Hvorfor KI-policy alene ikke er nok

Det er lett å tro at problemet er løst når dokumentet er ferdig

Etter hvert som bruken av generativ KI har økt, har mange virksomheter begynt å etablere interne retningslinjer. Det er en fornuftig utvikling.

Ansatte trenger å vite hvilke verktøy virksomheten har godkjent, hvordan personopplysninger og annen sensitiv informasjon skal håndteres, hva de selv har ansvar for og hvor grensene går for ulike typer bruk. En god KI-policy kan samle disse avklaringene på ett sted og redusere mye av usikkerheten som ellers oppstår.

Utfordringen er at selve dokumentet lett kan bli behandlet som sluttproduktet. Policyen blir vedtatt, publisert på intranettet og kanskje presentert i et møte. Deretter forventes det at ansatte vet hvordan den skal anvendes på alle de små og store situasjonene som oppstår når teknologien brukes i praksis.

Det er et ganske stort sprang.

En regel er først nyttig når den ansatte forstår hva den betyr i egen arbeidshverdag

Formuleringer om konfidensiell informasjon, personopplysninger, kvalitetssikring og godkjente tjenester kan være både riktige og nødvendige. For en ansatt oppstår spørsmålene imidlertid ofte på et langt mer konkret nivå.

• Kan jeg legge dette dokumentet inn i Copilot?
• Kan jeg bruke ChatGPT til å forberede et kundesvar?
• Hva med møtereferatet?
• Kan jeg bruke en offentlig tilgjengelig rapport?
• Hva gjør jeg dersom verktøyet foreslår noe som ser riktig ut, men jeg ikke er sikker?

En policy kan vanskelig beskrive enhver mulig situasjon. Derfor trenger ansatte både prinsippene og nok forståelse til å anvende dem når nye situasjoner oppstår.

For stramme eller uklare regler kan også føre til mindre trygg bruk

Dersom retningslinjene oppleves som kompliserte eller ansatte blir usikre på hva de egentlig betyr, er det ikke sikkert resultatet blir bedre kontroll. Noen vil sannsynligvis la være å bruke teknologien selv på helt uproblematiske oppgaver, mens andre kan fortsette å bruke den slik de gjorde tidligere fordi de ikke oppfatter policyen som relevant for egen arbeidshverdag.

Det er derfor en fordel dersom retningslinjene er konkrete nok til å være nyttige uten å forsøke å regulere enhver tenkelig situasjon. En god policy bør hjelpe ansatte med å ta bedre beslutninger, ikke bare beskrive hvilke beslutninger virksomheten ønsker at de skal ta.

Policy og kompetanse bør utvikles i sammenheng

Når ansatte lærer mer om hvordan generativ KI fungerer, blir mange av reglene lettere å forstå. Det er enklere å forstå hvorfor man må være forsiktig med bestemte typer informasjon dersom man samtidig forstår hva som skjer med informasjonen man sender til en tjeneste.

Det er også enklere å forstå behovet for kvalitetssikring dersom man selv har erfart hvor overbevisende et feil svar kan se ut, og enklere å forstå hvor menneskelig vurdering fortsatt er nødvendig når man har jobbet praktisk med teknologien i oppgaver fra egen arbeidshverdag.

Derfor bør ikke arbeid med retningslinjer og arbeid med kompetanse behandles som helt separate aktiviteter.

Gode eksempler gjør abstrakte regler langt enklere å bruke

En av de enkleste måtene å gjøre en KI-policy mer anvendelig på er å supplere prinsippene med eksempler fra virksomheten.

Retningslinjene må kunne endres når virkeligheten endrer seg

KI-verktøyene utvikler seg raskt, men det gjør også virksomhetens egen bruk. Et verktøy som ikke var godkjent da policyen ble skrevet kan senere bli tatt inn gjennom en bedriftsavtale, nye funksjoner kan gjøre det mulig å behandle andre typer informasjon enn tidligere, og ansatte kan finne bruksområder som ingen vurderte da dokumentet ble laget.

Derfor bør en KI-policy behandles som et levende styringsdokument. Det innebærer ikke at den må endres hver måned, men det bør være tydelig:

• hvem som eier den
• hvem som kan svare på spørsmål
• hvordan nye verktøy vurderes
• hvordan ansatte kan melde inn nye problemstillinger
• når innholdet sist ble gjennomgått
• når det bør vurderes på nytt

Den beste indikasjonen på om policyen fungerer finnes kanskje ikke i dokumentet

En virksomhet kan ha en svært gjennomarbeidet KI-policy uten at ansatte vet hva som står i den. Derfor er det nyttig å se på praksisen rundt dokumentet: om ansatte vet hvilke verktøy de kan bruke, hva de ikke bør dele, hvem de skal spørre dersom de er usikre, og om de opplever at retningslinjene gjør det enklere eller vanskeligere å bruke teknologien.

Et annet nyttig signal er om det i det hele tatt kommer inn spørsmål og nye problemstillinger, for da lærer virksomheten noe underveis. Slike signaler sier ofte mer om hvor godt styringen fungerer enn hvor omfattende selve dokumentet er.

Seks spørsmål dere kan stille om deres egen KI-policy

• Vet ansatte at den finnes?
• Forstår de hva den betyr for oppgavene de faktisk utfører?
• Er det tydelig hvilke verktøy som er godkjent?
• Finnes det konkrete eksempler som gjør prinsippene lettere å forstå?
• Vet ansatte hvem de kan spørre dersom de er usikre?
• Er det noen som har ansvar for å holde retningslinjene oppdatert?

Hvis dere mangler gode svar på flere av disse spørsmålene, trenger dere ikke nødvendigvis en lengre policy. Det kan være mer nyttig å gjøre den dere allerede har enklere å forstå og lettere å bruke.

Har dere ikke en KI-policy ennå?

Da er det selvfølgelig et ganske naturlig sted å begynne.

I Kunnskapsbanken kan dere gå gjennom KI Akademiets interaktive guide, ta stilling til noen av de viktigste spørsmålene underveis og få et utkast som kan brukes som grunnlag for virksomhetens egne retningslinjer.

En slik mal kan gjøre det langt enklere å komme i gang, men den bør alltid vurderes opp mot virksomhetens egne verktøy, behandling av informasjon, arbeidsprosesser og øvrige krav.

Retningslinjer og praktisk bruk bør ikke leve i hver sin del av virksomheten

Når KI Akademiet jobber med praktisk kompetanse, er rammene for bruk en naturlig del av bildet. Samtidig bør ikke opplæringen reduseres til en gjennomgang av hva ansatte får og ikke får lov til å gjøre.

Ansatte trenger både trygghet og mulighet til å utforske hvor teknologien faktisk kan hjelpe dem. Når retningslinjene kobles til egne arbeidsoppgaver og konkrete situasjoner, blir det lettere å forstå både mulighetene og grensene.