Dette er den tredje artikkelen i vår serie om sikker bruk av KI i forbindelse med Nasjonal sikkerhetsmåned 2026, «Digital dømmekraft – Små valg. Store konsekvenser».
De tidligere artiklene i serien finner du her:
- Artikkel 1: Bør ansatte få bruke private KI-kontoer på jobb? | Blogg UNIC
- Artikkel 2: Vet du om ansatte bruker private KI-tjenester på jobb? | Blogg UNIC
I de to første artiklene har vi sett at bedriften må gjøre det mulig for de ansatte å ta gode digitale valg. Det innebærer å tilby et godkjent KI-verktøy, skaffe oversikt over hvilke tjenester som brukes og etablere tekniske tiltak som reduserer risikoen dersom noen gjør en feil.
Fra veisperringer til trafikkregler
I den forrige artikkelen sammenlignet vi tekniske sikkerhetstiltak med veiskilt og veisperringer. Tiltakene leder trafikantene i riktig retning og gjør det vanskeligere å ta feil valg.
Retningslinjer kan sammenlignes med trafikkregler. Før veisperringene settes opp, bør noen bestemme hvilke trafikkregler som skal gjelde. For KI-bruk kan disse reglene beskrives i en KI-policy, i konkrete retningslinjer eller i en kombinasjon av begge.
Reglene skal forklare:
- hvilke KI-verktøy de ansatte kan bruke
- hva verktøyene kan brukes til
- hvilken informasjon som kan deles
- hva som ikke er tillatt
- hvordan KI-generert innhold skal kontrolleres
- hvem som har ansvaret for bruken og resultatet
De fleste ansatte ønsker å følge bedriftens regler. Det er derfor viktig at reglene er enkle å finne, forstå og bruke i arbeidshverdagen.
Hvordan bør KI-reglene utformes?
For enkelte bedrifter kan det være nok å lage retningslinjer for bruk, men for andre vil det være hensiktsmessig med en overordnet policy også. En policy er et styrende dokument som beskriver hva virksomheten ønsker å oppnå og hvilke prinsipper som gjelder innenfor et bestemt område, som for eksempel KI-bruk. En policy er mer generell enn retningslinjer. Retningslinjer beskriver hvordan virksomheten forventer at ansatte handler i ulike situasjoner, og bør derfor være konkrete og enkle å forstå.
Hvordan en KI-policy eller KI-retningslinjer ser ut og hva de inneholder, vil variere fra bedrift til bedrift. De skal gjenspeile bedriftens ønsker om hvordan de ansatte skal bruke KI, og dette varierer blant annet ut fra:
- Hvilken informasjon bedriften bearbeider og håndterer
- Hvilken KI-løsning som brukes
- Hva som produseres ved hjelp av KI
- Hvilke verdier som er viktigst å beskytte
- Bedriftens størrelse
Hvem bør lage reglene?
Det er oftest ledelsen som har ansvar for å fastsette bedriftens KI-policy og retningslinjer, men personer som kjenner arbeidsoppgavene og behovene i virksomheten bør også involveres i arbeidet. Dersom reglene ikke passer med måten de ansatte faktisk arbeider på, kan de bli vanskelige å følge. Det øker risikoen for at reglene blir ignorert, omgått eller misforstått.
Ulike bedrifter har ulike behov
Bedrifter har ulike behov. En virksomhet som behandler helseopplysninger, har andre risikoer enn en virksomhet som bruker KI til idémyldring og generelle tekstutkast. Hver bedrift må derfor vurdere hvilke opplysninger den behandler, hvilke avtaler den har inngått og hva KI-verktøyene skal brukes til.
Husk også at informasjon kan være bedriftssensitiv eller konfidensiell selv om den ikke inneholder personopplysninger. Det kan for eksempel gjelde priser, strategier, budsjetter, kundelister og informasjon om bedriftens systemer.
KI-policy
En KI-policy bør være overordnet, tydelig og enkel for de ansatte å forstå. For detaljer kan man vise til egne prosedyrer eller retningslinjer.
Policyen bør være:
- Kort og overordnet: Beskriv formål, rammer og prinsipper. Unngå detaljerte arbeidsprosesser eller regler. Det reduserer behovet for hyppige revisjoner.
- Tydelig: Bruk et enkelt språk slik at alle forstår den.
- Realistisk: Innholdet bør ikke være strengere enn nødvendig, og bør samsvare med virksomhetens behov og faktiske risikoer.
- Lett tilgjengelig: Alle ansatte må vite hvor policyen finnes.
- Tydelig på ansvar: Det må fremgå hvem som er ansvarlig for innhold og beslutninger.
- Vedlikeholdt: Sjekk jevnlig at policyen fortsatt samsvarer med det bedriften ønsker. Dersom det er endringer som påvirker policyen, bør den revideres.
Klikk her for et eksempel på KI-policy | Blogg UNIC
*Dette er kun et eksempel som hjelp til å komme i gang. Innholdet må tilpasses hver enkelt bedrift sitt formål, behov og arbeidsprosesser.
