Vad ska stå i en AI-policy för medarbetarna? Nio punkter
Gustav Brochmann
En AI-policy för ett litet eller medelstort bolag bör ha nio punkter: syfte, godkända verktyg och konton, vilken data som får matas in, granskning av resultat, regler för agenter, vad ni säger till kunder, hur nya verktyg införs, vad man gör vid incidenter samt en ägare med regelbunden översyn. Två sidor som alla läst räcker. Det här är en mall, inte juridisk rådgivning.
Varför en policy behövs, även i ett litet bolag
Medarbetare använder redan AI, med eller utan lov. Utan en gemensam regel avgör var och en själv vilken data som klistras in vilket verktyg, och ni får reda på det först när något går fel. En policy behöver inte vara lång. Två sidor som alla läst är bättre än tjugo som ingen öppnat.
Texten här är en mall för vad som bör stå i den, inte juridisk rådgivning. Har ni frågor om personuppgifter eller avtal, ta dem med er jurist eller ert dataskyddsombud.
Nio punkter
1. Syfte
Vad vill ni uppnå med AI, och vad är det inte till för? Två till tre meningar räcker.
2. Godkända verktyg
Lista vilka AI-verktyg som får användas, och vilka konton: företagskonto, inte privat. Villkoren för hur data behandlas skiljer sig ofta mellan privata och företagsabonnemang, och det är en av de vanligaste luckorna.
3. Vilken data får och får inte matas in
Dela in er data i några nivåer, till exempel öppen, intern och känslig. Skriv vilken nivå som får användas i vilket verktyg. Personuppgifter, kunduppgifter under sekretess och affärshemligheter är de som oftast behöver förbud eller extra villkor.
4. Granskning av resultat
En människa ansvarar för det som skickas vidare. Skriv ut att AI-genererad text, kod eller analys ska läsas innan den används, och att den som använder den svarar för den.
5. Agenter och rättigheter
Får en AI-agent skriva i era system, och i så fall under vilka regler? Skriv ner principerna: agenten agerar som en person, ändringar av befintlig data godkänns och allt loggas. Se OAuth och AI-agenter.
6. Öppenhet mot kunder
Vad berättar ni för kunder om hur ni använder AI? Bestäm i förväg, så att ni svarar lika varje gång.
7. Inköp av nya verktyg
Hur föreslår en medarbetare ett nytt verktyg, och vem bedömer det? Se också Claude eller ChatGPT i företaget för vad ni kan väga in.
8. Incidenter
Vad gör man om man klistrat in något man inte borde, eller om en agent gjort något oväntat? Vem ska man säga till, och hur snabbt? Poängen är att det ska vara lätt och riskfritt att berätta.
9. Ägare och översyn
En namngiven person som äger policyn och en dag per halvår då den uppdateras. Området ändras snabbt, och en policy som inte följer med slutar gälla.
Tre sätt att få den att fungera
- Förklara varför. Medarbetare följer en regel de förstår. Berätta om riskerna med konkreta exempel.
- Erbjud ett bra alternativ. Om det godkända verktyget är sämre än det privata kommer folk att använda det privata. Se Sju vanliga misstag när små bolag börjar med AI.
- Gör det lätt att fråga. En kanal där man kan få ett snabbt besked slår en policy man bara kan bryta.
Hur ni går vidare
Skriv ett första utkast på en eftermiddag, med de nio rubrikerna som struktur. Låt tre eller fyra medarbetare från olika delar av bolaget läsa det. Det som de inte förstår, eller inte tror att de kan följa, ska skrivas om.
Vill ni ha hjälp att sätta upp regler för agenter som arbetar i era system? Hör av er.