En AI-politik skal sige tre ting tydeligt: hvilke AI-værktøjer medarbejderne må bruge, med hvilke konti og til hvilke data. Den skal også sige, at brugen kan logges, og den skal være udleveret, så I kan vise, at medarbejderne kender den. Det er de punkter, der afgør, om politikken kan bruges, hvis en medarbejder en dag har delt noget, der ikke skulle deles.
Mange politikker er skrevet som gode råd. Det er fint til hverdag, men i en sag spørger advokaten om noget andet: Hvad var konkret tilladt, og hvad var konkret forbudt? Og hvordan ved I, at medarbejderen vidste det?
Hvorfor politikken betyder noget i en sag
Når en medarbejder har lagt kundedata i en AI-tjeneste, er der typisk tre spørgsmål:
- Var det i strid med en regel, medarbejderen kendte?
- Kunne medarbejderen have brugt et godkendt værktøj i stedet?
- Kan virksomheden se, hvad der er sket?
Uden en politik er svaret på alle tre ofte “det er uklart”. Det gør det svært både at vurdere persondatabrud, at reagere over for medarbejderen og at forklare en kunde, hvad I gør for at forhindre det. → Fortrolige data i en AI-tjeneste: de første skridt
De punkter, politikken skal have med
1. Godkendte værktøjer
Skriv navnene. “Generelle AI-værktøjer” er for uklart. Skriv fx: “Microsoft 365 Copilot på virksomhedskontoen er godkendt. Andre AI-tjenester må kun bruges efter aftale med IT.” Opdater listen, når I godkender noget nyt.
2. Konti
Skriv, at arbejdet kun må foregå på virksomhedens konti, og at private konti ikke må bruges til virksomhedens data. Det er det enkeltstående punkt, der betyder mest for, om I kan se noget bagefter. → Virksomhedskonto eller privat konto
3. Data, der aldrig må deles
Lav en kort liste. Den kunne fx omfatte:
- persondata om kunder, kolleger og ansøgere,
- personalesager og helbredsoplysninger,
- kontrakter, priser og tilbud, der ikke er offentlige,
- kildekode og adgangskoder,
- oplysninger, I har fået under en fortrolighedsaftale.
Kort og konkret er bedre end langt og dækkende. En medarbejder skal kunne huske listen.
4. Notetagere, plugins og indbyggede funktioner
AI er ikke kun chattjenester. Skriv også, hvad der gælder for notetagere i møder, browserudvidelser og AI-funktioner, der er indbygget i programmer, I allerede bruger. → AI-notetagere i møder
5. Logning og kontrol
Skriv, at brugen af AI-værktøjer på virksomhedens konti og udstyr kan logges og i konkrete tilfælde gennemgås, og hvem der kan beslutte det. Det er ikke for at true, men for at medarbejderne er orienteret, før der sker noget. Kontrol med medarbejdere kræver et sagligt formål og orientering, og der kan være krav i en overenskomst eller kontrolaftale.
→ Kontrolaftalen og varsling af nye kontrolforanstaltninger
6. Hvad medarbejderen skal gøre ved en fejl
Skriv, hvem medarbejderen skal kontakte, hvis noget er delt ved en fejl, og at det skal ske med det samme. En medarbejder, der siger det selv, er jeres bedste kilde, og tidsfristen for persondatabrud løber fra, I blev bekendt med det.
7. Ophør
Skriv, at adgang til AI-værktøjer lukkes ved fratræden, og at data på virksomhedens konti tilhører virksomheden.
Sådan gør I politikken brugbar
En politik, ingen har set, hjælper ikke. Dokumentationen er lige så vigtig som teksten.
- Udlever politikken skriftligt til alle medarbejdere, og gem dokumentation for, hvem der har fået den og hvornår.
- Lad nye medarbejdere modtage den ved start, sammen med IT-politikken.
- Gem de gamle versioner. I en sag er det den version, der gjaldt på tidspunktet, der tæller. Giv hver version et nummer og en dato.
- Gentag orienteringen, når politikken ændres, eller når I tager et nyt værktøj i brug.
- Sørg for, at IT kan leve op til den. Står der, at brugen logges, skal den også være det.
→ IT-politik og orientering af medarbejdere
Hvem gør hvad
- Ledelse · Beslutter linjen og godkender politikken
- IT · Leverer de godkendte værktøjer og logningen
- HR · Udleverer, dokumenterer og opdaterer
- DPO eller ansvarlig for persondata · Vurderer persondata og aftaler med tjenester
Det skal I lade være med
- Lad være med at forbyde alt. Et forbud, ingen overholder, er værre end klare regler. Medarbejderne finder bare deres egne veje, og så kan I intet se.
- Lad være med at kopiere en skabelon uden at tilpasse den. Står der værktøjer i politikken, I ikke har, eller logning, I ikke har slået til, svækker det jeres troværdighed.
- Lad være med at skrive, at I overvåger alt. Skriv, hvad der logges, og hvornår det kan gennemgås.
- Lad være med at gemme politikken et sted, kun ledelsen kan se. Den skal være let at finde for alle.
Eksempler på klare formuleringer
Her er nogle eksempler på, hvordan punkterne kan skrives, så de er til at forstå og til at bruge. Tilpas dem til jeres virksomhed.
- “Du må bruge Copilot på din virksomhedskonto til at skrive, opsummere og søge i virksomhedens dokumenter.”
- “Du må ikke bruge private AI-konti til arbejdsopgaver, heller ikke gratis udgaver.”
- “Du må aldrig indsætte persondata, personalesager, kontrakter eller adgangskoder i en AI-tjeneste, der ikke er godkendt af IT.”
- “Brugen af godkendte AI-værktøjer på virksomhedens konti logges og kan gennemgås, hvis der er en konkret og saglig grund. Beslutningen træffes af direktionen.”
- “Har du delt noget ved en fejl, så kontakt din nærmeste leder og IT samme dag.”
Læg mærke til, at eksemplerne er konkrete. “Brug AI med omtanke” er et godt råd, men det kan ikke bruges til at afgøre, om en regel er brudt.
Hvor ofte skal den opdateres?
AI-værktøjerne ændrer sig hurtigt, og det gør jeres brug af dem også. Sæt en fast dato, fx en gang om året, hvor IT og HR gennemgår listen over godkendte værktøjer og tjekker, at logningen stadig virker som beskrevet. Opdater også, når I tager et nyt værktøj i brug, eller når en leverandør ændrer sine vilkår.
Er det for sent, hvis sagen allerede er der?
Politikken virker fremad. Har en medarbejder allerede delt noget, hjælper en ny politik ikke på den sag. Men den sag er ofte den bedste anledning til at få politikken skrevet, så det ikke sker igen. Brug erfaringen: Hvad manglede I svar på? Det skal stå i politikken.
Hvornår skal I have hjælp?
Få en advokat til at se på politikken, hvis I vil kunne bruge den i ansættelsesretlige sager, eller hvis I har en overenskomst med regler om kontrol. Skal I afklare, hvad jeres systemer faktisk logger, og om det kan bruges som dokumentation, kan en uvildig IT-sagkyndig gennemgå det. Gør det, før politikken sendes ud, så der er overensstemmelse mellem det, der står, og det, der sker.
Læs også: Browserudvidelser og AI-plugins, der læser med · Fortrolige data i ChatGPT eller en anden AI-tjeneste: de første skridt
→ IT-sagkyndig for virksomheder · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
