AI-politik i virksomheden: det skal den tage stilling til

De fleste organisationer opdager først behovet for en AI-politik, når medarbejderne allerede er i gang. Nogen har brugt et gratis værktøj til at skrive et svar til en kunde, nogen har lagt et referat ind i en tjeneste, ingen har godkendt, og spørgsmålet “må vi egentlig det?” er stillet uden at blive besvaret. En AI-politik i virksomheden er svaret på det spørgsmål. Men den er ikke et dokument, I kan hente og udfylde. Den er en række beslutninger, som nogen skal træffe.

Denne artikel handler om de beslutninger. Ikke om skabelonen, men om de spørgsmål, I skal kunne svare på, før en skabelon overhovedet giver mening.

Hvorfor en skabelon ikke gør arbejdet

En hentet politik kan godt se rigtig ud. Problemet er, at den er skrevet til en anden organisation end jeres, med andre systemer, andre datatyper og andre medarbejdere. Når den så skal bruges i praksis, viser det sig, at den ikke svarer på det, medarbejderne faktisk spørger om: Må kundens mail lægges ind? Må man bruge det værktøj, man har på sin private telefon? Hvem godkender, når man er i tvivl?

Der er også en mere grundlæggende grund. En sprogmodel er et statistisk system, der beregner, hvilket næste stykke tekst der sandsynligvis passer bedst som fortsættelse på det, den har fået. Den har ikke egne mål, den kender ikke jeres aftaler, og den har ikke en indbygget “sandhedssans”, der kan skelne mellem det, der lyder rigtigt, og det, der er rigtigt. Vil I forstå mekanikken bag, har vi gennemgået den i vores introduktion til generativ AI. Konsekvensen for politikken er, at den skal beskrive, hvad medarbejderne må, skal og kan, og ikke teknologiens egenskaber. Teknologien skifter hurtigere, end I kan revidere et dokument.

Fire beslutninger bag en AI-politik i virksomheden

Det svære ved en AI-politik er sjældent formuleringerne. Det er de fire beslutninger, formuleringerne bygger på.

Hvilke værktøjer må medarbejderne bruge?

Det første valg er det mest håndgribelige: Hvad er godkendt, og hvad er ikke? Et værktøj, virksomheden har indkøbt med en databehandleraftale, står i en helt anden situation end en gratis konto, en medarbejder har oprettet selv.

Beslutningen har to halvdele, og den anden bliver ofte glemt. Den ene er listen over godkendte værktøjer. Den anden er, hvad der sker, når en medarbejder finder noget nyt, der løser en opgave bedre. Har I ikke en vej til at få det vurderet og eventuelt godkendt, får I ikke færre uofficielle værktøjer. I får bare mindre at vide om dem.

Hvilke oplysninger må tastes ind?

Det er her, de fleste konkrete spørgsmål opstår, og det er her, politikken skal være mest præcis. Personoplysninger, helbredsoplysninger, fortrolige kontrakter, ikke-offentliggjorte tal og forretningshemmeligheder hører ikke hjemme i et vilkårligt værktøj, før anvendelsen er vurderet og godkendt.

Men et forbud alene løser ikke medarbejderens opgave. Der ligger stadig en mail fra en kunde, som skal besvares i dag. Derfor bør politikken også beskrive vejen udenom: at man anonymiserer navne, ordrenumre og andre identifikatorer, før materialet bruges, og at man beskriver situationen frem for at indsætte personerne. Det ændrer sjældent noget for kvaliteten af svaret. Det ændrer meget for, hvad der bliver sendt ud af huset.

Hvem står på mål for svaret?

Det korte svar er: den medarbejder, der bruger svaret. Ansvaret flytter ikke med over i værktøjet, og et AI-genereret udkast er et input, ikke en beslutning. Det gælder også i tilfælde, hvor anvendelsen slet ikke er omfattet af de skærpede krav i AI-forordningen.

