Skugg-AI

Ett förbud löser det inte. Det flyttar användningen utom synhåll.

Skugg-AI är den användning som sker utan att ni köpt den. Någon klistrar in ett utkast i ett verktyg hon hittat själv, någon annan kör ett brev genom en översättningstjänst, en tredje låter en assistent i webbläsaren läsa det som står på skärmen.

Allt annat i det här materialet handlar om lösningar som har en leverantör, ett avtal och en kravlista. Skugg-AI har inget av det: ingen ägare hos er, inget personuppgiftsbiträdesavtal, inget spår, ingen gräns för vad som får matas in.

Användningen sker med riktiga ärenden, eftersom det är dem arbetet består av. Det som matas in är alltså det ni har sekretess för. Omfattningen går inte att mäta på vanligt sätt, för det finns inget system att fråga.

Och uppgifterna bärs till en part ni inte har avtal med, på villkor ni inte läst, med en lagringstid ni inte känner till.

Ett förbud utan ett dugligt alternativ gör dessutom saken svårare att utreda. Det blir svårare att fråga någon vad hon faktiskt gör, eftersom svaret blir ett erkännande.

Så här går det fel

Beslutet att generativ AI inte får användas skickas ut i ett mejl. Ingen godkänd tjänst erbjuds, eftersom upphandlingsfrågan ska utredas. Arbetet fortsätter.

Ett halvår senare kommer en begäran om utlämnande av underlaget till ett beslut. Handläggaren berättar att motiveringen skrevs i ett verktyg hon loggat in i med sin privata adress. Handlingen finns i en tjänst organisationen inte når, så det finns varken en handling att lämna ut eller en grund att avslå på.

Vad det innebär juridiskt

Att en medarbetare på eget initiativ använt ett verktyg gör inte behandlingen privat. Sker den i tjänsten och med myndighetens uppgifter är myndigheten personuppgiftsansvarig, utan prövad rättslig grund, utan biträdesavtal och utan kontroll över var uppgifterna hamnar. Rör det uppgifter som omfattas av sekretess kan inmatningen i sig vara ett röjande. Till det kommer handlingsoffentligheten: en handling som upprättats i tjänsten är allmän även när den ligger i en tjänst ni inte når, och en begäran om att få del av den kan då varken besvaras eller avslås på ett korrekt sätt.

Det här måste någon bestämma

Att den godkända vägen ska duga för de uppgifter folk faktiskt har. Det är en förutsättning för att en regel ska gå att upprätthålla.

Vad som är oacceptabelt oavsett verktyg, uttryckt i uppgiftsslag och inte i produktnamn. Produktnamn åldras. Uppgiftsslag gör det inte.

Att frågan om vad medarbetare använder ställs på ett sätt som går att svara ärligt på, alltså utan påföljd för den som svarar. Och vem som svarar verksamheten när den frågar efter något ni inte har.