Mange virksomheter ønsker at medarbeiderne skal bruke kunstig intelligens på en trygg og ansvarlig måte.
Men hva betyr det i praksis? En formulering som «bruk KI ansvarlig» gir liten hjelp når en medarbeider sitter med en konkret oppgave.
Kan kundedata legges inn i verktøyet? Kan KI brukes til å oppsummere et dokument? Må mottakeren få vite at KI er brukt? Hvem kontrollerer svaret? Hva skjer dersom verktøyet produserer feil?
Trygg KI-bruk krever mer enn et overordnet prinsipp. Virksomheten trenger praktiske regler, tydelig ansvar og en kultur hvor medarbeiderne kan stille spørsmål og melde feil.
«Bruk KI ansvarlig» er ikke en retningslinje før medarbeiderne forstår hva det betyr i praksis.
Start med spørsmålene medarbeiderne faktisk har
Retningslinjene bør svare på spørsmål som oppstår i arbeidshverdagen:
Hvilke KI-verktøy kan vi bruke?
Hvilken informasjon kan vi legge inn?
Hvilke oppgaver egner seg for KI?
Hvilke oppgaver skal KI ikke brukes til?
Hva må alltid kontrolleres av et menneske?
Når kreves det godkjenning?
Hvem har ansvaret for sluttresultatet?
Hvordan melder vi feil eller usikkerhet?
Dersom retningslinjene ikke svarer på dette, kan to ting skje:
Noen medarbeidere lar være å bruke teknologien fordi de er usikre.
Andre bruker den uten at virksomheten vet hvordan.
Begge deler svekker læringen og kontrollen.
Del bruken inn i fire tydelige kategorier
En praktisk modell er å dele KI-bruken i fire kategorier.
1. Dette kan du bruke KI til
Dette kan være oppgaver med lav risiko, for eksempel:
idéutvikling
disposisjoner
språklig bearbeiding av egen tekst
forslag til spørsmål
strukturering av ikke-sensitive data
oppsummering av offentlig eller godkjent informasjon
førsteutkast som alltid gjennomgås av en medarbeider
Også ved oppgaver med lav risiko må medarbeideren kontrollere at resultatet er riktig og relevant før det brukes videre.
2. Dette krever ekstra kontroll eller godkjenning
Dette kan være:
kundekommunikasjon
offentlig publisering
analyser og anbefalinger
juridisk eller økonomisk informasjon
bruk av personopplysninger
innhold som kan påvirke mennesker
beslutningsstøtte
innhold som representerer virksomheten utad
Her bør retningslinjene forklare hvem som skal godkjenne resultatet, og hva som må kontrolleres.
3. Dette skal du ikke bruke KI til
Eksempler kan være:
å legge inn taushetsbelagte opplysninger i tjenester som ikke er godkjent
å dele bedriftshemmeligheter eller konfidensiell informasjon
å publisere fakta eller kilder som ikke er kontrollert
å omgå interne sikkerhetsrutiner
å bruke private eller gratis kontoer til arbeidsoppgaver når dette ikke er godkjent
å fremstille et ukontrollert KI-svar som en ferdig faglig vurdering
Virksomheten må tilpasse listen til egne oppgaver, systemer og risikoområder.
4. Dette må alltid vurderes av et menneske
Et menneske bør ha ansvar for å vurdere:
fakta og kilder
faglig kvalitet
språk og tone
etiske konsekvenser
personvern og konfidensialitet
juridiske forhold
godkjenning og publisering
Menneskelig kontroll må være reell. Det holder ikke å trykke «godkjenn» uten å ha vurdert resultatet.
Gode KI-retningslinjer skal gjøre trygg bruk enklere – ikke bare liste opp alt som kan gå galt.
Avklar hvilke verktøy som er godkjent
Det er stor forskjell på en offentlig tilgjengelig KI-tjeneste og en virksomhetsløsning med avtaler, tilgangsstyring og sikkerhetsfunksjoner.
Retningslinjene bør derfor angi:
hvilke verktøy medarbeiderne kan bruke
hvilke kontoer de skal bruke
hvilke integrasjoner som er godkjent
hvem som kan gi tilgang
hvilke opplysninger som kan behandles
hvilke bruksvilkår og avtaler som gjelder
Medarbeiderne bør ikke måtte velge verktøy ut fra hva som tilfeldigvis er enklest å åpne i nettleseren.
Bruk heller tydelige formuleringer som:
Disse verktøyene er godkjent for arbeidsbruk.
