Slip AI løs og bevar kontrollen

Sådan giver du medarbejderne frihed uden at miste styringen.

AI med kontrol er relevant for organisationer, der mangler et overblik over den aktuelle AI-brug eller har en AI-politik, som endnu ikke er teknisk understøttet.

Løsningen på den udfordring kombinerer Microsoft Defender for Cloud Apps og Microsoft Purview.

ElevateIT har netop afholdt et webinar, hvor Bjørn Lykke Herskind Alenkær, Senior Consultant og Anders Brabæk, Digital Advisor, gennemgik, hvordan det kan lade sig gøre i praksis.

Her kunne kommuner og andre interesserede få et indblik i, hvordan der kan komme styr på sikkerheden, når man slipper AI løs blandt medarbejderne.

“Vi kan se, at retningslinjer alene ikke er nok. Med teknologien kan vi få medarbejderne til at stoppe op og tænke sig om, hvis de er ved at dele følsomme data, og ellers skal man bare lade dem arbejde i fred,” fortæller Anders Brabæk.

En aktuel sag viser behovet

Han peger på en aktuel sag fra Glostrup Kommune, DR for nylig har beskrevet. Her opdagede en borger tegn på brug af AI i en afgørelse. Kommunen bekræftede, at en sagsbehandler havde brugt ChatGPT og Copilot i strid med kommunens egne retningslinjer.

Sagen rejste samtidig spørgsmål om, hvorvidt personoplysninger var blevet delt. Kommunen afviste, at det var sket, men kunne ikke dokumentere forløbet, fordi medarbejderens chats og prompts var slettet.

Det var heller ikke muligt at undersøge, hvad der konkret var kommet ud af brugen af AI, og om der var blevet delt personfølsomme oplysninger med en AI-tjeneste.

Ifølge DR oplyser Datatilsynet, at de har modtaget mindst 50 anmeldelser fra borgere af denne type sager i de seneste år.

→ Læs DR’s artikel om sagen fra Glostrup Kommune (dr.dk)

Udfordringen er derfor ikke alene at have retningslinjer, men også at kunne understøtte dem teknisk og følge op på, hvordan AI faktisk bliver anvendt.

Hjælp med sikker brug af AI

Ved at kombinere Microsoft Defender for Cloud Apps og Microsoft Purview bliver brugen af AI synlig, og det er muligt at omsætte udvalgte regler til kontroller i arbejdssituationen, som Anders påpeger.

”Målet er ikke at lukke ned for AI, men at styrke forebyggelse, dokumentation og opfølgning.”

Men, som Anders også påpeger, så kan løsningen dog ikke garantere en fuldstændig korrekt sagsbehandling eller forhindre enhver uhensigtsmæssig brug af AI.

Sådan foregår det

Der er fire trin, der indgår i arbejdet med at få løsningen til at fungere effektivt i organisationen:

Kortlæg brugen af AI: Få overblik over registrerede AI-tjenester, brugere og trafik.
Identificér risikabel datadeling: Skab indsigt i følsomme oplysninger i understøttede AI-interaktioner.
Indfør målrettede kontroller: Advar, kræv en begrundelse eller blokér deling, når organisationens regler tilsiger det.
Afprøv og overdrag: Test reglerne i en afgrænset pilot, justér dem, og overdrag dokumentation og vejledning til den videre opfølgning.

Kontrolpunkterne tager udgangspunkt i organisationens arbejdsopgaver og data – fx oplysninger fra borgersager, kundedata eller fortrolige interne dokumenter.

Samtidig skal medarbejderne have en forståelse for, hvad de må dele, hvad der bliver registreret, og hvordan de kan reagere, hvis en regel rammer forkert, eller som Anders formulerer det:

”I bund og grund handler det om at give medarbejderne frihed til at bruge AI i opgaveløsningen, men samtidig også skabe en tryg ramme, så de bruger det efter reglerne”.