I hverdagen har medarbejderne brug for noget mere håndfast end en ansvarsbestemmelse. Vi bruger tre kontrolspørgsmål i undervisningen, frit efter UNESCO, og de fungerer også som rygrad i en politik:

Hertil kommer sporbarhed: at kunne vise, hvad man bad om, hvad modellen svarede, og hvilke kontroltrin man gennemførte. Det lyder tungt, men behøver det ikke at være. For de fleste opgaver rækker det, at prompten og svaret gemmes sammen med sagen, når resultatet har betydning for andre end en selv.

Hvad skal medarbejderne kunne?

Den sidste beslutning er den, der oftest bliver udskudt, og den er ikke valgfri. Organisationer, der anvender AI, skal træffe foranstaltninger, som understøtter medarbejdernes AI-færdigheder. Kravet har været gældende siden den 2. februar 2025.

Det betyder ikke, at alle skal gennem det samme forløb. Efter Digitaliseringsstyrelsens vejledning dækker AI-færdigheder tre ting: de teknologiske (hvad værktøjet er, og hvorfor det tager fejl), de praktiske (hvordan man faktisk får noget brugbart ud af det) og de etiske (hvornår man lader være). Oplæringen tilpasses opgaverne, for en sagsbehandler har brug for noget andet end en økonomichef.

Det er også her, politikken får sin reelle virkning. En medarbejder, der har prøvet at se en model finde på en kilde, der lyder helt rigtig, behøver ikke at få forklaret, hvorfor svar skal kontrolleres.

Prøv politikken af på en rigtig opgave

Den hurtigste måde at finde hullerne er at tage en konkret opgave og gå den igennem, inden politikken skrives færdig.

Tag en HR-medarbejder i en mellemstor virksomhed, der har holdt en sygefraværssamtale og skal skrive referatet. Opgaven er oplagt for en sprogmodel: Noterne ligger der, referatet skal have en fast struktur, og det skal være neutralt formuleret. Men nu skal politikken svare:

Må værktøjet fra virksomhedens licens bruges til opgaven? Og hvad med den gratis tjeneste, medarbejderen bruger derhjemme? Må noterne indsættes, når de indeholder helbredsoplysninger om en navngiven kollega, eller skal de først anonymiseres, så situationen beskrives uden personen? Hvem kontrollerer referatet, før det lægges på personalesagen, og hvad gemmes sammen med det? Og har medarbejderen fået at vide, at en model kan tilføje en velformuleret sætning, som ingen har sagt?

Kan I svare klart på alle fire spørgsmål, har I en politik. Kan I ikke, ved I nu præcis, hvad der mangler.

Et af de mest almindelige huller opstår i organisationer, der allerede har truffet det første valg. Mange større virksomheder vælger Microsoft Copilot som fælles sprogmodel, fordi den kører inden for den Microsoft 365-aftale, de allerede har, og dermed under de vilkår for databeskyttelse, der følger med. Det er et fornuftigt valg, men det besvarer kun det første af de fire spørgsmål: Noterne fra sygefraværssamtalen bliver ikke mindre følsomme af at ligge i Copilot, og nogen skal stadig kontrollere referatet og have lært, hvad de skal kigge efter.

Skriv den, så den kan læses på fem minutter

En politik, ingen læser, beskytter ingen. Vores anbefaling er én side med det, medarbejderen har brug for i situationen: de godkendte værktøjer, hvad der ikke må tastes ind, hvad der skal kontrolleres, og hvem man spørger ved tvivl. Det tungere materiale som risikovurderinger, databehandleraftaler og dokumentation af beslutningerne hører hjemme et andet sted og skrives til et andet publikum.

Sæt samtidig en dato på det næste eftersyn. Værktøjer skiftes ud, og praksis flytter sig, men beslutningerne holder, hvis I har truffet dem på det rigtige niveau.

Det mest oplagte næste skridt er også det mindste: Find tre opgaver, medarbejderne allerede løser med AI, og gå dem igennem med de fire spørgsmål ovenfor. Skal flere have det samme grundlag på én gang, er det den øvelse, vi laver på Copilot-workshoppen og i vores oplæg, hvor rammer og praktisk brug bliver behandlet sammen i stedet for hver for sig.

Artiklen giver et generelt overblik og kan ikke erstatte en konkret juridisk vurdering.