En designer med en tremånaders retainer öppnar ChatGPT för att ”städa upp” ett statusmejl till kunden, klistrar in förra veckans anteckningar och lägger först senare märke till att anteckningarna innehåller ett osläppt produktnamn och en konkurrentjämförelse som kunden märkt som konfidentiell. Ingen på en arbetsgivares IT-avdelning kommer att fånga upp det. Du är policyägaren, operatören och personen vars namnteckning står på NDA:n.
Den här artikeln är för frilansare och solopreneurs som säljer arbete till kunder. Den är inte individuell AI-litteracitet på arbetsplatsen för anställda under en företags-AI-policy – den läsaren har ett annat första steg: att läsa arbetsgivarens AI-policy. Dina begränsningar är kundavtal, NDA:er, ditt eget rykte och konsumentskyddsregler som fortfarande gäller när du annonserar tjänster. Företagsövergripande AI-strategi för team hör hemma någon annanstans; här är det du som är omdömesenheten.
Vad ett personligt policykort är till för
Ett policykort är en kort skriven uppsättning grundregler som du stämmer av mot varje kunds avtal och instruktioner. Det svarar på de här frågorna innan någon modell är inblandad:
- Vad går aldrig in i ett konsument-AI-verktyg i kundarbete?
- Vad kräver uttryckligt kundtillstånd eller en avtalad verktygsnivå innan AI-användning?
- Vilka beslut förblir mänskliga även när AI skriver utkastet till formuleringen (pris, scope, löften, juridiska slutsatser)?
- När stannar du och eskalerar till en jurist, revisor, medarbetare eller kunden?
- Vilket exakt verktyg, konto, datakategori, lagringsinställning och kundgodkännande gäller?
- Vilken incidentväg gäller om data, inloggningsuppgifter eller ett ogodkänt resultat passerar gränsen?
Utan det kortet blir varje prompt sent på kvällen ett engångsbeslut om etik. Sådana beslut glider med tiden.
Kundhemligheter, offerttext som innehåller tredjepartsdata och avtalsklausuler är inte ”promptkontext”. Behandla dem som konfidentiella tills du har en skriven regel och, där det behövs, kundöverenskommelse om verktyg. Se även klistra inte in kundhemligheter i AI.
Vanlig missuppfattning
Missuppfattningen är att ”jag är min egen chef, så vilket verktyg som helst är okej”. Autonomi upphäver inte sekretess. Om du skrivit under en NDA eller en sekretessklausul löper skyldigheten till kunden, inte till din föredragna chattprodukt. En andra missuppfattning är att enterprise-marknadsföringstext på en konsumentinloggning är lika med en kundsäker dataväg – det är det inte. Kontrollera den faktiska produktnivån och datavillkoren för kontot du är inloggad på, den dag du använder det (OpenAI Data Controls FAQ; Anthropic privacy policy; Anthropic consumer privacy center).
Illustrativt scenario (märkt)
Illustrativt scenario, inte ett uppmätt fall: En copywriter som jobbar ensam ber en konsumentmodell att ”skriva om det här förslaget mer övertygande” och klistrar in ett fullständigt utkast som inkluderar kundens opublicerade pristabell och ett namngivet partnerföretag. Modellen returnerar smidigare prosa. Exponeringen har redan skett i det ögonblick texten klistras in, oavsett om chatten senare raderas. Policykortets åtgärd ligger uppströms: förslag med tredje parts kommersiella data stannar utanför konsumentverktyg om inte kunden har godkänt en specifik verktygsväg.
Reglerna värda att skriva ner
1. Inklistringsförbud (hårda stopp)
Lista kategorier du inte klistrar in i konsument-AI: inloggningsuppgifter, fullständiga avtal, opublicerade finansiella siffror, personuppgifter om kundens kunder, säkerhetsdetaljer och allt SOW eller NDA kallar konfidentiellt. Spegla stoppkontrollvanan från vägledningen om arbetshemligheter för anställda, men kom ihåg att din skyldighet löper till kunden, inte en arbetsgivare.
