Sådan udarbejder du en AI-politik for din virksomhed

Annonce – sponsoreret indhold.

En AI-politik for virksomheder er blevet et nødvendigt styringsværktøj, når medarbejdere i stigende grad bruger ChatGPT, Copilot og andre AI-løsninger i deres daglige arbejde. Uden klare retningslinjer risikerer virksomheden, at fortrolige oplysninger deles med eksterne tjenester, at kvaliteten af AI-genereret indhold svinger voldsomt, eller at ansvaret for fejl bliver uklart. Denne guide giver dig en konkret fremgangsmåde til at udarbejde en AI-politik, der både beskytter virksomheden og giver medarbejderne frihed til at bruge AI effektivt og ansvarligt.

Hvorfor din virksomhed har brug for en AI-politik nu

AI-værktøjer er ikke længere forbeholdt tekniske specialister. Medarbejdere på tværs af afdelinger bruger dem til at skrive mails, opsummere møder, analysere data og generere indhold. Denne udbredelse sker ofte uden central koordinering, hvilket skaber en række risici.

Datafortrolighed er den mest akutte bekymring. Når en medarbejder kopierer kundeoplysninger, interne tal eller kontraktudkast ind i et eksternt AI-værktøj, kan data potentielt lagres eller bruges til at træne modellen. Det kan være et brud på GDPR, fortrolighedsaftaler med kunder eller virksomhedens egne sikkerhedsregler.

Kvalitet og ansvar er ligeså vigtige. AI-genereret tekst kan indeholde faktuelle fejl, forældede oplysninger eller direkte hallucinationer. Uden klare retningslinjer for, hvornår og hvordan output skal verificeres, risikerer virksomheden at sende forkerte oplysninger til kunder eller træffe beslutninger på et fejlagtigt grundlag.

En AI-politik er derfor ikke primært et juridisk dokument – det er et ledelsesværktøj, der sikrer, at AI bruges klogt, konsekvent og i overensstemmelse med virksomhedens værdier og forpligtelser. Mange virksomheder opdager dog hurtigt, at en politik alene ikke ændrer adfærd. Derfor supplerer de retningslinjerne med AI kurser til virksomheder, hvor medarbejderne får praktiske færdigheder til at efterleve politikken i deres konkrete arbejdsopgaver.

Hvem skal involveres i udarbejdelsen

En AI-politik, der kun skrives af én afdeling, har sjældent gennemslagskraft i hele organisationen. Involver derfor relevante interessenter fra starten:

• Ledelsen – sikrer opbakning og ressourcer, samt at politikken afspejler virksomhedens strategi
• IT og sikkerhed – vurderer tekniske risici, godkender værktøjer og sikrer integration med eksisterende sikkerhedspolitikker
• Juridisk afdeling eller ekstern rådgiver – gennemgår GDPR-overholdelse, kontraktmæssige forpligtelser og ansvarsspørgsmål
• HR – kobler politikken til onboarding, træning og eventuelle ansættelsesretlige konsekvenser
• Repræsentanter fra forretningen – sikrer, at politikken er praktisk anvendelig og ikke blokerer for legitim brug

Start med et indledende møde, hvor I kortlægger, hvilke AI-værktøjer der allerede bruges, hvilke bekymringer de forskellige afdelinger har, og hvad I ønsker at opnå med politikken. Denne kortlægning giver jer et realistisk udgangspunkt.

De fem kerneområder din AI-politik skal dække

En effektiv AI-politik behøver ikke være lang, men den skal være præcis på de områder, der skaber usikkerhed hos medarbejderne. Her er de fem områder, din politik bør adressere:

1. Datafortrolighed og personoplysninger

Definer klart, hvilke typer data der aldrig må indtastes i AI-værktøjer. Det omfatter typisk:

• Personoplysninger om kunder, medarbejdere eller samarbejdspartnere
• Fortrolige forretningsoplysninger som budgetter, strategier eller upublicerede produkter
• Materiale omfattet af NDA’er eller kundekontraktlige fortrolighedsbestemmelser
• Følsomme oplysninger om helbredsforhold, fagforeningsmedlemskab eller lignende

Vær konkret. “Fortrolige oplysninger må ikke deles” er for vagt. “Kundenavne, CVR-numre og kontraktbeløb må aldrig indtastes i ChatGPT eller lignende eksterne tjenester” er handlingsanvisende.

2. Godkendte værktøjer og platforme

Opret en liste over, hvilke AI-værktøjer der er godkendt til brug i virksomheden. Differentiér gerne efter anvendelse:

• Godkendt til generel brug: Værktøjer med enterprise-aftaler, hvor data ikke bruges til træning
• Godkendt med begrænsninger: Værktøjer, der må bruges til ikke-fortrolige opgaver
• Ikke godkendt: Værktøjer uden databehandleraftale eller med uacceptable vilkår

Angiv en proces for, hvordan medarbejdere kan foreslå nye værktøjer til vurdering. Ellers opstår der skygge-IT, hvor folk bruger ikke-godkendte løsninger i det skjulte.

3. Ansvar for output og kvalitetssikring

Gør det tydeligt, at medarbejderen altid bærer ansvaret for det endelige resultat – uanset om AI har hjulpet med at skabe det. Politikken bør specificere:

• At AI-genereret indhold skal gennemgås og verificeres før brug
• At kilder og fakta skal kontrolleres, især ved kundehenvendt materiale
• At medarbejderen ikke kan henvise til “AI’en sagde det” som undskyldning for fejl

For bestemte områder som juridisk rådgivning, økonomiske anbefalinger eller sundhedsfaglig information kan I overveje at kræve ekstra godkendelse før AI-assisteret indhold sendes ud.

