Våre prinsipper for bruk av AI
i kundeleveranser

Prinsipp 01

Åpenhet

Du skal alltid vite om AI er brukt i arbeidet vi leverer til deg, og hvordan. Ingenting skjules, ingenting innpakkes, og ingenting fremstilles som mer eller mindre menneskeskapt enn det er.

Hvorfor det betyr noe

Skjult AI-bruk gir et feil bilde av hvor mye håndverk som er lagt ned, hvor godt kildegrunnlaget er, og hva som faktisk er kontrollert av et menneske. Da blir det vanskeligere for deg å vurdere kvaliteten på leveransen.

I praksis

• Merking i selve dokumentet. Hver leveranse som er helt eller delvis produsert ved hjelp av AI merkes synlig, vanligvis nederst på første side eller i dokumentets metadata.
• Detaljert sluttnotat. I siste avsnitt lister vi hvilke AI-verktøy som ble brukt, til hvilke deler, og hvilke menneskelige vurderinger som ble lagt på toppen.
• Tilgang til underlagsmateriale på forespørsel. Du kan be om å få se promptene som ble brukt i ditt prosjekt.
• Tydelig skille i muntlig leveranse. I møter og presentasjoner forteller vi når materiale har en betydelig AI-komponent.
• Offentlig dokumentasjon av praksis. Dette dokumentet er en del av åpenhetsprinsippet og oppdateres med endringslogg.

Det vi ikke gjør

• Vi leverer ikke AI-generert innhold uten merking, uansett kvalitet.
• Vi presenterer ikke AI-output som «vår analyse» uten kvalifisering.
• Vi unnlater ikke å nevne AI-bruken bare fordi den er begrenset.

Prinsipp 02

Sikkerhet og personvern

AI-verktøy behandles som tredjeparts databehandlere. Vi bruker de samme prinsippene vi anbefaler kundene våre: dataminimering, formålsbegrensning, kontroll på dataflyt og dokumenterte rettslige grunnlag.

Hvorfor det betyr noe

Generative AI-tjenester er ofte hostet i tredjeland. Noen kan bruke input til modelltrening hvis de ikke er riktig konfigurert, og kvaliteten på databehandleravtaler varierer. Når vi som personvern- og sikkerhetsrådgivere bruker disse verktøyene, må det ikke skape ny risiko for kundene.

I praksis

• Klassifisering av data før AI-bruk. Åpen / intern / konfidensiell / personopplysninger / særlige kategorier. Klassifiseringen bestemmer hvilke verktøy som kan brukes.
• Personopplysninger anonymiseres eller pseudonymiseres. Navn, e-poster, telefonnumre og andre identifikatorer fjernes før vi sender innholdet til et AI-verktøy.
• Vi bruker business- eller enterprise-plan, ikke gratis konsumentversjoner. Disse planene har typisk zero retention og deaktivert modelltrening på kundeinput.
• Vi har oppdatert oversikt over alle AI-verktøy. Oversikten inneholder ROS og vurdering av tredjelandsoverføring. Se verktøylisten nedenfor.
• Schrems II og tredjelandsoverføring tas på alvor. Vi prioriterer EU/EØS-baserte verktøy og dokumenterer overføringsgrunnlag ved bruk av amerikanske tjenester.

Det vi ikke gjør

• Vi limer ikke personopplysninger inn i konsumentversjoner av AI-tjenester.
• Vi bruker ikke AI-tjenester uten avklart databehandleravtale ved behandling av personopplysninger.
• Vi behandler ikke særlige kategorier av personopplysninger i AI-verktøy uten eksplisitt avklaring og dokumentert vurdering.

Prinsipp 03

Faglig ansvar og kvalitet

Et menneske med relevant fagkompetanse signerer alltid for leveransen. AI brukes som verktøy for produksjon, struktur og utforskning, ikke som erstatning for vurdering, kildekontroll eller faglig ansvar.

Hvorfor det betyr noe

Generative AI-modeller kan produsere innhold som ser autoritativt ut, men som inneholder feil: fabrikerte kilder, foreldede regler og manglende nyanser. En leveranse uten kvalifisert gjennomgang kan være statistisk overbevisende, men faglig usikker. Det vil vi ikke selge.

I praksis

• Alt som leveres er gjennomgått av Amund Kristiansen personlig. Ingen leveranse til kunde går ut uten manuell gjennomgang og signering.
• Vi bruker AI bare i fagområder der vi har dokumentert ekspertise. ISO 27001/27005, NIS2, GDPR, AI Act og norsk rett knyttet til digitale tjenester.
• Juridiske referanser, paragrafer og rettskilder verifiseres manuelt. Hver henvisning til lov, forskrift eller rettspraksis bekreftes mot original kilde.
• Statistikk, tall og spesifikke påstander verifiseres. Hvis et tall står i leveransen din, har Amund verifisert det.
• Vi tar fullt ansvar for sluttproduktet. Vi gjemmer oss ikke bak verktøyet.

Det vi ikke gjør

• Vi videresender ikke AI-output direkte til kunde.
• Vi gir ikke juridiske vurderinger basert på AI uten egen verifikasjon.
• Vi outsourcer ikke faglig ansvar til verktøyet. Signaturen er menneskelig.

Prinsipp 04

Bevisst og begrenset bruk

AI brukes der det forbedrer leveransen, ikke der det bare reduserer vår arbeidsinnsats. Det finnes oppgaver der AI er feil verktøy. Dem løser vi uten AI. Du har også rett til å be om at vi ikke bruker AI i ditt oppdrag i det hele tatt.

Når vi bruker AI

• Strukturering og første utkast. Disposisjoner, kapittelinndelinger, mal-tilpasninger, utkast til policyer og prosedyrer.
• Oppsummering og syntetisering av lange kildedokumenter. Korte sammendrag som vi deretter gjennomgår og utvider.
• Formatering og presentasjon. Slides, tabeller, struktur i lange rapporter.
• Utforskning av alternativer. Sparring på ulike tilnærminger til et problem.
• Kvalitetssikring og «red teaming». Vi ber AI om å peke på svakheter i utkast, som ekstra par øyne og ikke som siste ord.

Når vi ikke bruker AI

• Faglige sluttvurderinger og anbefalinger. Konklusjoner om compliance, risiko eller strategi er menneskelige vurderinger.
• Juridiske råd om nye eller uavklarte spørsmål. AI er trent på historiske data og kan ikke vurdere rettsutvikling pålitelig.
• Autonom handling i kundens systemer. Vi lar ikke AI-agenter gjøre endringer, sende e-poster eller utføre handlinger uten menneskelig autorisasjon.
• Når du har bedt om det. Intern policy, sektorkrav eller personlige preferanser respekteres fullt ut.