En AI-politik for små virksomheder: Én side rækker

Til orientering Dette indlæg beskriver en anvendelig grundstruktur og erstatter ikke juridisk rådgivning. Om der for jer består videregående pligter – for eksempel efter AI-forordningen, efter branchekrav eller efter kundekontrakter – skal kontrolleres i den enkelte sag.

Det vigtigste kort

Seks afsnit på én side rækker: adgange, forbudte indtastninger, kontrolpligt, ansvar, undtagelsestilfælde, kontaktperson.
Det vigtigste afsnit er det om undtagelsestilfælde – konkret formuleret, ikke som en almen advarsel.
Et forbud uden en stillet firmaadgang fører til private adgange, ikke til mindre brug.
Politikken hører til i begyndelsen af indførelsen, ikke i slutningen.

Hvorfor én side

Et omfattende regelsæt bliver godkendt én gang og derefter ikke læst igen. Én side bliver faktisk læst – og kun det, der bliver læst, virker.

Kortheden tvinger desuden til beslutninger: den, der vil regulere alt, regulerer intet forpligtende. Seks afsnit dækker de tilfælde, der faktisk opstår i hverdagen.

De seks afsnit

1. Hvilke adgange

Navngivne firmaadgange, stillet til rådighed af virksomheden. Private adgange er udelukket til tjenstlige formål.

Begrundelse i teksten: I erhvervsabonnementer er brugen af indtastningerne til træning som regel udelukket, i privatabonnementer ikke altid.

2. Hvad der ikke tastes ind

Personhenførbare kundeoplysninger uden afklaret grundlag, adgangsoplysninger og nøgler, ikke offentliggjorte forretningstal, dokumenter under fortrolighedsaftale.

Konkret i stedet for alment: Nævn eksempler fra jeres hverdag, ikke kategorier.

3. Hvad der altid kontrolleres

Enhver efterprøvelig oplysning før brugen: tal, undersøgelser, lovhenvisninger, frister, priser, citater, navne.

Vigtig tilføjelse: Et svars sikre tonefald siger intet om dets rigtighed.

4. Hvem der har ansvaret

Den, der offentliggør eller udsender noget, har ansvaret for indholdet – uafhængigt af, hvordan det er blevet til. Som ved enhver anden tekst.

5. Hvor der slet ikke bruges

Fem konkrete tilfælde fra jeres felt. Det vigtigste afsnit – og det eneste, der ikke kan kopieres.

Eksempler: juridiske oplysninger til kunder uden kontrol af en fagperson; emner uden egen faglig viden i huset; alt, hvor en fejl ikke ville blive opdaget.

6. Hvem man spørger

En navngiven person til spørgsmål og grænsetilfælde. Uden den linje beslutter enhver alene og forskelligt.

Vidste du det?

Afsnit fem er det eneste, der ikke kan overtages fra en skabelon – og netop derfor det mest værdifulde. Det kræver en beslutning om, hvor i jeres virksomhed en fejl ikke ville blive opdaget.

Det spørgsmål er ubehageligt, fordi det forudsætter, at man sætter ord på sine egne blinde vinkler. Men det er kernen i enhver brugbar politik: næsten alle problematiske tilfælde opstår dér, hvor ingen har den faglige kompetence til at genkende et forkert svar som forkert.

Hvad der ikke hører hjemme i den

Ikke med	Hvorfor
En liste over tilladte produkter	forældet på måneder; bedre: navngivne adgange
Promptvejledninger	hører til i oplæringen, ikke i reglen
Tekniske forklaringer på virkemåden	interessant, ændrer ingen adfærd
Et generelt forbud uden alternativ	fører til private adgange i stedet for til mindre brug
Mærkningspligt for enhver brug	bliver ikke overholdt; bedre: udpeg ansvaret

Fra praksis

Den hyppigste fejlkonstruktion er den fjerde række: et forbud, uden at der står en brugbar firmaadgang klar. Resultatet er aldrig mindre brug – det er brug over private adgange, uden overblik og på andre betingelser.

Den, der tager datasituationen alvorligt, stiller derfor først en adgang til rådighed og regulerer bagefter. Rækkefølgen er afgørende: adgang, så regel, så oplæring – ikke omvendt.

