En medarbeider limer møtenotater inn i en åpen KI-tjeneste og ber om et sammendrag. Notatene inneholder en kundetvist, informasjon om en ansatt og detaljer fra en leverandørforhandling. Medarbeideren ønsker å spare tid og får et godt resultat på få sekunder.
Virksomheten kjenner ikke til bruken og har derfor heller ikke vurdert hvordan tjenesten behandler opplysningene, hvilke avtaler som gjelder, eller om innholdet kan lagres eller brukes videre.
Rambølls Lenke til et annet nettsted.kunnskapsgrunnlag om generativ KI i statlige virksomheter Lenke til et annet nettsted. viser at 43 prosent av virksomhetene i Arbeidsgiverbarometeret hadde interne retningslinjer. Rapporten beskriver samtidig at mange ansatte bare hadde tilgang til åpne modeller og derfor måtte følge begrensninger for hvilke data som kunne brukes.
Styring (governance) av denne bruken må fungere i øyeblikket medarbeideren velger verktøy.
Hvis dere bare gjør én ting etter å ha lest dette
Spør HR, personvern og teknologiledelsen:
«Vet medarbeiderne hvilke KI-verktøy de kan bruke til hvilke oppgaver, og har de et godkjent alternativ som er enkelt å velge?»
Hvis svaret er uklart, sett saken på neste ledermøte og vedta en kort KI-instruks med eksempler fra virksomhetens arbeidshverdag.
Når det enkleste alternativet vinner
Medarbeidere velger ofte verktøyet som løser oppgaven raskest. Dersom en åpen KI-tjeneste er ett klikk unna, mens den godkjente løsningen krever bestilling, opplæring eller flere innlogginger, øker sannsynligheten for at det åpne verktøyet blir brukt.
Dette kan skje selv i organisasjoner med engasjerte medarbeidere og tydelige verdier, fordi bruken ofte drives av tidspress, nysgjerrighet og ønsket om å levere. Ledergruppen bør derfor se på hvor lett det er å gjøre et trygt valg.
Uautorisert bruk kan omfatte private abonnementer, gratis nettjenester og nye KI-funksjoner i nettlesere, tekstbehandlere og møteverktøy. Fellesnevneren er at virksomheten mangler en godkjenning og et klart bilde av data, avtaler og risiko.
En instruks som kan brukes i arbeidshverdagen
En KI-instruks bør være kort nok til å leses når behovet oppstår. Den kan først beskrive oppgaver som medarbeiderne kan løse uten særskilt godkjenning, for eksempel språkvask av tekst uten fortrolige opplysninger, idéarbeid og oppsummering av offentlig informasjon i en godkjent løsning. Deretter bør den vise når medarbeideren må be om en avklaring, slik det ofte vil være ved kundekommunikasjon, HR-dokumenter, beslutningsgrunnlag og publisering på vegne av virksomheten. Instruksen må også forklare hvilke opplysninger som aldri skal deles i en tjeneste som mangler nødvendig godkjenning. Dette kan omfatte sensitive personopplysninger, forretningshemmeligheter og sikkerhetsgradert informasjon.
Eksemplene må tilpasses virksomhetens data, oppgaver og avtaler. En tjeneste som er uegnet for én type opplysning, kan være godkjent for en annen. Målet er at medarbeideren raskt skal vite hva som gjelder, og hvem som kan gi en avklaring.
Digitaliserings- og forvaltningsdepartementets guide Lenke til et annet nettsted.«KI-assistenter i arbeidslivet» Lenke til et annet nettsted. anbefaler blant annet dataklassifisering og tydelige regler for hvilke data som kan brukes som innhold til KI-assistenter. Dette gir et godt grunnlag for virksomhetens egne eksempler.
Gjør trygg bruk enkel
Instruksen virker best når den følges av et godkjent alternativ. Medarbeiderne bør vite hvor de finner løsningen, hvordan de får tilgang, og hvilke oppgaver den er godkjent for.
Ledergruppen bør undersøke om lang ventetid på tilgang, uklare beskrivelser av bruksområdene eller manglende opplæring gjør det unødvendig vanskelig å velge den godkjente løsningen. En kort veiledning med konkrete eksempler kan ha stor effekt når den ligger der medarbeiderne faktisk leter, for eksempel i personalhåndboken, intranettet og opplæringen av nye ansatte.
HR-forankring gjør reglene tydelige
HR bør sikre at instruksen inngår i onboarding, opplæring og virksomhetens rutiner for avvik. Ledere må kunne forklare reglene i egne team og vise hvor medarbeiderne kan få hjelp.
Ved et avvik bør virksomheten først avklare hvilke opplysninger som er delt, hvilken tjeneste som er brukt, og hvilke tiltak som kan begrense konsekvensene. Deretter bør den vurdere behovet for personvern-, sikkerhets- eller arbeidsrettslig oppfølging.
En kjent og saklig prosess gjør det lettere for medarbeidere å varsle om feil tidlig. Det gir virksomheten bedre mulighet til å redusere skade og lære av hendelsen.
Bruk ledermøtet til å teste om instruksen virker
Sett av 45 minutter og bruk tre virkelige arbeidssituasjoner, for eksempel oppsummering av et kundemøte, utforming av et personalnotat og analyse av et tilbud. Be ledergruppen avgjøre hvilket verktøy en medarbeider kan bruke, hvilke opplysninger som må fjernes, og hvem som kan gi en rask avklaring. Uenighet i rommet viser hvor instruksen fortsatt er uklar.
Møtet bør også undersøke om den godkjente løsningen faktisk er tilgjengelig for medarbeiderne som trenger den. Dersom lederne selv bruker lang tid på å finne riktig valg, er det lite sannsynlig at instruksen vil fungere godt under tidspress. Avslutt med å plassere ansvar for tekst, opplæring, tekniske tiltak og oppfølging av avvik, og bestem når instruksen skal prøves på nytt.
Dette bør dere gjøre nå
Lag en kort instruks som forklarer hva medarbeiderne kan gjøre, når de må be om en avklaring, og hvilke opplysninger de skal holde utenfor tjenestene. Bruk eksempler fra virksomhetens egne arbeidsoppgaver, og sørg for at godkjente løsninger er tilgjengelige med nødvendig opplæring og et tydelig sted å stille spørsmål. Når instruksen inngår i onboarding, personalhåndbok og lederopplæring, blir den en del av arbeidshverdagen. Eventuelle kontrolltiltak som kan følge ansattes bruk, må vurderes sammen med personvern, HR, sikkerhet og tillitsvalgte der det er relevant.
Trygg bruk må fungere under tidspress
Den avgjørende testen er om medarbeideren vet hva som skal gjøres når en oppgave haster. En kort instruks og et godt alternativ gjør det mulig å velge riktig uten å stoppe arbeidet.
Neste artikkel handler om hva KI-leverandørene og underleverandørene gjør med virksomhetens data – og hvordan ledergruppen kan få bedre kontroll på leverandørrisiko, avtaler og endringer.
Silje har bakgrunn fra lederroller i byrå- og vekstmiljøer innen tech og kommunikasjon, og har jobbet tett på struktur, prosesser og utvikling i organisasjoner i vekst. I dag jobber hun i Fortytwo, der hun arbeider med kommunikasjon, generativ AI og spørsmålene teknologien reiser om ansvar, beslutninger og hvordan mennesker og virksomheter påvirkes.
