Kartlegg opplysningene løsningen skal bruke
Lag en liste over kildene. Noter hva de inneholder, hvem opplysningene gjelder, hvorfor de er nødvendige, og hvem som har lov til å se dem. Skill mellom offentlig informasjon, interne dokumenter, personopplysninger og forretningsinformasjon som ikke skal deles utenfor virksomheten.
Bruk oppdiktede eller anonymiserte eksempler i en tidlig prototype når det er mulig. Hvis dere må bruke reelle opplysninger for å få et gyldig testresultat, må formål, tilgang og behandlingsmåte avklares først.
Undersøk hva leverandøren gjør med opplysningene
Vilkårene for en gratis samtaletjeneste kan være annerledes enn for en bedriftsavtale eller API-tjeneste. Ikke anta at alle versjoner av et produkt behandler data likt.
- Hvor behandles og lagres innholdet?
- Kan leverandøren bruke det til å forbedre eller trene tjenesten?
- Hvilke underleverandører og land er involvert?
- Hvor lenge oppbevares innhold og logger?
- Kan dere styre tilgang, sletting og hvilke funksjoner som er tillatt?
La personer med ansvar for personvern, sikkerhet og innkjøp vurdere svarene før dere åpner løsningen for reelle data.
Gi løsningen bare den tilgangen den trenger
En løsning som lager et utkast til e-post, trenger vanligvis ikke lov til å sende e-posten. En søkeassistent for HR trenger ikke tilgang til alle dokumenter en leder kan åpne. Begrens kilder, brukergrupper og handlinger i den første versjonen.
Bruk vanlige sikkerhetsprinsipper: personlige brukerkontoer, minst mulig tilgang, tydelig logging og mulighet til å trekke tilgangen tilbake. Det gjør både testing og feilsøking enklere hvis noe går galt.
Bestem hvem som kontrollerer, beslutter og stopper
Navngi rollen som kontrollerer forslagene før de brukes. Avklar hvem som håndterer feil, hvem som kan endre kildene eller instruksjonene, og hvem som kan stenge løsningen. Brukerne må forstå når de ser et KI-generert forslag og hva de forventes å sjekke.
Hvis et forslag påvirker en kunde, en ansatt eller en rettighet, må et menneske med riktig fullmakt ta den endelige beslutningen. Grensesnittet må ikke få et usikkert forslag til å se ut som en godkjent avgjørelse.
Involver riktig kompetanse før beslutningene blir dyre
En KI-rådgiver eller designer kan beskrive dataflyten, tilgangene og brukerens ansvar i en konkret prototype. Formelle juridiske vurderinger og sikkerhetsgodkjenninger må gjøres av fagpersoner med dette ansvaret hos dere eller av en ekstern spesialist.
Jeg kan gjøre løsningen konkret nok til at personvern-, sikkerhets- og juridiske fagfolk får noe presist å vurdere, og deretter bygge nødvendige begrensninger og kontroller inn i løsningen.