Forholdet til AI-forordningen

For de fleste små virksomheder, der bruger sprogmodeller til tekster og analyser, følger der ingen vidtgående pligter af AI-forordningen – de er som regel brugere, ikke udbydere af et AI-system.

Det bliver relevant i tre tilfælde: hvis I selv udbyder et AI-system eller ændrer det væsentligt, hvis I bruger det på et område, der er klassificeret som højrisiko – for eksempel ved personalebeslutninger – eller hvis I driver systemer, der interagerer umiddelbart med personer. I de tilfælde hører bedømmelsen til hos en fagperson.

Uafhængigt af det kræver AI-forordningen et mindstemål af kompetence i omgangen fra brugere – hvad der praktisk taler for den oplæring, der alligevel er nødvendig.

Prompt

Hjælp mig med at formulere en AI-politik på én side for vores
virksomhed.

Vores situation:
- Branche: [angivelse]
- Personer, der bruger AI-værktøjer: [antal og roller]
- Hvad de skal bruges til: [opgaver]
- Arbejder vi med persondata? [ja / nej / delvis]
- Har vi kunder med fortrolighedsaftaler? [ja/nej]
- Hvilke adgange stiller vi til rådighed? [angivelse eller "endnu ingen"]
- Fagområder, hvor vi ikke selv har kompetence, men
  får spørgsmål: [liste]

Opgaver:
1. Formulér de seks afsnit: adgange, forbudte indtastninger,
   kontrolpligt, ansvar, undtagelsestilfælde, kontaktperson.
   Tilsammen højst én side.
2. Formulér afsnit 2 med konkrete eksempler fra vores
   branche, ikke med almene kategorier.
3. Formulér afsnit 5 – hvor der slet ikke bruges – som
   fem konkrete tilfælde. Brug min liste over fagområder
   uden egen kompetence til det.
4. Hvis vi endnu ikke stiller adgange til rådighed: Sig tydeligt,
   hvorfor en regel uden en stillet adgang ikke virker.
5. Nævn de punkter, hvor vi på grund af vores branche bør
   inddrage en fagperson.

Opfind ingen lovartikler og ingen frister.

Konklusion

Seks afsnit, én side, læselig på fem minutter. Fem af dem kan formuleres på en halv time; det sjette – hvor der slet ikke bruges – kræver et ærligt blik på egne blinde vinkler og er dokumentets egentlige værdi.

Og rækkefølgen tæller: stil først en brugbar adgang til rådighed, regulér så. Et forbud uden alternativ flytter kun brugen derhen, hvor ingen ser den.

Ofte stillede spørgsmål

Hvad hører hjemme i en AI-politik?

Seks afsnit: hvilke adgange der bruges, hvad der ikke må tastes ind, hvad der altid skal kontrolleres, hvem der har ansvaret for det offentliggjorte indhold, i hvilke konkrete tilfælde der slet ikke bruges, og hvem man spørger ved grænsetilfælde. Tilsammen på én side.

Hvorfor rækker én side?

Fordi kun det, der bliver læst, virker. Et omfattende regelsæt bliver godkendt én gang og derefter ikke set på igen. Kortheden tvinger desuden til beslutninger – den, der vil regulere alt, regulerer intet forpligtende.

Hvilket afsnit er det vigtigste?

Det om undtagelsestilfældene, fordi det ikke kan overtages fra en skabelon. Det kræver beslutningen om, hvor en fejl i den egne virksomhed ikke ville blive opdaget – og næsten alle problematiske tilfælde opstår netop dér, hvor ingen har kompetencen til at genkende et forkert svar som forkert.

Bør man bare forbyde AI-værktøjer?

Et forbud uden en stillet firmaadgang fører ikke til mindre brug, men til brug over private adgange – uden overblik og på andre betingelser, for eksempel om brugen af indtastningerne til træning. Fornuftig er rækkefølgen adgang, regel, oplæring.

Hvad betyder AI-forordningen for små virksomheder?

Den, der bruger sprogmodeller til tekster og analyser, er som regel bruger og ikke udbyder – vidtgående pligter følger sjældent af det. Det bliver relevant ved selv at udbyde eller væsentligt ændre et system, ved brug på højrisikoområder som personalebeslutninger, og ved systemer med umiddelbar interaktion med personer. De tilfælde hører til hos en fagperson.