Disse opplysningene kan behandles.
Disse opplysningene skal ikke legges inn.
Beskytt virksomhetens informasjon
Før informasjon legges inn i et KI-verktøy, må medarbeideren vite hvilken type informasjon det er.
Det kan være:
offentlig informasjon
intern informasjon
konfidensiell informasjon
personopplysninger
særlige kategorier av personopplysninger, ofte omtalt som sensitive personopplysninger
taushetsbelagte opplysninger
bedriftshemmeligheter
opphavsrettslig beskyttet materiale
Virksomheten bør gi konkrete eksempler fra egen arbeidshverdag.
En generell regel om at «sensitive data ikke skal legges inn», er ikke nok dersom medarbeiderne ikke vet hva virksomheten regner som sensitivt.
Personopplysninger, taushetsbelagte opplysninger, bedriftshemmeligheter og annet konfidensielt materiale skal ikke legges inn i et KI-verktøy før virksomheten har avklart om behandlingen er lovlig, nødvendig og sikker.
Virksomheten må også ha avklart at verktøyet er godkjent for formålet.
Husk opphavsretten
At materiale finnes på nettet, betyr ikke at virksomheten fritt kan laste det opp, bearbeide det eller bruke resultatet kommersielt.
Før tekst, bilder, video eller annet beskyttet materiale legges inn i et KI-verktøy, bør virksomheten vurdere:
hvilke rettigheter den har til materialet
hva leverandørens vilkår sier
om materialet kan brukes til det aktuelle formålet
hvordan resultatet skal brukes
om det må innhentes tillatelse
Ideer, metoder og generelle fakta er ikke vernet på samme måte som den konkrete utformingen av en tekst, et bilde eller et annet verk.
Det betyr likevel ikke at alt som finnes på nettet, er fritt tilgjengelig for enhver bruk.
Skill mellom støtte og beslutning
KI kan støtte en vurdering uten å ta selve avgjørelsen. Dette skillet er særlig viktig når resultatet kan få konsekvenser for mennesker.
Det kan blant annet gjelde:
rekruttering
personaloppfølging
kreditt
helse
utdanning
juridiske vurderinger
offentlige tjenester
prioritering av kunder eller brukere
Et KI-verktøy kan strukturere informasjon eller foreslå spørsmål.
Men virksomheten må være særlig varsom dersom et KI-system skal brukes til helautomatiserte avgjørelser som har rettslige eller tilsvarende vesentlige konsekvenser for enkeltpersoner.
Før slik bruk må virksomheten blant annet avklare lovgrunnlag, rettigheter og krav til reell menneskelig involvering.
Lag en fast kontrollrutine
En enkel kontrollrutine kan bestå av disse spørsmålene:
Er informasjonen riktig?
Er kildene ekte og relevante?
Mangler det viktige opplysninger eller forbehold?
Er personvern og konfidensialitet ivaretatt?
Passer språk og tone til mottakeren?
Kan innholdet være misvisende eller diskriminerende?
Er det tydelig hvem som har ansvaret?
Krever resultatet godkjenning før bruk?
Kontrollen bør tilpasses risikoen.
Et internt idéutkast trenger ikke samme kontroll som en juridisk vurdering, en personalsak eller en tekst som skal publiseres offentlig.
Gjør det enkelt å melde feil
Feil og uønskede hendelser vil oppstå. Det avgjørende er hvordan virksomheten håndterer dem.
Medarbeiderne bør vite:
hvem de skal kontakte
hva som skal dokumenteres
når bruken må stoppes
hvem som vurderer konsekvensene
hvordan berørte personer skal informeres
hvordan retningslinjene skal oppdateres
Dersom medarbeiderne frykter skyld eller reaksjoner hver gang en test gir et dårlig resultat, kan feil bli skjult. Det svekker både sikkerheten og læringen.
Trygghet handler også om kultur
Trygg KI-bruk handler ikke bare om regler og kontroll. Det handler også om psykologisk trygghet.
Medarbeidere må kunne si:
«Jeg forstår ikke hvordan dette fungerer.»
«Jeg er usikker på om jeg kan bruke denne informasjonen.»
«Dette svaret ser overbevisende ut, men jeg tror det er feil.»
«Denne arbeidsmåten skaper merarbeid.»
«Jeg mener vi bør stoppe piloten.»
En virksomhet som bare snakker om mulighetene, kan gjøre det vanskelig å løfte frem svakheter og risiko. Ledere må derfor invitere til kritiske spørsmål. De må også vise at det er lov å være nybegynner.
