Start med spørsmålet: treng AI desse opplysningane?
Mange personvernproblem startar ikkje med vond vilje. Dei startar med at nokon limer inn litt for mykje i eit AI-verktøy: ein kundeliste, ein personalsak, ein e-posttråd med helseopplysningar, eller eit referat frå eit møte der namn og konfliktar står svart på kvitt.
AI-verktøy er flinke til å skrive, sortere, svare og oppsummere. Men dei treng ikkje alltid ekte personopplysningar for å gjere jobben. Skal du få hjelp til å skrive eit svar til ein kunde, kan du ofte anonymisere først. Skriv kunde A i staden for namn. Ta vekk telefonnummer, adresse, fødselsnummer og andre detaljar som ikkje trengst.
Eit godt tommelfingerprinsipp er dette: Bruk minst mogleg data, og berre data som faktisk er nødvendig. Det høyrest enkelt ut, men det er her mykje av tryggleiken ligg.
Nokre ting bør du ikkje bruke AI til
Det finst AI-funksjonar som verkar smarte på papiret, men som er risikable i praksis. Ansiktsgjenkjenning, emosjonsgjenkjenning og biometrisk kategorisering er døme på dette. For ei vanleg norsk verksemd er dette område du bør styre unna. Slike data er svært sensitive, og det skal mykje til å kunne bruke dei lovleg.
Det betyr ikkje at kameraovervaking alltid er forbode. Men med ein gong systemet byrjar å kjenne att ansikt, tolke kjensler eller gruppere folk ut frå biometriske trekk, er du inne i eit heilt anna landskap. Då held det ikkje å seie at leverandøren tilbyr funksjonen, eller at det kunne vore praktisk.
Det same gjeld AI i personalsaker. Ver varsam med verktøy som vurderer søkjarar, rangerer tilsette, analyserer sjukefråvær eller tolkar åtferd. Her kan konsekvensane for folk bli store, og krava til forklaring, rettferd og dokumentasjon er høge.
GDPR gjeld også små bedrifter
Mange småbedrifter tenkjer at reglane først og fremst gjeld bankar, sjukehus og store konsern. Slik er det ikkje. Personvernforordninga gjeld uavhengig av storleik. Har du kundar, tilsette, leverandørar eller nyheitsbrev, handsamar du personopplysningar.
Bøtene kan vere store, men det viktigaste for dei fleste er noko meir jordnært: tillit. Ein kunde som oppdagar at opplysningane hans er delte ukritisk med eit AI-verktøy, får fort ein dårleg smak i munnen. Ein tilsett som kjenner seg overvaka av smarte system, blir ikkje tryggare på arbeidsgjevaren.
Du treng ikkje byggje eit juridisk monster for å kome i gang. Men du bør ha nokre enkle reglar på plass:
- Kva AI-verktøy har vi lov å bruke?
- Kva type informasjon er det forbode å lime inn?
- Kven har ansvar for å sjekke nye verktøy før bruk?
- Kva gjer vi dersom noko sensitivt er delt ved ein feil?
Skriv dette ned på éi side. Gjer det forståeleg for folk som faktisk skal bruke verktøya i kvardagen.
Merk AI-innhald når kunden bør vite det
AI blir no brukt til tekst, bilete, lyd og video. Det er ikkje alltid eit problem, men det kan bli det dersom mottakaren blir lurt. Har du laga ein syntetisk forteljarstemme, eit AI-generert produktbilete eller ein video som er vesentleg endra med AI, bør du merke det tydeleg.
På plattformer som Meta er reglane for merking av AI-innhald blitt strengare. Video og lyd som er skapt eller vesentleg endra med AI, må ofte merkast manuelt. Bilete kan i nokre tilfelle merkast automatisk dersom metadata følgjer med, men du bør ikkje stole blindt på det.
For ei lokal verksemd handlar dette mest om å vere ryddig. Brukar du AI til å pynte på eit miljøbilete, lage ein illustrasjon eller lage stemme til ein reklamefilm, så sei det når det er relevant. Folk toler AI-bruk betre når dei slepp å kjenne seg lurte.
Vel verktøy med hovudet, ikkje berre magen
Det kjem stadig nye AI-verktøy for småbedrifter. Nokre tek telefonen døgnet rundt og sender kunden vidare til rett person. Andre hjelper med notat, søk, presentasjonar, dokument, kundesvar og interne rutinar. Dette kan vere svært nyttig.
Men før du koplar eit verktøy til e-post, kalender, CRM, økonomisystem eller telefon, bør du stille nokre spørsmål. Kvar blir data lagra? Blir innhaldet brukt til trening av modellen? Kan du slå av slik bruk? Kven har tilgang? Finst det databehandlaravtale? Kan du slette data? Har leverandøren støtte for tilgangsstyring?
Det er ikkje sikkert du treng den mest avanserte løysinga. Ofte er den tryggaste starten å bruke eit avgrensa AI-verktøy til oppgåver med låg risiko: utkast til blogg, idéar til stillingsannonse, oppsummering av offentleg tekst, eller forslag til struktur i eit dokument.
Dersom verksemda di er i ein sektor med særlege krav til digital tryggleik, bør du også sjekke om de blir omfatta av den nye digitalsikkerheitslova og NIS2-krava. Mange små verksemder fell utanfor, men ikkje alle. Leverer du til kritiske sektorar, kan kundane dine òg stille strengare krav til deg.
Første steg: lag ei enkel AI-regelbok
Du treng ikkje stoppe AI-bruken medan du ventar på perfekte rutinar. Men du bør få kontroll. Mitt konkrete råd er å samle leiing og nøkkelpersonar i ein time og lage ei enkel AI-regelbok.
Start med tre kolonnar: grønt, gult og raudt. Grønt er lov utan særleg vurdering, til dømes idémyldring og språkforbetring utan persondata. Gult krev vurdering, til dømes kundedata, interne dokument og opptak. Raudt er forbode, til dømes sensitive personopplysningar, ansiktsgjenkjenning og personalsaker utan særskild godkjenning.
Når den sida er på plass, har de teke eit stort steg. Då kan folk bruke AI med betre samvit, og verksemda slepp å lære personvern på den dyre måten.