AI-værktøjer kan gøre det hurtigere at finde det relevante i en stor mailboks, men de ændrer ikke på reglerne. Gennemgangen skal stadig have et sagligt formål, være afgrænset og kunne dokumenteres. Dertil kommer tre særlige spørgsmål: Hvem får adgang til data gennem værktøjet, hvor sendes data hen, og kan I forklare bagefter, hvad værktøjet fandt, og hvad det overså? Tjek altid reglerne og jeres aftaler, før I bruger AI i en konkret sag.
Fristelsen er tydelig. En leder med adgang til Copilot i Microsoft 365 kan skrive “find alle mails, hvor [medarbejder] har sendt priser til eksterne” og få et svar på sekunder. Det er netop det, der gør det risikabelt.
Tre måder, AI kan komme ind i sagen
- En leder bruger Copilot eller lignende på egen hånd · Ingen afgrænsning, ingen dokumentation, mulig adgang til for meget
- IT bruger et AI-værktøj til at søge i en eksport · Data kan sendes til en tjeneste uden aftale
- En ekstern bruger et review-værktøj med AI-funktioner · Typisk den mest kontrollerede løsning, hvis den er aftalt
Spørgsmål 1: Adgang
Et AI-værktøj, der er bygget ind i jeres kontorpakke, ser typisk det, brugeren har adgang til. Har en leder eller en administrator bred adgang, kan værktøjet finde og opsummere indhold fra mailbokse og mapper, som vedkommende normalt aldrig ville åbne. Det kan betyde, at en gennemgang sker uden afgrænsning og uden, at nogen har besluttet den.
→ Copilot i Microsoft 365: hvad kan den finde?
Tjek derfor, hvem der har adgang til hvad, før AI tages i brug. Det er et godt spørgsmål at stille, også uden for en konkret sag.
Spørgsmål 2: Hvor sendes data hen?
Hvis mails eksporteres og lægges ind i en AI-tjeneste uden for jeres egen kontorpakke, kan personoplysninger blive sendt til en ny leverandør, måske uden for EU. Det kræver typisk en databehandleraftale og en vurdering af overførslen. Mange gratis eller private AI-tjenester er slet ikke egnede til den slags materiale.
→ Databehandleraftalen: bistand ved undersøgelser
Spørgsmål 3: Kan I forklare resultatet?
I en sag skal I kunne forklare, hvordan I fandt det, I fandt, og hvorfor I ikke fandt andet. Det er sværere med AI end med søgeord. Et sprogmodel-svar kan udelade relevante mails, opsummere forkert eller finde på detaljer. Hvis modparten spørger, om gennemgangen var fuldstændig, er “AI’en sagde det” et svagt svar.
Derfor bør AI bruges som hjælp til at prioritere, ikke som det endelige grundlag. Det, der bruges som bevis, skal være de oprindelige mails, fundet og kontrolleret på en måde, der kan efterprøves. Den juridiske side af AI i dokumentgennemgang er beskrevet for advokater.
→ AI-værktøjer i dokumentgennemgang
Hvad I gør nu, i rækkefølge
- Lad være med at “lige spørge Copilot” om en medarbejder, der er under mistanke.
- Bevar mailboksen først. AI ændrer ikke på, at data skal sikres.
- Skriv formål og afgrænsning ned som ved enhver anden gennemgang. → GDPR-tjekliste før en intern undersøgelse
- Beslut, om AI skal bruges, og hvilket værktøj. Skriv beslutningen ned.
- Tjek aftaler og dataflow med IT og databeskyttelsesrådgiveren.
- Dokumentér brugen. Hvilke forespørgsler, hvilke resultater, hvem kontrollerede dem.
- Kontrollér resultaterne manuelt før de bruges.
