Riktlinjer för AI-användning ska svara på vad som får matas in

Saknar bolaget riktlinjer för AI avgörs ändå vilken information som får användas, men av varje medarbetare för sig och i stunden. Riktlinjer flyttar beslutet till ledningen.

Digg och IMY överlämnade i januari 2025 nationella riktlinjer för generativ AI i offentlig förvaltning. Myndigheternas rapport rekommenderar att alla offentliga organisationer har en policy eller motsvarande för hur de hanterar AI. Privata bolag omfattas inte av riktlinjerna, men områdena är ett användbart underlag. IMY räknar upp ledning och ansvar, cybersäkerhet, dataskydd enligt GDPR, etik, arbetsrätt och upphandling.

Fem beslut gör riktlinjerna användbara

Vår bedömning är att ett bolag behöver ha fattat fem beslut. Det första gäller vilka verktyg som är godkända och vilka konton de används via, vilket artikeln om privata och betalda planer beskriver närmare. Det andra gäller vilken information som får och inte får användas. Det tredje gäller vem som svarar på frågor och beslutar om undantag. Det fjärde gäller hur ett svar kontrolleras innan det används utanför bolaget. Det femte gäller när riktlinjerna ses över och hur medarbetarna får veta vad som ändrats.

Informationen går att sortera redan i dag

Verktygslistan ändras ofta, medan bolagets information är mer stabil. Ledningen kan därför börja med att sortera bolagets information i vad som aldrig får lämna bolagets egna system, vad som får användas med godkända verktyg och vad som går att använda fritt. Enligt vår bedömning hamnar personuppgifter, avtal och prislistor i de två första grupperna.

IMY pekar på att frågor om personuppgifter bör identifieras och hanteras tidigt när AI införs. Hur skyddet för företagshemligheter påverkas när information matas in beskrivs i artikeln om företagshemligheter och AI.

Någon måste kunna svara på frågor

En av de frågor som Digg och IMY byggde riktlinjerna för att besvara är vem som är ansvarig för användningen av generativ AI, till exempel när något blir fel. Rapporten listar frågan men ger inget generellt svar på den. Ett bolag kan inte lämna frågan öppen. Utan en utpekad person gissar medarbetarna eller låter bli att fråga. Rollen behöver mandat och tid, vilket artikeln om AI-ansvarig i teamet går igenom.

Håll riktlinjerna till en sida

Digg och IMY kopplar i sin rapport en policy till höjd kompetens i organisationen, och för ett bolag betyder det att riktlinjen också är ett underlag att gå igenom med medarbetarna. Ryms besluten på en sida går de att läsa på fem minuter och att lära ut. Be tre medarbetare från olika avdelningar läsa sidan och säga vad de skulle göra med ett avtal de vill få sammanfattat. Svarar de olika visar det var riktlinjen är otydlig.