AI-policyn som får plats på en sida

De flesta AI-policyer misslyckas redan första veckan

Det vanliga mönstret: juridiska avdelningen skriver fjorton sidor, dokumentet skickas ut som en PDF-bilaga, folk ögnar igenom ämnesraden och ingenting förändras. Samtidigt fortsätter halva företaget att klistra in kundmaterial i vilken chattbot som råkar vara öppen i nästa flik. Policyn finns, så risken ser hanterad ut. Det är den inte.

En policy fungerar bara om en nyanställd kan läsa den på två minuter och minnas den tre månader senare, i just det ögonblick då hen ska klistra in något. Det kravet — att kunna erinra sig innehållet under tidspress — är vad som bör styra skrivandet, inte fullständighet.

Börja med vad folk får göra

Policyer som bara förbjuder skapar dold användning. Personalen har fortfarande samma deadlines, verktygen är gratis och en webbläsarflik bort, och nu har de dessutom ett skäl att inte nämna saken. Du förlorar just den insyn du försökte skaffa dig.

Led därför med tillåtelse. Namnge de specifika verktyg som företaget har godkänt, med produktnamn och kontotyp — den betalda företagsnivån, inte den kostnadsfria konsumentversionen, eftersom datavillkoren skiljer sig åt. Säg sedan rakt ut att de får användas för utkast, sammanfattningar, research, en första analys, kod, översättning och för att tänka högt. Om en uppgift ryms i den listan och datareglen nedan tillåter det behöver ingen fråga om lov.

Det enda stycket gör mer för styrningen än ett helt kapitel om principer för ansvarsfull AI. Det ger människor en legitim väg, vilket innebär att de illegitima slutar kännas nödvändiga.

Förbjud en kort lista, och var konkret

Håll förbuden så få att de går att lära sig utantill. Fem är ett bra tak. Vart och ett bör beskriva en handling, inte ett värde:

Lägg inte in kunders personuppgifter, inloggningsuppgifter, opublicerade finansiella siffror eller något som omfattas av sekretessavtal i ett verktyg som inte står på listan över godkända verktyg.
Skicka inte AI-genererat arbete till en kund, en tillsynsmyndighet eller styrelsen utan att en namngiven person har läst igenom det först.
Låt inte en modell fatta ett slutgiltigt beslut om en människa — anställning, uppsägning, kredit, prissättning, behörighet.
Köp inte in och koppla inte upp ett nytt AI-verktyg med ett privat kort eller ett privat konto.
Presentera inte AI-genererat material som någons eget originalarbete där upphovsmannaskapet spelar roll — juridiska inlagor, reviderade siffror, publicerad forskning.

Lägg märke till vad som saknas: inget förbud mot "oetisk användning", inget krav på att "använda AI ansvarsfullt". Sådant läses som utfyllnad och ger ingen en beslutsregel. Om en mening inte skulle förändra vad någon gör en tisdag eftermiddag — stryk den.

Klassificera datan, inte uppgiften

Det vanligaste misstaget när man skriver är att försöka räkna upp godkända användningsområden. Du blir aldrig klar, och listan åldras dåligt.

Sortera informationen i stället. Tre nivåer räcker: offentlig, intern och begränsad. Offentlig information får gå vart som helst. Intern går in i godkända verktyg. Begränsad går ingenstans utan ett namngivet undantag. Ge sedan två eller tre verkliga exempel på varje nivå, hämtade från din egen verksamhet, för "konfidentiellt" betyder ingenting förrän någon ser att prislistan är intern och att kundens journaluppgifter är begränsade.

Datanivåer överlever ankomsten av verktyg som ännu inte finns. Listor över användningsområden gör det inte.

Sätt ett namn på resultatet

Varje AI-assisterad leverans behöver en mänsklig ägare: den som skickar iväg den äger den, precis som hen skulle äga ett utkast från en yngre kollega. Den enda meningen bär större delen av ansvarstyngden i hela dokumentet. Den avgör också frågan om öppenhet — du berättar när en läsare rimligen skulle vilja veta, och ägaren gör den bedömningen.

Ge människor någonstans att vända sig när policyn inte täcker deras situation. Namnge en person och en kanal, och lova en svarstid. Två arbetsdagar är realistiskt. Utan den vägen löser sig tveksamma fall tyst av sig själva, i vilken riktning som nu råkar gå snabbast.

Så håller du den till en sida

Stryk allt som redan täcks av sekretessavtalet, säkerhetspolicyn eller lagen. Stryk definitionsavsnittet. Stryk filosofin. Ge sidan ett versionsnummer, ett datum och en ägare, och räkna med att ge ut den på nytt två eller tre gånger om året i takt med att verktyg och villkor förändras — en policy som är lätt att revidera blir också reviderad.

Testa den sedan innan du publicerar. Ge utkastet till fyra personer från olika team tillsammans med tre verkliga scenarier och fråga vad policyn säger att de ska göra. Om två av dem är oense är sidan ännu inte tillräckligt tydlig. Den halvdagen av testning är värd mer än ännu en juridisk granskning.

Det tunga med att införa AI är sällan tekniken. Det är att få några hundra människor att fatta konsekventa beslut utan en jurist i rummet. En sida de minns klarar det. Fjorton de ignorerar gör det inte.

Vill du ha ett par extra ögon på din egen policy är det just den sortens tyngd vi bär åt våra kunder.