Retningslinjene for AI-bruk som får plass på én side

De fleste AI-retningslinjer mislykkes allerede den første uken

Det vanlige mønsteret: juridisk avdeling skriver fjorten sider, det sendes ut som et PDF-vedlegg, folk skummer emnefeltet, og ingenting endrer seg. Samtidig fortsetter halve selskapet å lime kundemateriale inn i den chatboten som tilfeldigvis er åpen i nabofanen. Retningslinjene finnes, så risikoen ser håndtert ut. Det er den ikke.

Retningslinjer virker bare hvis en nyansatt kan lese dem på to minutter og huske dem tre måneder senere, i det øyeblikket de er i ferd med å lime inn noe. Den begrensningen — at innholdet må kunne huskes under tidspress — er det som bør styre skrivearbeidet, ikke fullstendighet.

Begynn med hva folk har lov til

Retningslinjer som bare forbyr, skaper skyggebruk. De ansatte har fortsatt de samme fristene, verktøyene er gratis og én nettleserfane unna, og nå har de i tillegg en grunn til å ikke nevne det. Du mister den innsikten du forsøkte å skaffe deg.

Start derfor med tillatelsen. Nevn de konkrete verktøyene selskapet har godkjent, ved produktnavn, med kontotypen — den betalte bedriftsversjonen, ikke gratisversjonen for privatpersoner, fordi databetingelsene er forskjellige. Si så rett ut at folk kan bruke dem til å skrive utkast, oppsummere, gjøre research, gjøre en første analyse, kode, oversette og tenke høyt. Hvis en oppgave passer inn i den listen og dataregelen nedenfor tillater det, trenger ingen å spørre.

Det ene avsnittet gjør mer for styringen enn et helt kapittel om prinsipper for ansvarlig AI. Det gir folk en legitim vei, og da slutter de ulovlige veiene å virke nødvendige.

Forby en kort liste, og vær konkret

Hold forbudene få nok til at de kan huskes. Fem er et fornuftig tak. Hvert av dem bør beskrive en handling, ikke en verdi:

• Ikke legg inn personopplysninger om kunder, påloggingsinformasjon, ikke-offentliggjorte regnskapstall eller noe som er underlagt taushetsavtale i et verktøy som ikke står på den godkjente listen.
• Ikke send AI-generert arbeid til en kunde, en tilsynsmyndighet eller styret uten at en navngitt person har lest det først.
• Ikke la en modell ta den endelige avgjørelsen om et menneske — ansettelse, oppsigelse, kreditt, prising, kvalifisering.
• Ikke kjøp eller koble til et nytt AI-verktøy med et privat kort eller en privat konto.
• Ikke presenter AI-generert materiale som noens eget originale arbeid der forfatterskapet betyr noe — rettslige innlegg, reviderte tall, publisert forskning.

Legg merke til hva som mangler: ingen forbud mot «uetisk bruk», ingen krav om å «bruke AI ansvarlig». Slikt leses som fyllstoff og gir ingen en regel å bestemme etter. Hvis en setning ikke ville endret hva noen gjør en tirsdag ettermiddag, så stryk den.

Klassifiser dataene, ikke oppgaven

Den vanligste tabben når man skriver slike retningslinjer, er å prøve å ramse opp godkjente bruksområder. Du blir aldri ferdig, og listen eldes dårlig.

Sorter informasjonen i stedet. Tre nivåer holder: offentlig, intern og begrenset. Offentlig informasjon kan gå hvor som helst. Intern informasjon går inn i godkjente verktøy. Begrenset informasjon går ingen steder uten et navngitt unntak. Gi så to eller tre virkelige eksempler på hvert nivå hentet fra din egen virksomhet, for «konfidensielt» betyr ingenting før noen ser at prislisten er intern og kundens journalopplysninger er begrenset.

Datanivåer overlever ankomsten av verktøy som ennå ikke finnes. Lister over bruksområder gjør det ikke.

Sett et navn på resultatet

Hver AI-assisterte leveranse trenger en menneskelig eier: den som sender den, eier den, akkurat som vedkommende ville eid et utkast fra en yngre kollega. Den ene setningen bærer mesteparten av ansvarligheten i hele dokumentet. Den avgjør også spørsmålet om åpenhet — du opplyser om bruken når en leser med rimelighet vil vite det, og eieren tar den avgjørelsen.

Gi folk et sted å henvende seg når retningslinjene ikke dekker situasjonen deres. Nevn en person og en kanal, og forplikt dere til en svarfrist. To virkedager er realistisk. Uten den veien løser tvilstilfellene seg selv i det stille, i den retningen som går raskest.

Slik holder du det til én side

Stryk alt som allerede dekkes av taushetsavtalen, sikkerhetsrutinene eller loven. Stryk definisjonsdelen. Stryk filosofien. Gi siden et versjonsnummer, en dato og en eier, og regn med å gi den ut på nytt to eller tre ganger i året etter hvert som verktøy og vilkår endrer seg — retningslinjer som er enkle å revidere, blir faktisk revidert.

Test dem så før du publiserer. Gi utkastet til fire personer fra ulike team sammen med tre virkelige scenarioer, og spør hva retningslinjene sier at de skal gjøre. Hvis to av dem er uenige, er siden ikke tydelig nok ennå. Den halve dagen med testing er verdt mer enn nok en juridisk gjennomgang.

Den tunge delen av å ta i bruk AI er sjelden teknologien. Den ligger i å få noen hundre mennesker til å ta konsistente avgjørelser uten en jurist i rommet. Én side de husker, klarer det. Fjorten de overser, klarer det ikke.

Vil du ha et par ekstra øyne på dine, er det denne typen tyngde vi bærer for kundene våre.