KI-retningslinjer
Ved utforming av retningslinjer bør man ha fokus på at de skal være enkle å forstå og følge for alle ansatte. Det er også viktig at de ikke er strengere enn nødvendig, og at de gjenspeiler formålet og prinsippene som er i policyen. Retningslinjene for KI-bruk bør derfor være:
- Tydelige, konkrete og enkle: De ansatte skal raskt forstå hvilke regler som gjelder, og hva som ikke er tillatt.
- Praktiske og relevante: Bruk eksempler som de ansatte kjenner igjen fra arbeidshverdagen.
- I tråd med policyen: Retningslinjene bør samsvare med prinsippene i policyen.
- Jevnlig oppdaterte: Nye KI-tjenester og bruksområder kan gjøre det nødvendig å tilpasse reglene. Regler som føles relevante og oppdaterte er lettere å ta på alvor og følge.
- Lett tilgjengelig: For at de skal brukes, må de være enkle å finne når man trenger dem.
Når retningslinjene utformes, er det viktig å tenke på mer enn at sensitiv informasjon kan komme på avveie. Det er også viktig å tenke på hvordan man ønsker at bedriften skal bruke KI. I policyen kan det for eksempel være et prinsipp om at virksomheten skal bruke KI på en etisk og lovlig måte. Da bør man inkludere regler om hvordan man skal forholde seg til bruk av opphavsrettsbeskyttet materiale.
Det er få som ønsker at KI-generert innhold skal sendes ut uten å bli kontrollert. KI kan produsere feil eller oppdiktet innhold, og ukontrollert innhold kan dessuten skape større arbeidsbelastning for mottakeren. Retningslinjene bør derfor ha en regel om at KI-generert innhold skal kontrolleres av personen som bruker KI-verktøyet, før innholdet brukes eller deles.
Et viktig prinsipp bør være at det alltid er personen som bruker KI-verktøyet som sitter med ansvaret for innholdet som produseres. Dersom bedriften bruker KI-agenter, bør hver agent ha en navngitt ansvarlig person med riktig myndighet og kompetanse til å vurdere oppgavene agenten utfører. KI-verktøyet kan hjelpe med arbeidet, men det overtar ikke den ansattes ansvar.
Produksjon av markedsmateriell
Det kan også være nødvendig å begrense hvem som kan bruke KI til enkelte oppgaver. Bedriften kan for eksempel bestemme at bare markedsansvarlig kan bruke KI til å endre design og markedsmateriell. Det reduserer risikoen for at logo, farger eller annet materiale endres på en måte som ikke samsvarer med bedriftens profil.
Klikk her for eksempel på retningslinjer for KI-bruk | Blogg UNIC
*Dette er kun et eksempel som hjelp til å komme i gang. Innholdet må tilpasses hver enkelt bedrift sitt formål, behov og arbeidsprosesser.
Regler kan fortsatt brytes
Det at man har policy og retningslinjer garanterer ikke at alle alltid gjør det riktige. Reglene kan brytes bevisst, men også fordi den ansatte har glemt dem, ikke kjenner dem eller ikke forstår at tjenesten som brukes inneholder KI.
Derfor må retningslinjene sees i sammenheng med de tekniske tiltakene i artikkel nummer to. Man bør ha trafikkregler, skilt og veisperringer som gjør det vanskeligere å gjøre feil.
Trafikkreglene forteller hvordan vi skal kjøre. Skiltene minner oss på reglene, mens fartsdumper, rekkverk og veisperringer reduserer risikoen når noen gjør en feil. For KI-bruk kan skiltene for eksempel være opplæring, påminnelser og varsler når noen åpner en tjeneste som ikke er godkjent. Sikker KI-bruk krever den samme kombinasjonen av regler, veiledning og praktiske sikkerhetstiltak.
Digital dømmekraft er også bedriftens ansvar
God digital dømmekraft handler ikke bare om valgene den enkelte ansatte tar. Bedriften må legge til rette for at det er mulig å ta gode valg.
Det innebærer å:
- Undersøke hvilke KI-tjenester som faktisk brukes
- Velge og tilby et godkjent KI-verktøy
- Fastsette tydelige regler og gjøre dem lett tilgjengelige
- Gi de ansatte nødvendig opplæring
- Bruke tekniske tiltak som støtter opp under reglene
- Følge opp nye behov og endringer i teknologien
De ansatte skal ikke måtte vurdere alle juridiske, tekniske og sikkerhetsmessige sider ved en KI-tjeneste på egen hånd. Bedriften må vurdere løsningene, definere grensene og gjøre det tydelig hva som er trygt og tillatt.
Da blir sikker KI-bruk ikke bare et spørsmål om hvor gode valg den enkelte ansatte tar. Det blir en del av bedriftens samlede arbeid med sikkerhet og digital dømmekraft.
Vil dere ha hjelp til å etablere trygge rammer for bruk av KI? Ta kontakt med oss i UNIC.
Neste ukes tema
I den neste og siste artikkelen i serien ser vi på ulike måter bedriften kan måle gevinst på, dersom KI brukes på en sikker måte. Når et godkjent verktøy, tydelige regler, opplæring og tekniske tiltak virker sammen, kan KI brukes til å skape verdi uten at virksomheten mister kontroll over informasjonen sin. Denne verdien kan måles på flere måter enn i bare kroner og øre.
