinjene og svarer på spørsmål.
4. Hvordan kvalitetssikres svarene? AI kan ta feil med stor selvsikkerhet. Slå fast at et menneske alltid sjekker resultatet før det brukes.
5. Hva gjør vi ved feil? En enkel rutine for å si fra hvis noe sensitivt likevel blir delt.

Gjør reglene konkrete og enkle å følge, og oppdater dem jevnlig etter hvert som verktøyene endrer seg. En policy som ligger i en skuff hjelper ingen. Den må være kjent og kort nok til å bli lest.

Test selv: kan du svare på de fem spørsmålene over for din bedrift på under et minutt hver? De du ikke kan svare på, er policyen.

Et sentralt spørsmål er hvor dataene faktisk behandles. Mange kommersielle løsninger behandler data i USA. EU-kommisjonen vedtok 10. juli 2023 beslutningen om EU-US Data Privacy Framework, som gjør at personopplysninger kan overføres til amerikanske selskaper som er sertifisert under rammeverket. Standard personvernbestemmelser (SCC) kan brukes i tillegg eller i stedet. Derfor er det i praksis greit for mange bedrifter å bruke disse tjenestene i dag, så lenge leverandøren er sertifisert og databehandleravtalen er på plass.

Men hver enkelt bedrift må selv vurdere hvilke data de er komfortable med å sende ut av huset. En tommelfingerregel: alminnelig arbeid (utkast til tekst, idémyldring, oppsummering av offentlig informasjon) er sjelden et problem, mens helseopplysninger, fødselsnummer, sensitive personopplysninger og forretningskritisk informasjon bør holdes utenfor med mindre dere har et forsvarlig oppsett.

Leverandørene har dokumentert hva som skjer med dataene i bedriftsversjonene:

• OpenAI: data sendt via API-et brukes ikke til trening (siden 1. mars 2023). Misbrukslogger slettes etter inntil 30 dager, og eu.api.openai.com gir lagring og behandling i Europa.
• Microsoft: spørsmål, svar og data fra Microsoft Graph brukes ikke til å trene språkmodellene i Copilot, og trafikk fra EU-brukere holdes innenfor EU Data Boundary.
• Datatilsynet har sammen med NTNU laget et eget videounivers om hva det krever å være «Copilot-klar» med personvernet i behold (juni 2025).

Trenger dere mer kontroll, finnes det løsninger der dataene behandles i EU eller på egne servere:

• Enterprise-lisenser hos de store leverandørene tilbyr databehandleravtale og at data ikke brukes til trening.
• Azure OpenAI eller AWS lar dere velge at behandlingen skjer i et europeisk datasenter.
• Lokal (selvhostet) språkmodell gir full kontroll. Dataene forlater aldri deres egne servere, mot noe høyere teknisk terskel.

Test selv: finn leverandøren av det verktøyet dere bruker mest i lista over sertifiserte selskaper på dataprivacyframework.gov. Står de ikke der, må overføringen hvile på standard personvernbestemmelser, og da bør noen faktisk ha lest dem.

Du trenger ikke et stort prosjekt for å komme i gang. Start smått og bygg ut:

1. Skriv en policy på én side med godkjente verktøy og hva som aldri skal deles. Bruk malen over.
2. Pek ut en ansvarlig som eier og oppdaterer retningslinjene.
3. Gi de ansatte en kort innføring, gjerne 30 minutter med praktiske eksempler. Det dekker også kompetansekravet i AI-forordningens artikkel 4.
4. Avklar databehandleravtale og datalokasjon før et verktøy tas i bruk for alvor.
5. Sett en dato for neste gjennomgang, for eksempel om seks måneder.

Trenger dere hjelp til å komme i gang, kan dere legge ut et oppdrag på Opplink og få tilbud fra fagfolk innen kunstig intelligens og personvern. Hvordan de ansatte kan bruke verktøyene godt når reglene er på plass, står i sju praktiske eksempler.