Kurset Hvordan lede team til gruppepsykologisk trygghet er relevant for ledere som ønsker å utvikle tryggere arenaer for læring og samarbeid.
Trygg KI-bruk handler både om tydelige regler og om en kultur der medarbeidere tør å si fra.
Retningslinjene må oppdateres
KI-verktøy, funksjoner og arbeidsmåter endres raskt. Retningslinjene bør derfor ikke behandles som et dokument som blir ferdig én gang for alle.
Avklar:
hvem som eier retningslinjene
hvor ofte de skal gjennomgås
hvordan nye verktøy godkjennes
hvordan erfaringer fra piloter tas inn
hvordan endringer kommuniseres
hvordan medarbeiderne får opplæring
Retningslinjene bør oppdateres når virksomheten lærer noe nytt, tar i bruk nye verktøy eller oppdager nye risikoområder.
Unngå et dokument ingen leser
Et dokument på 40 sider kan være grundig, men vanskelig å bruke i arbeidshverdagen. Medarbeiderne trenger ofte flere nivåer.
En kortversjon
Én side med de viktigste reglene.
En praktisk veiledning
Konkrete eksempler på tillatt bruk, bruk som krever godkjenning, og bruk som ikke er tillatt.
Et utfyllende styringsdokument
Mer detaljer om ansvar, personvern, sikkerhet, juss og avvik. Da kan medarbeiderne finne raske svar uten at virksomheten gir avkall på grundighet.
Forslag til struktur for KI-retningslinjer
Et praktisk dokument kan bygges opp slik:
1. Formål
Hvorfor virksomheten bruker KI, og hva retningslinjene skal bidra til.
2. Omfang
Hvem og hvilke verktøy reglene gjelder for.
3. Godkjente verktøy
Hvilke løsninger som kan brukes, og med hvilke kontoer.
4. Tillatt bruk
Konkrete oppgaver og eksempler.
5. Bruk som krever godkjenning
Hvem som skal godkjenne, og hva som må kontrolleres.
6. Ikke tillatt bruk
Tydelige grenser og eksempler.
7. Informasjon og personvern
Hvilke opplysninger som kan behandles.
8. Kvalitetssikring
Hvordan fakta, kilder og faglige vurderinger skal kontrolleres.
9. Ansvar
Hvem som har ansvar for bruk, godkjenning og sluttresultat.
10. Feil og avvik
Hvordan problemer skal meldes og håndteres.
11. Opplæring
Hvilken kompetanse medarbeiderne skal få.
12. Oppdatering
Hvem som eier dokumentet, og når det skal revideres.
Test retningslinjene på faktiske situasjoner
Før retningslinjene publiseres, bør de testes på spørsmål fra arbeidshverdagen:
Kan en medarbeider bruke KI til å oppsummere et kundemøte?
Kan en leder laste opp et internt strategidokument?
Kan HR bruke KI som støtte i en rekrutteringsprosess?
Kan markedsavdelingen generere bilder?
Kan kundeservice bruke KI-genererte svar?
Kan medarbeidere bruke gratisversjoner av verktøyene?
Skal det opplyses om at KI er brukt?
Dersom retningslinjene ikke gir forståelige svar, er de ikke praktiske nok.
Kombiner regler med opplæring
Retningslinjer alene skaper ikke trygg bruk.
Medarbeiderne trenger opplæring i:
hvordan verktøyene fungerer
hvilke begrensninger de har
hva som kan gå galt
hvordan svar skal kvalitetssikres
hvilke data som kan brukes
hvordan feil skal rapporteres
hvordan KI kan brukes i egne arbeidsoppgaver
Lederne trenger i tillegg kompetanse i prioritering, risiko, ansvar og endringsledelse.
Aktuelle kurs er:
Målet er trygg og nyttig bruk
Gode retningslinjer skal ikke stoppe all utprøving.
De skal gjøre det mulig å utforske teknologien uten at hver medarbeider må gjøre alle vurderingene alene.
Når grensene er tydelige, verktøyene er godkjent og ansvaret er avklart, blir det lettere å bruke KI på en trygg og nyttig måte.
Les også:
Slik lykkes virksomheten med KI: 7 grep fra strategi til nye arbeidsmåter
KI gjør ikke faglighet mindre viktig – den gjør den viktigere
Kurs i KI, ledelse og trygg endring
Aktuelle kurs:
Kontakt IGM om bedriftsintern opplæring og utvikling av et kompetanseløp
