KI-policy for virksomheter: Dette bør den inneholde

En god KI-policy svarer på tre spørsmål den ansatte faktisk har: Hvilke verktøy kan jeg bruke, hvilke opplysninger kan jeg dele, og hvem spør jeg når jeg er usikker? Hvis dokumentet ikke gir disse svarene, blir det fort en prinsipperklæring ingen bruker.

Policyen bør være kort nok til å leses, konkret nok til å følges og koblet til underliggende rutiner for innkjøp, personvern, informasjonssikkerhet og avvik. Den skal ikke forsøke å gjengi hele KI-forordningen.

Før policyen: Skaff et minimum av oversikt

Det er vanskelig å regulere bruk dere ikke kjenner. Start med et enkelt register over:

• hvilke KI-verktøy som brukes;
• hvem som eier dem internt;
• hvilke oppgaver de brukes til;
• hvilke data de kan motta eller hente;
• hvem som påvirkes av resultatene;
• om bruken inngår i en beslutning om mennesker.

Ta med både sentralt innkjøpte løsninger og verktøy ansatte har begynt å bruke på egen hånd. Policyen bør deretter vise til registeret som kilden for godkjente verktøy og bruksområder.

Ti deler en praktisk KI-policy bør ha

1. Formål og virkeområde

Forklar hvorfor virksomheten bruker KI, hvem policyen gjelder for og hvilke systemer som omfattes. Ta med innebygde KI-funksjoner i kontorstøtte, fagsystemer og programvareutvikling – ikke bare frittstående chatboter.

2. Roller og ansvar

Navngi en eier for policyen og en beslutningseier for nye verktøy. Beskriv hvem som vurderer informasjonssikkerhet, personvern, anskaffelser og faglig kvalitet. Ansatte må vite hvor de kan få et raskt svar.

3. Godkjente verktøy og bruksområder

En bedriftslisens er ikke automatisk godkjenning for alle oppgaver. Knytt godkjenningen til et konkret produkt, en konfigurasjon og et formål. Beskriv også hvordan nye behov meldes inn.

4. Tillatte og forbudte data

Bruk virksomhetens eksisterende informasjonsklassifisering. Gi eksempler på åpen, intern, konfidensiell og særlig beskyttet informasjon. Vær tydelig på personopplysninger, kundeinformasjon, kildekode, sikkerhetsdetaljer og lovbestemt taushetsplikt.

Les også: Kan ansatte bruke ChatGPT eller Copilot med personopplysninger?

5. Krav til dataminimering

Ansatte skal bare bruke opplysninger som er nødvendige for oppgaven. Beskriv hvordan navn, identifikatorer og unødvendige detaljer fjernes, og når syntetiske data skal brukes i stedet.

6. Menneskelig kontroll

Fastsett at KI-resultater må kontrolleres før de brukes. Kravet bør skjerpes når resultatet påvirker ansatte, kunder, rettigheter, økonomi eller sikkerhet. Angi hvilke beslutninger som aldri skal overlates til verktøyet alene.

7. Åpenhet og merking

Beskriv når mottakere eller berørte personer skal informeres om KI-bruk. Dette kan være relevant ved chatboter, automatisert innhold, beslutningsstøtte og behandling av personopplysninger. Unngå én universell merkeregel; behovet avhenger av kontekst og regelverk.

8. Kvalitet, opphavsrett og kildekontroll

KI kan finne på fakta, kilder og sitater. Krev kontroll mot pålitelige kilder før publisering eller beslutning. Angi også hvordan virksomheten håndterer opphavsrett, lisensvilkår og konfidensielt materiale i prompt og resultat.

9. Hendelser og avvik

Forklar hvordan ansatte rapporterer feil deling, uventet datatilgang, skadelige resultater og brudd på policyen. Koble prosessen til eksisterende avvikshåndtering og vurder om hendelsen også er et personvern- eller sikkerhetsbrudd.

10. Kompetanse og vedlikehold

Policyen må følges av opplæring tilpasset faktisk bruk. Den konsoliderte KI-forordningen artikkel 4 krever at leverandører og virksomheter som tar i bruk KI støtter utvikling av KI-kompetanse hos ansatte og andre som bruker systemene på deres vegne. Tiltakene skal ta hensyn til kompetanse, erfaring, opplæring og brukskontekst.

Sett en eier, revisjonsdato og hendelser som utløser tidligere gjennomgang, for eksempel nytt verktøy, ny datakilde, endret leverandøravtale eller et alvorlig avvik.

Policyen bør ha tre lag

En effektiv struktur er:

1. Policy på én til tre sider: prinsipper, grenser, ansvar og rapportering.
2. Godkjent-liste: verktøy, konfigurasjon, eier og tillatte bruksområder.
3. Arbeidsrutiner: sjekklister for anskaffelse, risikovurdering, bruk og hendelser.

Da kan godkjent-listen oppdateres uten at hele policyen må behandles på nytt hver gang en funksjon endres.

En policy alene gir ikke kontroll

Den vanligste svakheten er avstand mellom dokument og praksis. Policyen sier «ikke del sensitiv informasjon», men ansatte mangler eksempler, verktøyet har uklare standardinnstillinger, og ingen følger med på nye integrasjoner.

Kombiner derfor policyen med:

• et oppdatert KI-register;
• eier for hvert verktøy og bruksområde;
• dokumentert leverandør- og risikovurdering;
• rollebasert opplæring;
• stikkprøver eller annen kontroll med etterlevelsen;
• en enkel vei for å spørre og rapportere.

Bruk KI-sikkerhetssjekklisten som operativ kontroll, og AI Act-egenvurderingen for en første sortering av risiko.

Kilder og videre lesning

• Konsolidert KI-forordning, artikkel 4 om KI-kompetanse
• KI Norge: Dette bør virksomheter vite om KI-loven
• Datatilsynet om innebygd personvern ved bruk av GPT-baserte tjenester

Policyen må tilpasses virksomhetens sektor, datatyper, avtaler og faktiske bruk. En generisk mal er et utgangspunkt, ikke dokumentasjon på at risikoen er håndtert.