Start med det enkle spørsmålet
Når eg snakkar med små og mellomstore verksemder om AI og GDPR, kjem ofte same uroa: Kan me bruke dette utan å gjere noko gale? Det korte svaret er ja, men ikkje heilt utan styring.
GDPR handlar ikkje om å seie nei til alt nytt. Det handlar om å ha kontroll på personopplysningar: kva de samlar inn, kvifor de brukar dei, kven som får tilgang, og kor lenge dei blir liggjande. AI endrar ikkje desse prinsippa, men gjer det lettare å gløyme dei. Det er fort gjort å lime inn ein e-posttråd, eit kunderegister eller eit internt notat i ein chatbot for å få hjelp.
Det første spørsmålet bør difor alltid vere: Inneheld dette personopplysningar? Namn, e-post, telefonnummer, stilling, IP-adresse, kundenummer og fritekst som kan peike på ein person, er personopplysningar. Helse, fagforeining, religion, etnisitet, personalsaker og liknande er endå meir ømtolige opplysningar. Då må terskelen vere høg.
Vel verktøy som er laga for jobb
Ein vanleg feil er å bruke private AI-kontoar til arbeidsoppgåver. Det kan kjennast uskuldig, men er ofte dårleg personvernpraksis. For ei verksemd bør AI brukast gjennom forretningsversjonar der de kan få databehandlaravtale, administrere brukarar og ha betre kontroll på data.
Døme på slike løysingar er ChatGPT Business, ChatGPT Enterprise og Microsoft Copilot for Business. Poenget er ikkje at desse namna alltid er rette for alle, men at de vel ei løysing som faktisk er meint for verksemdsbruk. De bør sjekke at leverandøren tilbyr databehandlaravtale, tydelege vilkår for databruk, tilgangsstyring og moglegheit til å skru av eller avgrense bruk av data til trening der det er relevant.
Har de allereie Microsoft 365, kan Copilot vere naturleg å vurdere fordi det byggjer på eksisterande brukarstyring og avtaleverk. Brukar de andre system, må de sjå på kor data flyt, kven som er databehandlar, og om de har avtalar på plass før de slepper personopplysningar inn.
Gratisverktøy kan vere fine til læring, idémyldring og generelle tekstar. Men dei bør ikkje brukast til kundedata, personalsaker eller anna som høyrer heime i verksemda sine system.
Lag køyrereglar folk faktisk forstår
Ein AI-policy treng ikkje vere eit langt dokument som ingen les. For dei fleste småbedrifter held det med éi til to sider med klare reglar. Skriv enkelt: Dette kan du bruke AI til. Dette skal du ikkje lime inn. Dette må godkjennast først.
Ein praktisk regel er å dele bruk i tre nivå:
- Grønt: Generelle spørsmål, utkast til marknadsføring, produkttekstar, idéar og anonymiserte tekstar.
- Gult: Kundesaker, interne notat og dokument som kan innehalde personopplysningar. Må vurderast og eventuelt anonymiserast.
- Raudt: Helseopplysningar, personalsaker, fødselsnummer, kontonummer, større kunderegister og sensitive forhold. Skal ikkje inn i AI utan særskild vurdering, avtale og dokumentert grunnlag.
Anonymisering er eit godt grep, men må gjerast skikkeleg. Det held ikkje alltid å byte namn frå Kari til Kunde A dersom resten av teksten røper kven personen er. Fjern namn, stad, små miljø, saksnummer, uvanlege hendingar og andre kjenneteikn. Ofte kan du skrive om saka meir generelt: Ein kunde klagar på forseinka levering og krev prisavslag. Då kan AI hjelpe med svarutkast utan å kjenne personen.
Hugs at AI også kan ta feil
GDPR handlar om personvern, men trygg AI-bruk handlar òg om kvalitet og ansvar. AI kan formulere seg overtydande sjølv når svaret er feil. Difor bør de aldri la AI åleine avgjere noko som påverkar kundar, tilsette eller økonomi.
Bruk AI som ein assistent, ikkje som sjef. La han skrive førsteutkast, oppsummere, foreslå sjekklister og finne hol i argumentasjon. Men menneske må kontrollere fakta, tone, juss og konsekvensar.
Dette blir endå viktigare med nye AI-reglar i Europa. AI Act legg meir vekt på risikostyring, openheit og menneskeleg kontroll. For vanlege verksemder betyr det i praksis: Vit kva de brukar, kvifor de brukar det, og kva risiko det kan ha. Det er ikkje nok å seie at det berre er eit verktøy.
Eit AI-inventar er ein enkel start. Lag ei liste over verktøy, kven som brukar dei, kva dei blir brukte til, kva type data som kan hamne der, og kven som eig ansvaret internt. Dette kan gjerast i eit rekneark. Det viktigaste er at det finst.
Ver ekstra vakne for svindel
AI gjer svindel meir truverdig. Falske e-postar kan skrivast på godt norsk, med rett tone og namn på ekte personar. Stemme- og videoklipp kan òg misbrukast. Difor bør verksemda ha enkle rutinar for betalingar og endring av kontonummer.
Til dømes: Alle større utbetalingar eller hastebetalingar skal godkjennast av to personar. Endring av leverandørkonto skal stadfestast via ein kjend kanal, gjerne telefonnummer de har frå før – ikkje nummeret som står i den nye e-posten. Dette er lågterskel tryggleik som verkar.
Til slutt: Ikkje gjer dette større enn det må vere. Start med éin konkret ting denne veka: Lag ei kort liste over AI-verktøya de brukar i dag, og merk kva som kan innehalde personopplysningar. Då har de første steg mot trygg, praktisk og lovleg AI-bruk.