Den AI-politik, der kan være på én side

De fleste AI-politikker fejler i den første uge

Det sædvanlige mønster: juristerne skriver fjorten sider, det sendes ud som en vedhæftet PDF, folk skimmer emnelinjen, og intet ændrer sig. Imens bliver halvdelen af virksomheden ved med at indsætte kundemateriale i den chatbot, der nu er åben i den næste fane. Politikken findes, så risikoen ser håndteret ud. Det er den ikke.

En politik virker kun, hvis en ny medarbejder kan læse den på to minutter og huske den tre måneder senere i det øjeblik, hvor de er ved at indsætte noget. Den begrænsning — at kunne huskes under tidspres — er det, der bør styre skrivearbejdet, ikke fuldstændighed.

Begynd med det, folk gerne må

Politikker, der kun forbyder, skaber skyggebrug. Medarbejderne har stadig de samme deadlines, værktøjerne er gratis og én browserfane væk, og nu har de en grund til ikke at nævne det. Du mister netop den indsigt, du forsøgte at få.

Så begynd med tilladelsen. Nævn de konkrete værktøjer, virksomheden har godkendt, ved produktnavn og med kontotypen — den betalte erhvervsudgave, ikke den gratis forbrugerversion, for datavilkårene er forskellige. Sig så ligeud, at folk må bruge dem til at skrive udkast, opsummere, researche, lave førstehåndsanalyser, kode, oversætte og tænke højt. Hvis en opgave passer ind på den liste, og dataregelen nedenfor tillader det, behøver ingen at spørge om lov.

Det ene afsnit gør mere for styringen end et helt kapitel om principper for ansvarlig AI. Det giver folk en legitim vej, og så holder de ulegitime op med at se nødvendige ud.

Forbyd en kort liste, og vær konkret

Hold forbuddene så få, at de kan huskes. Fem er et fornuftigt loft. Hvert enkelt bør beskrive en handling, ikke en værdi:

Læg ikke persondata om kunder, adgangsoplysninger, ikke-offentliggjorte regnskabstal eller noget, der er omfattet af en fortrolighedsaftale, ind i et værktøj, der ikke står på den godkendte liste.
Send ikke AI-genereret arbejde til en kunde, en myndighed eller bestyrelsen, uden at en navngiven person har læst det først.
Lad ikke en model træffe den endelige beslutning om et menneske — ansættelse, afskedigelse, kredit, prissætning, berettigelse.
Køb eller tilslut ikke et nyt AI-værktøj på et privat kort eller en privat konto.
Fremstil ikke AI-genereret materiale som en persons eget originale arbejde, hvor forfatterskabet har betydning — retlige indlæg, reviderede tal, publiceret forskning.

Læg mærke til, hvad der ikke står: intet forbud mod "uetisk brug", intet krav om at "bruge AI ansvarligt". Den slags læses som fyld og giver ingen en beslutningsregel. Hvis en sætning ikke ville ændre, hvad nogen gør en tirsdag eftermiddag, så stryg den.

Klassificér dataene, ikke opgaven

Den mest almindelige fejl er at forsøge at opremse godkendte anvendelser. Du bliver aldrig færdig, og listen ældes dårligt.

Sortér i stedet jeres information. Tre niveauer er nok: offentligt, internt og fortroligt. Offentligt må komme alle vegne. Internt må komme i godkendte værktøjer. Fortroligt må ingen steder uden en navngiven undtagelse. Giv derefter to-tre virkelige eksempler på hvert niveau hentet fra jeres egen forretning, for "fortroligt" betyder ingenting, før nogen ser, at prislisten er intern, og at kundens helbredsoplysninger er fortrolige.

Dataniveauer overlever, at der dukker værktøjer op, som ikke findes endnu. Lister over anvendelser gør ikke.

Sæt et navn på resultatet

Enhver AI-understøttet leverance skal have en menneskelig ejer: den, der sender den, ejer den, præcis som vedkommende ville eje et udkast fra en yngre kollega. Den ene sætning bærer det meste af ansvarligheden i hele dokumentet. Den afgør også spørgsmålet om åbenhed — man oplyser det, når en læser med rimelighed ville ville vide det, og ejeren træffer den afgørelse.

Giv folk et sted at henvende sig, når politikken ikke dækker deres situation. Nævn en person og en kanal, og forpligt jer på en svartid. To arbejdsdage er realistisk. Uden den vej afgøres tvivlstilfældene stiltiende i den retning, der er hurtigst.

Sådan holder du det på én side

Stryg alt, der allerede er dækket af jeres fortrolighedsaftale, jeres sikkerhedspolitik eller lovgivningen. Stryg definitionsafsnittet. Stryg filosofien. Giv siden et versionsnummer, en dato og en ejer, og regn med at genudsende den to-tre gange om året, efterhånden som værktøjer og vilkår ændrer sig — en politik, der er let at revidere, bliver revideret.

Test den så, inden I udgiver den. Giv udkastet til fire personer fra forskellige teams sammen med tre virkelige scenarier, og spørg, hvad politikken siger, de skal gøre. Hvis to af dem er uenige, er siden ikke klar nok endnu. Den halve dags test er mere værd end endnu en juridisk gennemgang.

Det tunge ved at indføre AI er sjældent teknologien. Det er at få nogle hundrede mennesker til at træffe ensartede beslutninger uden en jurist til stede. Én side, de husker, klarer det. Fjorten, de ignorerer, gør ikke.

Vil du have et par ekstra øjne på jeres egen, er det den type arbejde, vi løfter for vores kunder.