AI i praksis: Fem krav før bedriften kjøper KI

Generativ KI kan spare tid på tekst, oppsummering, analyse og kundeservice. Men en rask prøve med gratisversjonen sier lite om hvordan tjenesten håndterer bedriftens data når flere ansatte får tilgang.

Digdir anbefaler virksomheter å velge verktøy og lisenser som er laget for bedriftskunder, gi opplæring og innføre løsningen gradvis. Datatilsynet understreker samtidig at kjøperen må gjøre en risikovurdering og stille krav til innebygd personvern. Her er fem kontroller som bør være gjennomført før bestilling.

1. Bestem oppgaven før du velger verktøyet

Beskriv to eller tre konkrete arbeidsoppgaver løsningen skal brukes til, og hvilke den ikke skal brukes til. Å forbedre en offentlig produkttekst har en annen risiko enn å analysere personalsaker, kundeklager eller helseopplysninger.

Start med oppgaver der ansatte kan kontrollere svaret, og bruk testdata uten personopplysninger eller forretningshemmeligheter. En tydelig avgrensning gjør det også enklere å beregne om abonnementet faktisk sparer mer tid enn det koster.

2. Finn ut hva som skjer med dataene

Be leverandøren beskrive hvor instrukser, vedlegg og svar lagres, hvor lenge de beholdes, og om innholdet brukes til å trene eller forbedre modeller. Kontroller også underleverandører, overføring til land utenfor EØS, sletting ved oppsigelse og om bedriften kan hente ut egne data.

Hvis leverandøren behandler personopplysninger på bedriftens vegne, må rollefordelingen avklares og nødvendig databehandleravtale være på plass. Markedsføring som «sikker» eller «enterprise» erstatter ikke dokumentasjon.

3. Kontroller tilganger og logging

Avklar om tjenesten støtter bedriftsstyrte brukere, flerfaktorautentisering, tilgangsgrupper og administrativ oversikt. Personlige gratiskontoer gjør det vanskeligere å stenge tilgangen når en ansatt slutter eller å vite hvilke data som er delt.

Integrerte assistenter kan hente informasjon brukeren allerede har tilgang til. Datatilsynets arbeid med Microsoft 365 Copilot viser hvorfor svak tilgangsstyring kan bli forsterket når en KI-assistent søker på tvers av virksomhetsdata. Prinsippet er relevant også ved vurdering av andre integrerte tjenester.

4. Vurder risiko og test resultatene

Alle virksomheter som behandler personopplysninger skal vurdere risikoen. Dersom planlagt bruk sannsynligvis gir høy risiko for personers rettigheter og friheter, kan det være nødvendig med en vurdering av personvernkonsekvenser, en DPIA. Det gjelder ikke automatisk ved ethvert KI-kjøp; vurderingen avhenger av data, formål, omfang og konsekvenser.

Test løsningen med realistiske, men rensede eksempler. Mål feil, oppdiktede fakta, manglende kilder, skjevheter og hvor mye etterkontroll som kreves. Ikke la KI alene ta beslutninger om ansatte, kreditt, kunder eller andre forhold som kan få stor betydning for enkeltpersoner.

5. Avklar ansvar og en vei ut

Utpek en eier av tjenesten. Denne personen bør godkjenne bruksområder, følge leverandørendringer, håndtere avvik og kontrollere kostnader og brukere. Avtalen bør også beskrive eksport og sletting dersom tjenesten avsluttes.

Dette bør du gjøre nå

1. Velg én lavrisikooppgave og beskriv ønsket gevinst.
2. Be om vilkår, databehandleravtale, lagringssteder, underleverandører og sletterutine.
3. Kontroller bedriftsstyrte kontoer, flerfaktorautentisering og tilgangsstyring.
4. Test kvalitet og tidsbruk med rensede eksempler før bred utrulling.
5. Dokumenter hvem som eier tjenesten, godkjenner bruk og følger opp avtalen.

Dette betyr for bedriften

Den billigste KI-lisensen kan bli dyr dersom data må ryddes, svar må rettes eller løsningen må byttes etter kort tid. En begrenset pilot med tydelige krav gir bedre grunnlag for både kjøpsbeslutningen og trygg bruk. Dette er generell informasjon, ikke juridisk rådgivning.

Kilder

• Datatilsynet – anbefalinger for godt personvern ved kjøp og bruk av KI
• Digdir – anskaffelse av generativ KI
• Datatilsynet – vurder personvernkonsekvensene og bygg personvern inn i løsningene
• Datatilsynet – NTNU: Copilot med personvernbriller på