Forestil dig en nyansat, hvis kolleger bruger AI-værktøjer, men som aldrig er blevet vist en politik for godkendte værktøjer. Senere spørger IT, hvorfor kundedata endte i en personlig konto. Scenariet er illustrativt, men kontrolgabet er reelt: kollegers adfærd er ikke en tilladelse.
Det gab — mellem »ingen sagde nej« og »dette er faktisk godkendt« — er dér, de fleste hverdagsfejl med AI på arbejdet starter. De generelle sikre regler er ikke emnet her; databeskyttelse og datahygiejne på arbejdet dækker allerede det. Emnet er det snævrere, mere mekaniske trin, de fleste springer helt over: faktisk at finde din egen arbejdsgivers politikdokument, læse de dele der betyder noget, og vide, hvad du skal gøre, når det viser sig, at der ikke er ét.
Hvad en AI-politik på arbejdspladsen faktisk er
En brugbar politik er et specifikt, versioneret dokument eller en intranetside med en ansvarlig ejer. Den bør identificere godkendte værktøjer og kontokonfigurationer, tilladte data, krav til menneskelig gennemgang og oplysning, godkendelse af nye værktøjer, hændelsesrapportering og konsekvenser. En kollegas besked eller vane er ikke en erstatning.
Organisationer kan offentliggøre dette i en IT-sikkerheds-wiki, en politik for acceptabel brug, en medarbejderhåndbog, et indkøbskatalog eller en navngiven liste over godkendte værktøjer. Registrér titel, ejer, version eller dato og link, så du kan se, om reglen senere ændrede sig.
At bede om det dokument er rimeligt. Artikel 4 i EU’s AI-forordning kræver, at omfattede udbydere og idriftsættere træffer foranstaltninger, der støtter tilstrækkelig AI-kompetence hos medarbejdere og andre, der driver AI-systemer på deres vegne, under hensyntagen til kontekst og risiko (AI Act, Article 4). Om og hvordan den bestemmelse gælder for en organisation, er et juridisk spørgsmål; den autoriserer ikke i sig selv en medarbejder til at bruge et værktøj eller en datakategori.
Hvor du faktisk skal kigge
Før du antager, at der ingen politik er, tjek disse steder, i rækkefølge:
- Din virksomheds intranet eller medarbejderhåndbog. Søg efter »AI«, »kunstig intelligens«, »generativ AI« eller de specifikke værktøjsnavne (ChatGPT, Copilot, Gemini) — politikker er nogle gange arkiveret under IT-sikkerhed eller politik for acceptabel brug snarere end et selvstændigt AI-afsnit.
- IT’s eller sikkerhedsafdelingens liste over godkendt software. Mange virksomheder vedligeholder en liste over godkendte værktøjer for enhver kategori, og AI-værktøjer dukker i stigende grad op dér med et specifikt niveau eller en specifik konfiguration navngivet.
- Dit onboardingmateriale eller den seneste optagelse af et fællesmøde. Meddelelser om AI-politik bliver ofte givet én gang, på et møde, og derefter aldrig gentaget — tjek, om du missede én.
- Din leder. Et direkte, specifikt spørgsmål — »er der et godkendt AI-værktøj til vores team, og er der noget, jeg ikke bør indsætte i det?« — får et rigtigt svar hurtigere end at søge alene.
- IT eller sikkerhed direkte. Hvis de første fire ikke giver noget, så spørg det team, der er ansvarligt for værktøjsgodkendelse, ved navn, skriftligt, så svaret er på skrift.
Gem svaret på et godkendt arbejdssted med titel, ejer, version eller ikrafttrædelsesdato og link. Kopiér ikke fortroligt politikmateriale ind i en personlig noteskonto. Tjek igen før en ny datakategori, et nyt værktøj, en ny konto eller en ekstern leverance.
Misforståelsen, der skaber mest besvær
En skadelig antagelse er, at tavshed er tilladelse: »ingen har sagt, at jeg ikke må bruge ChatGPT til det her, så det må være i orden.« Hvis du ikke kan finde en tilladelse, så behandl følsomme data som ikke godkendt til værktøjet, og spørg den ansvarlige ejer, før du bruger AI på kundedata, ikke-offentliggjorte planer, finansielle tal eller en anden medarbejders personoplysninger. Tavshed fastslår hverken godkendelse eller forbud; den efterlader et uafklaret kontrolspørgsmål.
Den anden almindelige fejl går den modsatte vej: at antage, at en politik, der gælder i én sammenhæng, gælder i alle. En virksomhed, der har godkendt et virksomhedskonfigureret AI-værktøj til at udarbejde interne notater, har ikke nødvendigvis godkendt det til kundekommunikation, HR-beslutninger eller opgaver, der omfatter en anden medarbejders data. Læs efter anvendelsesområdet, ikke blot efter et generelt »ja«.
Et konkret eksempel
To medarbejdere i den samme mellemstore virksomhed vil begge bruge AI til at hjælpe med at udarbejde et kundeforslag. Den ene søger på intranettet, finder en side, der beskriver et virksomhedskonfigureret værktøj med et bestemt login, og bruger det. Den anden antager, at »AI er AI«, og indsætter kundens kontraktoplysninger i sin personlige ChatGPT-konto, fordi en kollega på et andet team gør det samme uden synlige problemer. Kun den ene har faktisk kontrolleret, hvad arbejdsgiveren har godkendt. Den anden stoler på en antagelse, der endnu ikke har skabt et synligt problem. Forskellen bliver først synlig, når en revision, en kundeklage eller en datahændelse rejser spørgsmålet direkte.
