Skriv en AI-policy för jobbet – avtalet måste komma före prompten

En AI-policy för jobbet ska ange vilka tjänster som är godkända, vilka uppgifter anställda får använda och vem som granskar resultatet. Diggs vägledning om AI-policy tar upp just verktyg, datatyper, kvalitetsgranskning och ansvar. Den riktar sig till offentlig förvaltning; frågorna kan också användas som arbetsmall av andra svenska arbetsgivare.

När en AI-leverantör ska behandla personuppgifter för arbetsgivarens räkning måste avtalsfrågan vara löst innan uppgifterna förs in i tjänsten. IMY:s vägledning om generativ AI anger att arbetsgivaren kan bli personuppgiftsansvarig även när en medarbetare på eget initiativ använder en allmänt tillgänglig tjänst i arbetet och behandlar personuppgifter.

Inventera tjänsten och arbetsuppgiften tillsammans

Börja med de tjänster som redan används eller efterfrågas, inklusive AI-funktioner i befintliga program. Be ansvarig chef beskriva arbetsuppgiften, vilken information tjänsten behöver och vad resultatet ska användas till. Ta med privata konton och provversioner i inventeringen, så att ett pågående försök också får ett uttryckligt beslut.

För en rad per användningsfall: tjänst och kontotyp, ändamål, användare, indata, förväntat resultat och ansvarig chef. Skilj mellan att bearbeta en offentlig text och att sammanfatta ett personalärende, även om samma verktyg kan göra båda. Ett godkännande bör gälla den beskrivna kombinationen av tjänst, uppgift och information, inte varje tänkbar användning av verktyget.

En integrerad funktion behöver samma genomgång. Kontrollera vilka mappar, meddelanden eller andra verksamhetsdata den kan få åtkomst till när den aktiveras. Frågan gäller både vad en användare får skriva in och vad tjänsten kan hämta utan att uppgifterna kopieras in i en prompt.

Riskklassa informationen före beslutet

Sortera användningsfallen efter vilka uppgifter de omfattar och vilka följder ett fel kan få. En enkel intern arbetsmodell är öppet material, interna uppgifter och användning med personuppgifter eller annan skyddsvärd information. Kategorierna hjälper ansvariga att välja granskningsnivå; de är inte juridiska tillstånd i sig.

Låt verksamhetsansvarig motivera behovet och informationsägaren bedöma vilka uppgifter som verkligen behövs. IT eller informationssäkerhetsansvarig granskar behörigheter, lagring och inställningar. Den som ansvarar för dataskydd bedömer personuppgiftsbehandlingen, inklusive rättslig grund och om behandlingen sannolikt innebär hög risk för enskildas rättigheter. I så fall krävs en konsekvensbedömning innan behandlingen börjar.

Dokumentera bedömningen som godkänd, avslagen eller under prövning. Ett oavgjort ärende ger inte medarbetaren rätt att prova med skarpa uppgifter. Om endast en begränsad användning är lämplig ska beslutet ange exempelvis tillåtna datatyper, användargrupp och den konfiguration som granskats.

Pröva leverantörens roll och avtalet

Avgör först om leverantören behandlar personuppgifter på arbetsgivarens vägnar. I den situationen kräver artikel 28 i dataskyddsförordningen ett bindande avtal eller en annan bindande rättsakt som reglerar behandlingen. Kravet följer leverantörens roll och personuppgiftsbehandlingen; det gäller inte automatiskt varje AI-prompt.

Be inköp eller jurist kontrollera att villkoren täcker just den tjänst och användning som ska godkännas. Avtalet behöver bland annat ange behandlingens ändamål, vilka uppgifter det gäller, dokumenterade instruktioner, säkerhet, underbiträden och vad som händer med uppgifterna när tjänsten upphör. Kontrollera också om leverantören vill använda uppgifter för egna ändamål och om planerad överföring utanför EU och EES kräver ytterligare prövning.

Ett erbjudet standardavtal är ett underlag för granskning, inte ett godkännande. Om villkoren eller tjänstens inställningar inte ger tillräckligt skydd för den tänkta behandlingen får den användningen vänta eller avstås. För en användning utan personuppgifter kan andra frågor fortfarande behöva avgöras, till exempel sekretess och skydd för intern företagsinformation.

Skriv regler för användning och granskning

Publicera besluten som en kort förteckning där varje godkänd tjänst kopplas till tillåtna uppgifter och arbetsmoment. Skriv lika tydligt vad som kräver nytt godkännande: en annan datatyp, ett privat konto eller en ny funktion som får bredare åtkomst. Medarbetaren ska kunna hitta ett besked innan information lämnas till tjänsten.

Ange hur nya användningsfall begärs och vem som fattar beslut. Medarbetaren beskriver uppgiften och informationen för sin chef; ansvariga funktioner gör risk- och avtalsprövningen; utsedd beslutsfattare dokumenterar ett ja, ett nej eller vilka ändringar som behövs. Policyn bör också ange vart en medarbetare vänder sig om uppgifter har matats in fel eller om ett svar innehåller skyddsvärd information.

För resultatet behövs en namngiven mänsklig ansvarskedja. Den som använder ett genererat påstående i en text eller analys kontrollerar det mot tillförlitliga underlag och granskar om viktig information saknas. Ansvarig chef avgör när ytterligare fackgranskning krävs. Om AI används som stöd för ett beslut som påverkar en person måste policyn ange vem som kontrollerar underlaget och fattar beslutet.

Ge varje godkännande en ägare och giltighet

Utse en funktion som förvaltar policyn och en beslutsfattare för användningsfallen. Spara beslutet tillsammans med ansvarig person, godkänd tjänst, tillåtna data, avtalsversion och krav på mänsklig granskning. Då går det att skilja ett äldre klartecken från den användning som faktiskt pågår.

Ange när beslutet ska omprövas, exempelvis om leverantörens villkor ändras, tjänsten får ny åtkomst eller arbetsuppgiften utvidgas. Policyn behöver en versionsansvarig och en plats där medarbetarna hittar den gällande förteckningen. För varje ny tjänst ska processen kunna ge ett dokumenterat besked om vilken användning som är tillåten och vem som ansvarar för den.

Läs också:

• Märk reklamen före budskapet – en hashtag sist kan vara för sen
• Safello öppnar krypto-API för företag – kunden måste ändå KYC-prövas
• Saab samlar svenska rymdbolag – avtalen lovar ännu inga system