I de fleste små bedrifter bruker noen allerede ChatGPT, Copilot eller et annet KI-verktøy i jobben. Spørsmålet er sjelden om de ansatte bruker KI, men om alle bruker det på samme måte. Uten felles regler må hver enkelt gjette: Kan jeg lime inn denne e-posten fra en kunde? Er gratisversjonen greit? Må noen lese gjennom før det sendes?

KI-retningslinjer svarer på det. De trenger ikke være lange. For en bedrift med noen få til et par titalls ansatte holder det med én til to sider, så lenge de er konkrete.

Vil du hoppe rett til et ferdig dokument? Lag KI-retningslinjer for bedriften på to minutter – gratis, uten registrering, og ingenting du skriver sendes til oss.

Hvorfor nå?

Personvernforordningen (GDPR) gjelder allerede for KI-verktøy, akkurat som for e-post og regnskapssystem. Limer en ansatt inn opplysninger om en kunde i et verktøy, er leverandøren av verktøyet med på å behandle personopplysningene. Da trengs det blant annet en databehandleravtale. Den har dere med bedriftsversjonene av verktøyene, men ikke når noen bruker en privat konto eller en gratisversjon.

I tillegg kommer EUs KI-forordning. Den er ennå ikke norsk lov, og regjeringen tar sikte på å legge fram KI-loven for Stortinget våren 2027. I EU må virksomheter som bruker KI, allerede sette i verk tiltak som styrker KI-kompetansen hos de ansatte. Gode retningslinjer og en kort innføring for alle er en enkel måte å være i forkant på.

Seks ting retningslinjene bør dekke

1. Hvilke verktøy som er godkjent

Skriv opp verktøyene bedriften har bedriftsavtale på, for eksempel Microsoft 365 Copilot, ChatGPT Business eller Claude Team, og at de skal brukes med jobbkontoen. Si også hva som gjelder for private kontoer og gratisversjoner. Et godt utgangspunkt er at de bare brukes til informasjon som uansett er offentlig.

Husk at KI-funksjoner dukker opp i programmer dere allerede bruker – regnskapssystemet, e-posten, kundesystemet. Bestem at også de godkjennes før de tas i bruk.

2. Hva som kan deles – og hva som aldri skal deles

Dette er den viktigste delen, og den som oftest er for vag. «Vær forsiktig med personopplysninger» hjelper ingen som sitter med en konkret e-post foran seg. Del heller opplysningene inn i tre nivåer:

Grønt: kan brukes i alle verktøy. Offentlig informasjon, tekst fra egen nettside, generelle fagspørsmål.
Gult: bare i godkjente verktøy med bedriftsavtale. Interne dokumenter, kunders kontaktinformasjon, tilbud og avtaler.
Rødt: aldri. Fødselsnummer, kontonummer, passord, helseopplysninger og annet som er underlagt taushetsplikt.

Et nyttig tips å ta med: bytt ut navn og detaljer med plassholdere som «Kunde A». Da blir mye av det gule grønt.

Har bedriften taushetsplikt om klienter eller pasienter, for eksempel som advokat eller i helse, bør alt om dem være rødt, med mindre en bestemt løsning er vurdert og godkjent for akkurat det formålet.

3. At et menneske er ansvarlig for resultatet

KI kan ta feil, og den kan finne på ting som høres riktige ut. Retningslinjene bør si rett ut at den som bruker verktøyet, er ansvarlig for det som kommer ut: fakta, tall, navn og henvisninger sjekkes før noe sendes eller brukes. Ta også med at KI ikke avgjør saker som har betydning for enkeltpersoner, som ansettelser, uten at et menneske vurderer saken.

4. Regler for det dere faktisk bruker KI til

Generelle regler holder ikke for alt. Skriv én kort regel for hvert bruksområde dere har:

Møtereferater og transkribering: alle i møtet får vite det før opptak starter.
Assistent som svarer kunder: kundene skal se at det er en KI, og alltid kunne komme videre til et menneske.
Bilder til markedsføring: ingen bilder som etterligner ekte personer, og bilder som kan forveksles med ekte foto merkes.
Oversettelse: avtaler og vilkår kontrolleres av noen som kan språket.

5. Opplæring

Retningslinjer virker bare hvis folk kjenner dem. Bestem at alle får en kort innføring før de får tilgang til verktøyene, også nye ansatte og innleide. Del maler og gode eksempler, og sett av tid til å snakke om KI-bruken på et felles møte en gang i året eller oftere.

6. Hva man gjør når noe går galt, og hvem som har ansvaret

Skriv hvem den ansatte skal si fra til hvis noe er delt som ikke skulle vært delt, og at det haster: har personopplysninger kommet på avveie, kan bedriften ha plikt til å melde det til Datatilsynet innen 72 timer.

Gi retningslinjene én eier – gjerne en rolle, som «daglig leder», og ikke et navn – som godkjenner nye verktøy og sørger for at dokumentet blir gått gjennom jevnlig.

Et eget punkt hvis dere bruker Copilot

Microsoft 365 Copilot kan lese alt den ansatte har tilgang til i e-post, Teams, OneDrive og SharePoint. Er tilgangene gitt litt for raust gjennom årene, kan Copilot plutselig finne fram lønnslister eller personalsaker for noen som aldri skulle sett dem. Gå derfor gjennom tilgangene før Copilot slås på. Datatilsynet har skrevet en egen rapport om Copilot og personvern for dem som vil gå dypere.

Fire vanlige feil

For lange. Et dokument på ti sider blir ikke lest. Én til to sider er nok.
For generelle. «Bruk KI med omhu» sier ingenting. Trafikklyset over sier hva som gjelder i praksis.
Ingen eier. Uten en ansvarlig blir dokumentet utdatert i det første nye verktøyet kommer.
Laget, men ikke delt. Gå gjennom retningslinjene med alle, ikke bare legg dem på en fellesdisk.

Lag dine på to minutter

Vi har laget en gratis mal for KI-retningslinjer som dekker alt over. Du svarer på fem spørsmål – bransje, taushetsplikt, verktøy, bruksområder og hvem som har ansvaret – og får et ferdig dokument som kan lastes ned som Word eller PDF og tilpasses videre. Alt skjer i nettleseren din.

Vil dere ha verktøyene satt opp også, med databehandleravtale, personverninnstillinger og maler for deres oppgaver, er det det vi gjør i KI-oppsett.

KI-retningslinjer for små bedrifter: dette bør stå i dem