Generativ AI kan øge både kreativitet og effektivitet af arbejdet i virksomheder. Forkert eller uforsvarlig brug af generativ AI kan dog medføre databrud eller tab af kritiske informationer.
Som virksomhed kan man indføre en AI-politik som beskriver hvordan medarbejdere må og ikke må benytte AI-værktøjer. Dette vil give medarbejderne nogle klarere linjer, som mindsker risikoen for databrud. Nedenunder er beskrevet elementer man bør overveje at indtænke i en politik for brug af generativ AI:
1. Fakta- og kvalitetstjek: AI kan tage fejl
Generativ AI kan være et effektivt værktøj, men indholdet kan være:
- Unøjagtigt eller direkte forkert
- Forældet
- Biased/forudindtaget (fx ved køn, etnicitet eller handicap)
- Overbevisende formuleret uden faktisk substans og kvalitet
Man bør sætte som krav til sine medarbejdere, hvis de benytter sig af generativ AI i deres opgaveløsning at det generede indhold kontrolleres og valideres, det vil sige:
- Faktatjek af faglige oplysninger (brug AI-tjenester som supplement og ikke primærkilde)
- Vurdering af sproglig og indholdsmæssig kvalitet
Benytter man sig af AI-tjenester til at understøtte programmering, bør man altid sikre sig at det output man får, ikke indeholder nogle ondsindede dele af kode.
Vær særlig kritisk og faktatjek ved oplysninger, der omhandler sundhed, økonomi, jura, eller anden offentlig forvaltning.
Efterspørg dokumentation fra AI-tjenesten i form af kilder som kan tilgås for at tjekke at informationen er korrekt.
Søg selv efter flere uafhængige kilder, der kan bakke op om det som AI-tjenesten har beskrevet, og tjek om oplysningerne kan bekræftes fra troværdige sider som fx offentlige myndigheder, forskningsinstitutter eller etablerede medier.
2. Del ikke følsomme oplysninger med AI
Offentligt tilgængelige generative AI-værktøjer arbejder typisk ved at bruge og analysere de data, brugerne indtaster. I mange tilfælde indebærer det, at oplysninger kan blive anvendt til træning af AI-modellerne, eller at leverandøren får vid adgang til indholdet.
Derfor bør personoplysninger, fortrolige oplysninger, klassificeret materiale og interne arbejdsgange aldrig deles med internetbaserede AI-tjenester, medmindre værktøjet er godkendt, der er en databehandleraftale på plads, og tjenesten er vurderet sikker.
3. Brug af AI til automatiserede afgørelser
Generativ AI bør ikke anvendes til at træffe afgørelser alene, herunder i sagsbehandling eller klagesager, hvor forvaltningsretlige krav gør sig gældende. Dette skyldes, at:
- AI-modeller kan ikke dokumentere deres beslutningsgrundlag på en måde, der lever op til krav om gennemsigtighed, partshøring og begrundelsespligt
- Der er risiko for, at AI-systemer anvender eller blander oplysninger på en måde, der skaber databrud
- Output kan indeholde persondata fra andre sager
Hvis AI indgår i automatiserede processer, bør følgende være på plads:
- En dokumenteret risikovurdering af alle berørte aktiver
- Tekniske barrierer, der forhindrer, at data på tværs af sager blandes
- Fuld transparens over for borgere og myndigheder om, hvordan AI anvendes
- Manuel kontrol og behandling af afgørelser udført af en fagkyndig medarbejder
4. Lav ikke krænkende eller ulovligt indhold
Det bør også gøres klart for medarbejdere hvad de ikke må benytte disse værktøjer til i arbejdsregi. Her følger digitaliseringsstyrelsen anbefalinger til hvad man bør have klare retningslinjer om i organisationer:
- Hadefuldt, diskriminerende eller stødende indhold
- Materiale der kan vildlede, manipulere eller skabe skade
- Privat eller fortroligt materiale om borgere, medarbejdere eller samarbejdspartnere
- Indhold der krænker ophavsret eller andre rettigheder. Dette kunne være uautoriseret Brug af ophavsbeskyttede materialer som logoer, tekster eller billeder.
Stil samme krav til leverandører og eksterne konsulenter, som i stiller til medarbejderne
Eksterne samarbejdspartnere er ikke automatisk omfattet af din organisations regler. Derfor bør man som organisation sikre at eksterne konsulenter og leverandører er bekendt med og har accepteret at forpligte sig til organisationens regler i forhold til at benytte generativ AI til opgaveløsning. Dette er derfor et punkt man bør forholde sig til allerede i udbudsmaterialet og ved kontraktindgåelsen.
Hvis et databrud sker
Hvis der vurderes at være sket et databrud relateret til brug af generativ AI, bør følgende handlinger tages:
- Medarbejderen skal straks orientere nærmeste leder
- Organisationens dataansvarlige skal anmelde databruddet til Datatilsynet inden for 72 timer
- Hændelsen skal dokumenteres og behandles efter organisationens procedurer
- Du kan lære, hvordan du indberetter et brud til Datatilsynet her