Kort svar: Ja, som hovedregel bør virksomheter som bruker kunstig intelligens ha tydelige interne retningslinjer. Det trenger ikke være et omfattende dokument. For en liten bedrift kan én eller to sider med konkrete kjøreregler være et godt utgangspunkt.
Det finnes ikke ett generelt lovkrav som sier at absolutt alle norske bedrifter må ha en egen AI-policy. Men virksomheter må etterleve relevante krav til blant annet personvern, informasjonssikkerhet og forsvarlig behandling av informasjon.
Hvorfor trenger vi retningslinjer?
Ansatte kan allerede bruke ChatGPT, Copilot eller andre AI-verktøy uten at ledelsen har full oversikt.
Uten felles kjøreregler kan ansatte være usikre på:
- Hvilke AI-verktøy de har lov til å bruke.
- Om de kan dele kundeopplysninger eller interne dokumenter.
- Hvem som har ansvaret for feil i AI-generert innhold.
- Om AI-genererte tekster må kontrolleres før de sendes til kunder.
- Hvem de skal kontakte dersom noe går galt.
Gode retningslinjer skal ikke bare begrense bruken av AI. De skal også gjøre det enklere for ansatte å bruke teknologien trygt og effektivt.
Hva bør retningslinjene inneholde?
Vi anbefaler at virksomheten som et minimum avklarer seks områder.
1. Godkjente verktøy
Hvilke AI-tjenester kan ansatte bruke i jobbsammenheng? Gjelder godkjenningen også private kontoer?
2. Informasjon som kan deles
Hvilke typer informasjon er tillatt? Hva gjelder for personopplysninger, kundedata, taushetsbelagt informasjon og forretningshemmeligheter?
3. Kvalitetssikring
Hvem kontrollerer AI-genererte tekster, analyser, bilder og andre resultater før de brukes?
4. Ansvar og beslutninger
Hvilke oppgaver kan AI hjelpe med, og hvilke beslutninger må tas eller godkjennes av mennesker?
5. Åpenhet
Når bør ansatte opplyse kunder, kolleger eller andre om at AI er brukt?
6. Avvik og spørsmål
Hvem skal ansatte kontakte hvis de er usikre, oppdager feil eller har delt informasjon som ikke skulle vært delt?
Må alle virksomheter ha like omfattende rutiner?
Nei. Omfanget bør tilpasses virksomhetens størrelse, oppgaver og risiko.
Et lite konsulentselskap som bruker AI til tekstutkast, vil normalt ha andre behov enn en virksomhet som bruker AI til automatiserte beslutninger eller behandling av store mengder personopplysninger.
Det viktigste er at retningslinjene er konkrete, forståelige og faktisk blir brukt.
Hvordan kommer vi i gang?
Start med å kartlegge hvilke AI-verktøy ansatte allerede bruker. Deretter kan ledelsen bestemme hvilke løsninger som skal være godkjent, hvilken informasjon som kan behandles, og hvilke oppgaver som krever særskilt kontroll.
Involver gjerne både ansatte, IT-ansvarlige og personvernkompetanse der det er relevant.
Gjennomgå retningslinjene jevnlig når virksomhetens AI-bruk, teknologien eller regelverket endres.
Vår anbefaling
Lag en enkel AI-policy før bruken blir omfattende, ikke etter at noe har gått galt.
En god AI-policy skal gjøre ansatte tryggere, redusere risiko og gi virksomheten bedre muligheter til å utnytte teknologien.