Hvem gør hvad
- Leder · Beslutter, om AI må bruges
- IT · Kortlægger adgange og dataflow
- DPO eller persondataansvarlig · Vurderer aftaler og overførsel
- IT-sagkyndig · Udfører og dokumenterer søgningen
- Advokat · Vurderer brugen i sagen
Det skal I lade være med
- At bruge en privat AI-konto til at analysere virksomhedens mails.
- At kopiere mails ind i en chatbot for at få et resumé.
- At bruge AI-resuméer som bevis. Brug de oprindelige mails.
- At lade AI vurdere, om medarbejderen har handlet illoyalt. Det er en menneskelig vurdering, der skal kunne begrundes.
- At glemme, at forespørgslerne gemmes. Det, I spørger AI om, kan selv blive en del af sagen og blive set af andre administratorer.
AI-sporene efter jer selv
Når en leder bruger et AI-værktøj i kontorpakken, gemmes forespørgsler og svar ofte et sted. De kan blive omfattet af en indsigtsanmodning eller en editionsbegæring. Skriv derfor forespørgsler sagligt, og brug ikke AI til spekulationer om personer. Hvis I har en AI-politik, bør den sige noget om brug i personalesager. → AI-politik: skriv den, så den kan bruges
Hvornår AI giver mening
AI kan være nyttigt, når der er store mængder data, og der er brug for at sortere hurtigt. Det kan for eksempel hjælpe med at gruppere mails efter emne, finde dubletter eller pege på tråde, der skal læses af et menneske. Det giver mest mening i et kontrolleret værktøj, hvor data bliver i et sikkert miljø, og hvor forespørgsler og resultater logges.
Søgeord, filtre og AI: en praktisk sammenligning
Søgeord er gennemsigtige. I kan vise præcis, hvad der blev søgt på, og enhver kan gentage søgningen og få samme resultat. Til gengæld kan de overse mails, hvor der bruges andre ord, eller hvor indholdet ligger i en vedhæftning, der ikke kan søges i.
Filtre på afsender, modtager, domæne og periode er ofte det mest præcise første skridt. De kræver ingen fortolkning, og de er lette at forklare.
AI-funktioner kan finde mails, der handler om et emne, selv om de ikke bruger de forventede ord. Men de giver ikke altid samme svar to gange, og det kan være svært at forklare, hvorfor en bestemt mail kom med eller blev udeladt.
I praksis kombineres de tre ofte: filtre for at afgrænse, søgeord for at finde det oplagte, og eventuelt AI til at foreslå yderligere tråde, som et menneske derefter læser. Det vigtigste er, at hvert skridt skrives ned, så gennemgangen kan efterprøves.
Når medarbejderen selv har brugt AI
Det er et andet spørgsmål, men det dukker ofte op i samme sag: Har medarbejderen lagt virksomhedens data i en AI-tjeneste? Så er det sporene efter medarbejderens brug, der skal sikres, ikke jeres egen gennemgang, der skal foregå med AI. Hold de to ting adskilt i sagsmappen.
Notat over AI-brugen
Hvis I bruger AI i gennemgangen, så før et kort notat: hvilket værktøj og hvilken version, hvor data lå, hvem der stillede forespørgslerne, ordlyden af dem, hvilke resultater der kom, og hvem der kontrollerede dem mod de oprindelige mails. Notatet gør det muligt at forklare gennemgangen, hvis modparten spørger, og det viser, at AI var et hjælpemiddel og ikke det, der traf beslutningen.
Hvornår skal I have hjælp udefra
Få en IT-sagkyndig ind, hvis en stor mængde mails skal gennemgås. Valget mellem søgeord, filtre og AI-funktioner afhænger af sagen, og det vigtigste er, at gennemgangen kan efterprøves. Få juridisk råd, før personoplysninger sendes til en ny tjeneste, og før AI-resultater bruges over for medarbejderen.
Læs også: Kollegers og kunders data i medarbejderens mailboks · Persondatabrud: dokumentationen inden for 72 timer
→ Gennemgang af en medarbejders mailkonto · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
