Forleden talte jeg med en HR-chef, der havde set en medarbejder uploade interne HR-data til en ”åben” Chat Agent på nettet. Det går vel nok, ikk'?
Vi talte videre, og det viste sig, at virksomheden ikke havde nogen retningslinjer for AI. Ingen anbefalede værktøjer. Ingen træning. Bare en uudtalt forventning om, at “det går nok”.
Skygge-AI er ikke et angreb. Det er et råb om hjælp.
Når medarbejdere bruger AI udenom virksomhedens kontrol, er det sjældent fordi de vil sætte virksomheden i fare.
Det er fordi:
Det er et symptom på et tomrum. Ikke en handling i ond mening.
Og når man begynder at se det sådan, åbner der sig en helt anden samtale. For løsningen er ikke forbud. Forbud driver brugen længere under jorden - og fjerner enhver mulighed for at hjælpe.
Løsningen er at fylde tomrummet ud.
Myte vs. Virkelighed om shadow AI
Myte: “Vi forbyder ChatGPT, så er problemet løst.”
Virkelighed: Det er det ikke. Det skaber bare en kultur, hvor medarbejderne bruger det alligevel - fra deres telefon, deres private mail, deres hjemme-PC.
Og når det går galt, kommer de ikke til dig. De gemmer det.
Det, der virker, er det modsatte: Anerkend, at AI er her. Giv dem ét sted at gå hen. Hjælp dem til at bruge det rigtigt. Gør det nemmere at gøre det rigtige end at gøre det forkerte.
En skygge-AI checkliste
Hvis jeg sad over for en virksomhed, der ville håndtere ”Bring Your Own AI” ansvarligt, ville jeg spørge:
-
Har I en AI-politik? Ikke en 12-siders juridisk tekst. Én A4. Hvad må man, hvad må man ikke, hvor går man hen med spørgsmål.
-
Har I et godkendt værktøj? Hvis ja: ved alle det? Hvis nej: hvad skal medarbejderne så gøre?
-
Har I trænet medarbejderne i, hvad de IKKE skal kopiere ind? Kundedata, personoplysninger, kontrakter. De fleste ved det ikke.
-
Har I sensitivity labels på jeres data? Det er bremserne. Uden dem kører bilen for stærkt.
-
Ved I, hvor I skal hen, hvis det går galt? Plan B er ikke at lade som om det ikke skete.
Tre konkrete råd til næste AI-skridt
1. Lav en kort, klar AI-politik. På én A4
Hvad må man bruge AI til. Hvad må man ikke kopiere ind. Hvor finder man det godkendte værktøj. Hvad gør man, hvis man er i tvivl. Det er ikke raketvidenskab - men de færreste har skrevet det ned.
2. Tilbyd et godkendt alternativ
Hvis du forbyder ChatGPT uden at tilbyde fx Copilot eller et andet sikkert værktøj, så har du efterladt medarbejderne uden mulighed for at gøre deres job med moderne værktøjer. Det varer ikke længe, før de finder en vej.
3. Træn. Træn. Træn
Det handler ikke om at slå alarm. Det handler om at gøre folk klogere. De fleste fejl sker, fordi medarbejderen ikke vidste bedre - ikke fordi de var ligeglade. Investér i træning før i kontrol.
Risikoen er ikke størst der, hvor I har styr på det. Den er størst der, hvor I IKKE har styr på det.
Det jeg ofte hører
“Vi er bange for, at vores data ender et sted, vi ikke kan styre.”
Det er en helt reel bekymring. Men risikoen er ikke størst der, hvor I har styr på det. Den er størst der, hvor I IKKE har styr på det. Hvor medarbejderen sidder hjemme om aftenen og kopierer en kontrakt ind i et gratis værktøj for at få den opsummeret.
Det er ikke AI'en, der er problemet. Det er fraværet af rammer.
Kort opsummering
”Bring Your Own AI” er ikke et fænomen, du kan forhindre. Det er en realitet, du skal forholde dig til.
Du har to valg: Lade det ske i skyggen og krydse fingrene. Eller flytte det ud i lyset og give det rammer.
Det første er bekvemt. Det andet er ansvarligt.
Og hvis du tror, det er noget, der “ikke sker hos os” - så er det formentlig, fordi ingen tør fortælle dig det.
Jesper Skov