4. Transparens og mærkning

Tag stilling til, om og hvornår det skal oplyses, at AI har været involveret i at skabe indhold. Overvej situationer som:

• Kundekorrespondance
• Marketingmateriale
• Rapporter og analyser til bestyrelse eller investorer
• Indhold til hjemmeside eller sociale medier

Der er ikke ét rigtigt svar – det afhænger af jeres branche, kundeforventninger og værdier. Men tag en bevidst beslutning og kommuniker den klart.

5. Kompetencekrav og træning

Angiv, hvilken træning medarbejdere skal gennemføre, før de bruger AI-værktøjer til arbejdsopgaver. Det kan være et introduktionskursus for alle, suppleret med rollebaseret uddannelse for dem, der arbejder med følsomme data eller kundevendte funktioner.

Sådan sikrer du, at politikken bliver fulgt i hverdagen

En politik, der ligger i en mappe på intranettet, ændrer ikke adfærd. Her er konkrete greb til at forankre retningslinjerne:

Gør politikken let tilgængelig. Opret en kort version med de vigtigste punkter, som kan printes eller gemmes lokalt. Link til den fulde version for dem, der vil vide mere.

Integrer i eksisterende processer. Tilføj AI-politikken til onboarding af nye medarbejdere. Inkluder den i årlige sikkerhedsgennemgange. Lad den indgå i de samtaler, hvor medarbejdere får adgang til nye systemer.

Skab et forum for spørgsmål. Udpeg en kontaktperson eller opret en kanal, hvor medarbejdere kan stille spørgsmål om konkrete situationer. “Må jeg bruge AI til denne opgave?” bør være let at få svar på.

Ledelsens eksempel betyder noget. Når ledere selv følger politikken synligt og taler om, hvordan de bruger AI ansvarligt, signalerer det, at retningslinjerne er reelle.

Kombinér politik med praksis. Workshops og træning, hvor medarbejdere øver sig på faktiske arbejdsopgaver, gør politikken konkret. Det er her, folk lærer at skelne mellem, hvad de må og ikke må, i realistiske situationer.

Håndtering af overtrædelser

Definer på forhånd, hvad konsekvensen er, hvis politikken overtrædes. Graduér efter alvor:

• Utilsigtet mindre overtrædelse: Vejledning og eventuelt genopfriskning af retningslinjer
• Gentagne overtrædelser: Formel advarsel og obligatorisk supplerende træning
• Alvorlige overtrædelser med risiko for skade: Ansættelsesretlige konsekvenser efter gældende regler

Formålet er ikke at skabe frygt, men at etablere en forventning om, at politikken tages alvorligt. Husk at konsultere HR og eventuelt juridisk rådgiver, så sanktioner er i overensstemmelse med ansættelsesretlige regler.

Opfølgning og evaluering over tid

AI-området udvikler sig hurtigt. Nye værktøjer dukker op, eksisterende ændrer funktionalitet og vilkår, og jeres egen organisation får erfaringer, der bør indarbejdes. Planlæg derfor fast evaluering af politikken.

Halvårlig eller årlig gennemgang er et godt udgangspunkt. Tjek om:

• Listen over godkendte værktøjer stadig er aktuel
• Der er opstået nye use cases, politikken ikke dækker
• Medarbejderne oplever politikken som forståelig og anvendelig
• Der har været hændelser, der afslører huller i retningslinjerne

Indsaml feedback systematisk. Spørg medarbejderne via korte undersøgelser eller i forbindelse med træningsforløb. De, der bruger AI dagligt, ser ofte praktiske udfordringer, som politikskrivere ikke forudser.

Hold øje med lovgivning og myndighedsvejledninger. Datatilsynet og relevante brancheorganisationer udgiver løbende vejledninger om AI og persondata. Sørg for, at nogen i organisationen har ansvar for at følge med.

Dokumentér ændringer. Før en ændringslog, så I kan se, hvordan politikken har udviklet sig, og så medarbejdere ved, hvornår den sidst blev opdateret.

Ofte stillede spørgsmål

Skal vi have en AI-politik, selvom vi er en mindre virksomhed?

Ja, omfanget kan være mindre, men behovet er det samme. Selv i en virksomhed med få ansatte bruger folk AI-værktøjer, og uden retningslinjer opstår der usikkerhed om, hvad der er acceptabelt. En kort, klar politik på én side er bedre end ingen politik.

Hvordan forholder vi os til medarbejdernes private AI-brug på arbejdscomputere?

Det bør adresseres eksplicit i politikken. Nogle virksomheder tillader begrænset privat brug, mens andre forbyder det helt på arbejdsudstyr. Det vigtige er, at forventningen er klar, og at medarbejderne ved, at samme datafortrolighedsregler gælder uanset formålet.

Hvad gør vi, hvis et værktøj ændrer sine vilkår?

Udpeg en ansvarlig for at overvåge vilkårsændringer fra centrale AI-leverandører. Når vilkår ændres væsentligt, bør IT og juridisk vurdere, om værktøjet stadig lever op til jeres krav. Kommuniker hurtigt til medarbejderne, hvis et værktøj skifter status.

Kan vi bruge en standardskabelon til vores AI-politik?

Skabeloner kan være et godt udgangspunkt, men de skal tilpasses jeres branche, størrelse og specifikke risikoprofil. En finansiel virksomhed har andre behov end en kreativ bureau. Gennemgå altid skabelonen med relevante interne interessenter og eventuelt juridisk rådgiver, før I vedtager den.