KI-policy mal: retningslinjer for KI-bruk på jobb

Hva retningslinjene skal oppnå

En retningslinje som bare forbyr ting, holder ikke stand i praksis på arbeidsplassen. De ansatte tar i bruk KI-verktøy fordi de er til hjelp, og en regel uten godkjent alternativ fører til at bruken skjer i det skjulte – og det er nettopp slik skygge-KI oppstår. Retningslinjen må angi en tillatt fremgangsmåte like tydelig som den setter grenser.

To forpliktelser gjelder allerede uavhengig av statusen til KI-forordningen i Norge: Personopplysningsloven og GDPR regulerer all bruk av KI som berører personopplysninger, og forpliktelsen til KI-kompetanse i artikkel 4 gjelder for organisasjoner som omfattes av EU-regelverket.

• Oppgi hvilke verktøy som er godkjent, ikke bare de som er forbudt.
• Angi en fremgangsmåte for å foreslå noe nytt, med en angitt svarfrist.
• Tildel en ansvarlig for hvert bruksscenario, ikke én ansvarlig for all KI.
• Begrens det til to sider; en lang retningslinje blir ikke lest.

Bestemmelsene som skal inkluderes

Kopier disse overskriftene i rekkefølge. Hver av dem skal bestå av to eller tre setninger formulert med dine egne ord; målet er at noen skal kunne lese hele teksten på fem minutter.

• Formål og virkeområde — hvem retningslinjene gjelder for, inkludert underleverandører.
• Godkjente verktøy — den gjeldende listen, og hvor den oppdateres.
• Dataregler – hva som aldri må legges inn: personopplysninger om kunder eller kolleger, helseopplysninger, upubliserte økonomiske opplysninger, påloggingsopplysninger og kildekode der dette er forbudt.
• Menneskelig ansvarlighet — resultatet er et utkast; en navngitt person har ansvaret for beslutningen.
• Bruk med høyrisiko — rekruttering, ytelse, tilgang til tjenester og ytelser krever godkjenning før bruk.
• Forbudte bruksområder — følelsesgjenkjenning av ansatte, sosial vurdering, skjult overvåking.
• Forslag til et nytt verktøy – hvem man skal henvende seg til, hva man må legge ved, forventet svarstid.
• Åpenhet — når kunder eller kolleger må informeres om at KI har vært involvert.
• Opplæring – det minimumsnivået av KI-kompetanse som forventes av alle som bruker disse KI-verktøyene.
• Gjennomgang — datoen for neste gjennomgang av denne retningslinjen, og hvem som har ansvaret for den.

Hva man bør utelate

De fleste svake KI-retningslinjene mislykkes fordi de forsøker å oppregne teknologier. En liste over navngitte produkter er utdatert allerede etter et kvartal, og det gir grobunn for argumentet om at alt som ikke står oppført på listen, er tillatt.

På samme måte bør du unngå å love å overholde en norsk KI-forordning. Det er ikke vedtatt noen slik forordning, så løftet kan ikke innfris, og det gjør at dokumentet virker utdatert.

• Ikke oppgi hver enkelt modell eller leverandør; beskriv i stedet kategoriene og godkjenningsprosessen.
• Ikke hevde at man er sertifisert i henhold til norsk KI-lovgivning som ikke eksisterer.
• Du bør ikke kopiere en EU-mal uten endringer; den norske rettssituasjonen er annerledes.
• Ikke gjem reglene bort i en håndbok som ingen leser.

Holde det oppdatert

En retningslinje er bare så god som inventarlisten den bygger på. Hvis ingen vet hvilke verktøy som brukes til hva, er retningslinjen snarere en intensjonserklæring enn et kontrolltiltak. Kombiner den med en KI-oversikt, og gjennomgå begge deler i samme syklus.

Angi en gjennomgangsdato i dokumentet. Reglene er i endring: «Digital Omnibus»-loven endret fristene for høyrisiko i juni 2026, og den norske loven forventes å bli fremlagt for Stortinget våren 2027.

• Gjennomgå reglene minst to ganger i året så lenge de er i endring.
• Sjekk på nytt når et kjent KI-verktøy får nye KI-funksjoner.
• Kontroller på nytt når formålet med et bruksscenario endres.
• Noter hvem som godkjente hvert unntak, og når det skjedde.