2. Tillåten AI-hjälp (snävt avgränsad)
Tillåt AI för struktur, grammatik, dispositionsalternativ och syntetiska eller minimerade mönsterfrågor – men bara där avtalet och kundens instruktioner tillåter det. Håll en projektlogg över exakt vilket verktyg, konto eller tenant, vilken datakategori, vilket godkännande, vilket datum och vilken mänsklig granskning som krävs.
3. Du äger fortfarande pris och scope
Modeller kan hjälpa till att organisera ett förslag. De sätter inte din taxa eller hittar på leveranslöften. Förslagsutkast du fortfarande prissätter och scope-ändringsloggar täcker arbetsflödena; policykortet behöver bara meningen: ”Jag accepterar aldrig AI-föreslagna arvoden eller deadlines utan min egen kontroll.”
4. Redovisning när det spelar roll
Där en kund, plattform eller jurisdiktion förväntar sig att du berättar när AI har bistått en leverans, berätta det. Att behålla ditt namn på AI-assisterat arbete och arbetsplatsliknande redovisningsnormer är användbara mönster; anpassa dem till kundavtal snarare än personalhandböcker. Regler om sanningsenlig reklam gäller fortfarande hur du beskriver dina tjänster (FTC advertising and marketing guidance; FTC crackdown on deceptive AI claims and schemes).
5. Eskaleringstriggers
Skriv ner de ögonblick då du inte ”frågar modellen”: skattemässig behandling, om ett avtal är verkställbart, reglerad rådgivning, medicinska eller juridiska slutsatser, och varje situation där ett felaktigt svar skapar ett ansvar gentemot kunden som du inte kan bära. Behandla dem som triggers i riskstyrningen, inte som misslyckade prompter (NIST AI Risk Management Framework). När solo-AI inte räcker bygger vidare på det här.
6. Incidenthantering
Skriv ner den första åtgärden efter ett oavsiktligt röjande: sluta använda verktyget, notera konto, tidpunkt och datakategori utan att kopiera uppgifterna igen, byt exponerade inloggningsuppgifter via kundens godkända väg, och följ avtalets process för säkerhet, dataskydd och underrättelser. Improvisera inte kring radering, och låt inte en chattbot avgöra vilka underrättelseskyldigheter som gäller.
Behandla inte ett flytande modellsvar som ersättning för en legitimerad yrkesperson när frågan gäller juridisk, skattemässig, medicinsk eller reglerad finansiell rådgivning. Språkligt flyt är ingen legitimation.
En övning för i dag
Öppna en tom anteckning. Ge den en rubrik med ditt namn och ”AI-regler för kundarbete”. Fyll i avsnitten ovan på under 20 minuter. Fäst den bredvid din offertmall. Kortet för solo-kund-AI-regler är en utskrivbar version av samma struktur.
EU-läsare som annonserar till konsumenter bör också ögna igenom hur reglerna om otillbörliga affärsmetoder behandlar vilseledande påståenden (direktiv 2005/29/EG) – poängen för en soloaktör är enklare än efterlevnadsteater: låt inte AI-skriven marknadsföring överdriva vad du levererar.
ICO:s vägledning om uppgiftsminimering stöder att begränsa personuppgifter till vad som är nödvändigt. Den avgör inte om en frilansare är personuppgiftsansvarig eller personuppgiftsbiträde, om kundens samtycke är rätt rättslig grund, eller om ett visst verktyg är avtalsmässigt godkänt; det förblir kvalificerade juridiska och dataskyddsrättsliga frågor.
Hur det här förhåller sig till anställdas AI-litteracitet
Anställda frågar ”är det här verktyget godkänt?” Frilansare frågar ”har jag kommit överens med kunden om hur verktyg och data fungerar, och kan jag försvara det valet om något läcker?” Samma teknik, olika ansvarsstrukturer. Håll kortet tillräckligt kort för att du faktiskt ska använda det en torsdagskväll.