Hvis du ikke kan finde et klart svar for det præcise værktøj og den præcise dataklasse, så hold kundedata, andre medarbejderes personoplysninger og fortroligt materiale ude, indtil en autoriseret ejer svarer skriftligt. I EU skal brug af personoplysninger også passe til organisationens dokumenterede GDPR-roller, formål, retsgrundlag, sikkerhed og databehandlerordninger; denne artikel kan ikke afgøre dem for en specifik arbejdsgiver (GDPR). Hvis en utilsigtet indsættelse allerede er sket, så brug hændelsesvejen snarere end at skjule det eller improvisere en løsning. Se indsæt ikke arbejdshemmeligheder i en forbruger-AI.
Hvad en rigtig politik som regel specificerer
Når du finder dokumentet, så læs det for disse kontroller snarere end at skimme efter en generel overskrift om, at »AI er tilladt«:
| Hvad du skal kigge efter | Hvorfor det betyder noget |
|---|---|
| Navngivne godkendte værktøj(er) | »AI er tilladt« uden et navngivet værktøj fortæller dig ingenting brugbart |
| Påkrævet konto, tenant eller konfiguration | Et mærkenavn viser ikke, om et personligt login eller organisationens tenant er godkendt |
| Datakategorier, der er forbudt eller begrænset | Kundedata, finansielle tal, kildekode og HR-data har ofte andre regler end almindelig udarbejdelse |
| Godkendelsesprocessen for et nyt værktøj | Fortæller dig, hvad du skal gøre, hvis det værktøj, du vil bruge, endnu ikke er på listen |
| Påkrævet menneskelig gennemgang og forbudte beslutninger | Identificerer, hvor resultater skal kontrolleres, og hvor AI slet ikke må bruges |
| Oplysningskrav | Om du skal fortælle din leder eller en kunde, når AI blev brugt — se oplysning om AI på arbejdspladsen, når det kræves for beslutningsrammen, når du kender din politiks specifikke regel |
| Opbevaring, journaler og hændelsesrapportering | Fortæller dig, hvad der skal logges, og hvad du skal gøre efter en utilsigtet indsættelse eller et usikkert resultat |
| Konsekvenser ved ikke-godkendt brug | En konkret fornemmelse af, hvad der faktisk står på spil, ikke bare abstrakt risiko |
Hvis dokumentet udelader væsentlige kontroller i denne tabel, så behandl det som ufuldstændigt for den påtænkte brug, og spørg den autoriserede politikejer om de manglende svar.
Hvis der reelt ingen politik er
Nogle organisationer har ikke skrevet en AI-specifik politik. Det fravær tilsidesætter ikke eksisterende regler om sikkerhed, fortrolighed, databeskyttelse, acceptabel brug, indkøb eller kunder. I den situation:
- Spørg den autoriserede politikejer — ofte IT, sikkerhed, databeskyttelse, jura, indkøb eller en delegeret leder — om en skriftlig beslutning om det præcise værktøj, den præcise konto, den præcise opgave og den præcise dataklasse.
- Gå som udgangspunkt til den mest konservative læsning af alt, der involverer kundedata, andres personoplysninger eller fortrolige forretningsoplysninger, uanset hvor bekvem en genvej ser ud.
- Stil dit spørgsmål skriftligt (en e-mail eller en Slack-besked til en navngiven person), så der er et spor af, at du spurgte, snarere end at stole på et mundtligt svar, du ikke kan pege tilbage på senere.
- Hvis din rolle jævnligt involverer ægte følsomme data, så overvej at rejse fraværet af en politik som et specifikt, praktisk gab, der er værd at lukke — ikke som en klage, men som en konkret anmodning: »kan vi få et én-sides svar på, hvilket AI-værktøj der er godkendt til X slags arbejde?«
Find din politik i denne uge
Brug læsekortet til AI-politik på arbejdspladsen til faktisk at finde din arbejdsgivers politik, logge hvad den siger om værktøjer, data og godkendelsesproces, og notere, hvem du skal spørge, hvis nogen del er uklar. Hvis det viser sig, at der slet ingen politik er, går kortet også gennem de konservative standardspørgsmål, du skal stille din leder direkte. Begge udfald er mere nyttige end at fortsætte med at gætte.
Kilder og gennemgangens grænse
- ICO’s interne politik for AI-brug er et officielt eksempel fra praksis, der dækker godkendt brug, personoplysninger, kontrol af resultater og hændelseshåndtering; det er ikke en skabelon, der tilsidesætter en anden arbejdsgivers regler.
- Irlands National Cyber Security Centres vejledning om generativ AI til offentlige organer illustrerer restriktioner på godkendte værktøjer og forretningsdata i en ramme med høj styring.
Denne artikel lokaliserer politikkontroller; den fortolker ikke ansættelsesrettigheder, kontrakter, GDPR-roller eller EU’s AI-forordning for en specifik organisation. Kvalificeret gennemgang af ansættelse, databeskyttelse og jura er fortsat afventende.
