Hvorfor
Få oversikt over KI som brukes uten godkjenning
KI kan bli tatt i bruk gjennom private kontoer, Copilot eller funksjoner i andre systemer. Policyen bør forklare hvilke verktøy som er godkjent, hvilken bruk som må vurderes og hvem som bestemmer.
Struktur
Forslag til innhold i en AI-policy
1. Formål og virkeområde
Forklar hvorfor policyen finnes, hvem den gjelder for, og hvilke typer KI-verktøy den dekker.
2. Godkjente og forbudte verktøy
List godkjente verktøy, midlertidig tillatte verktøy og bruk som krever særskilt godkjenning.
3. Dataregler
Angi hvilke opplysninger som ikke kan deles, og hvilken bruk som krever godkjenning. Skill mellom åpne tjenester og godkjente verktøy med avtalte databehandlingsvilkår.
4. Beslutninger og menneskelig kontroll
Presiser at KI ikke alene skal ta beslutninger om ansatte, kunder eller rettigheter uten egen vurdering og godkjenning.
5. Risikoklassifisering
Knytt nye brukstilfeller til en enkel AI Act-vurdering: minimal, begrenset, høyrisiko eller uakseptabel risiko.
6. Opplæring og ansvar
Beskriv hvem som skal ha opplæring, hvem som eier AI-inventaret, og hvordan avvik håndteres.
Eksempel
Konkrete regler policyen bør inneholde
- Ikke legg inn sensitive personopplysninger, kundedata, kontrakter eller sikkerhetsinformasjon i åpne KI-verktøy uten godkjenning.
- KI-genererte svar skal kvalitetssikres før de brukes eksternt eller i beslutningsgrunnlag.
- Bruk av KI i HR, rekruttering, kreditt, helse, utdanning eller sikkerhetskritisk drift skal vurderes særskilt før bruk.
- Alle nye KI-verktøy skal registreres med formål, eier, leverandør, datatyper og risikoklasse.
- AI-generert innhold skal merkes der mottaker rimeligvis bør vite at KI er brukt.
- Ansatte skal vite hvor de kan spørre før de tester nye KI-verktøy.
AI Act-kobling
Policyen er ikke hele compliance-jobben
En AI-policy er et styringsdokument. Den erstatter ikke risikoklassifisering, personvernvurdering, leverandørkontroll eller teknisk dokumentasjon der det er nødvendig. Den gjør derimot resten av arbeidet mulig, fordi den gir virksomheten et felles språk for hva som er tillatt, hva som må stoppes og hva som må eskaleres.
FAQ
Vanlige spørsmål
Må en liten bedrift ha AI-policy?
Hvis ansatte bruker KI-verktøy, bør svaret være ja. Policyen kan være kort, men den må være tydelig nok til å styre faktisk bruk.
Bør policyen forby ChatGPT?
Ikke nødvendigvis. Policyen bør si hvilke verktøy som er godkjent, hva de kan brukes til, og hvilke data som aldri skal inn.
Trenger dere hjelp med KI-policyen?
SPADE kan lage en kort, praktisk AI-policy med tilhørende opplæring, inventar og risikoklassifisering.