En medarbejder i Glostrup Kommune brugte Copilot og ChatGPT som støtte i behandlingen af en borgers sag. Det kom frem, da borgeren Jonas Helmer søgte aktindsigt efter at have fundet en formulering i sin 18 sider lange afgørelse, som han mente så maskinskrevet ud.
Kommunen kaldte brugen en “klar fejl”. Dens egne retningslinjer tillod medarbejderne at bruge AI, men ikke til sagsbehandling eller til afgørelser, vurderinger og beslutninger. Alligevel endte tekst fra et AI-værktøj i afgørelsen.
Det mest alvorlige er ikke, at en maskine har skrevet en sætning. Det er, at kommunen bagefter ikke kunne vise præcist, hvordan sætningen var blevet til.
Kommunen kunne ikke genskabe forløbet
Jonas Helmer har muskelsvind og havde søgt om at få dækket udgifter i forbindelse med sit handicap. Han mistænkte kommunen for at have indtastet hans personoplysninger i AI-værktøjerne.
Det afviste kommunen. Ifølge DR’s dækning kunne den bare ikke dokumentere afvisningen, fordi medarbejderen havde slettet sine chats og prompts.
Vi ved derfor ikke fra den offentlige dokumentation, hvilke oplysninger værktøjerne fik, hvilke instruktioner medarbejderen skrev, eller hvor meget outputtet påvirkede resten af afgørelsen. Det skal artiklen heller ikke lade som om, vi ved.
Vi ved, at AI blev brugt i strid med kommunens egen instruks. Vi ved, at noget af outputtet nåede ind i en myndighedsafgørelse. Og vi ved, at det materiale, som kunne have gjort brugen efterprøvbar, ikke længere fandtes.
Det er nok til at gøre sagen til en ledelsesopgave.
En regel virker først, når arbejdet følger den
Glostrup Kommune havde allerede den regel, mange organisationer stadig er ved at skrive: AI må bruges til noget, men ikke til følsomme eller afgørende dele af arbejdet.
Reglen fangede ikke denne brug. Borgeren gjorde.
Det viser forskellen mellem at have en politik og at have en arbejdsform. Hvis grænsen kun står i et dokument, skal den enkelte medarbejder selv kunne genkende det øjeblik, hvor sproglig hjælp bliver til sagsbehandling. Den grænse kan være svær at se, når et værktøj bruges i små trin: først til at forstå et spørgsmål, så til at finde en formulering og til sidst til at skrive en passage, der kopieres ind i afgørelsen.
Datatilsynet advarede allerede i 2024 om et stigende antal sikkerhedsbrud, hvor ansatte brugte persondata som input og prompts, uden at arbejdspladsen var opmærksom på det eller havde tilladt det. Tilsynets anbefaling er organisatoriske rammer, awareness og procedurer, eventuelt støttet af tekniske foranstaltninger som blokering af offentlige AI-værktøjer.
En formulering som “brug AI ansvarligt” er derfor for svag. Medarbejderen skal kunne se forskel på mindst tre situationer:
- AI hjælper med en ufarlig intern formulering uden oplysninger om en borger.
- AI forbereder materiale, som indgår i en sag og kræver en aftalt kontrol.
- AI påvirker en vurdering eller afgørelse, hvor brugen er forbudt eller kræver en særskilt godkendt løsning.
Grænsen bør følge arbejdet og konsekvensen, ikke produktnavnet.
Det menneskelige ansvar kræver et synligt grundlag
En sagsbehandler kan godt læse en AI-genereret tekst igennem og stadig overse en fejl. Det samme gælder en tekst skrevet af en kollega. Forskellen er, at generativ AI kan tilføre oplysninger, argumenter og formuleringer uden et synligt spor tilbage til den kilde, der bar dem ind i sagen.
Et menneske i sidste led løser derfor ikke problemet alene. Personen skal kunne kontrollere noget konkret:
- Hvilket materiale fik værktøjet adgang til?
- Hvad blev det bedt om at gøre?
- Hvilke dele af outputtet blev brugt?
- Hvem kontrollerede faktum, hjemmel og begrundelse?
- Hvad gemmes, hvis borgeren senere spørger, hvordan afgørelsen blev til?
Det betyder ikke nødvendigvis, at enhver ufarlig prompt skal gemmes for evigt. Opbevaring skal være nødvendig og afgrænset. Men når AI indgår i arbejde, der påvirker en borgers rettigheder eller økonomi, skal organisationen på forhånd have besluttet, hvilket grundlag der skal bevares for at kunne forklare og efterprøve arbejdet.
Ombudsmandens vejledning om notatpligt handler bredere om de oplysninger og faglige vurderinger, der har betydning for en afgørelsessag. Den siger ikke, at alle prompts automatisk er journalpligtige. Den understreger, hvorfor en myndighed ikke kan være ligeglad med, om væsentlige dele af sagens faktiske og faglige grundlag forsvinder.
AI i sagsbehandling er muligt, men kræver mere end en licens
Sagen bør ikke bruges som argument for, at AI aldrig må bruges i offentlig sagsbehandling. Datatilsynet har eksempelvis vurderet en konkret AI-løsning, der støtter behandlingen af ansøgninger om handicaptillæg på SU-området.
Den løsning er afgrænset til at vurdere, om dokumentationen i en ansøgning er tilstrækkelig. Den hviler på et konkret retsgrundlag og regler om formål, oplysninger, informationskilder, opbevaring, sletning og sikkerhed. Datatilsynet fremhæver samtidig, at kravene bliver højere, når en løsning er i drift og kan påvirke borgerens økonomiske, uddannelsesmæssige, sociale eller sundhedsmæssige forhold.
Kontrasten til Glostrup-sagen er nyttig. Den ene vej begynder med opgaven, hjemlen, dataene og kontrollen. Den anden opstår, når en medarbejder har adgang til et generelt værktøj og selv flytter det ind i arbejdet.
Begge dele bliver ofte kaldt “brug af AI”. Ledelsen bør behandle dem som to helt forskellige situationer.
Efter en fejl skal organisationen lære mere end medarbejderens navn
Glostrup Kommune har oplyst til DR, at den nu præciserer sine retningslinjer, tydeliggør hvornår der er tale om sagsbehandling og vil sikre, at reglerne er kendt og efterlevet i hele organisationen.
Det er nødvendigt. Det er ikke hele arbejdet.
Ledelsen bør også finde ud af, hvor let den samme fejl kan gentage sig. Har medarbejdere adgang til værktøjer, som reglerne i praksis forbyder dem at bruge i store dele af arbejdet? Kan organisationen opdage, at AI-output flytter ind i en afgørelse? Findes der et sikkert sted at eksperimentere? Ved medarbejderne, hvem de skal spørge, før de prøver? Bliver fejl gennemgået som et problem i arbejdsformen eller kun som et brud begået af én person?
Jeg arbejder selv med digitale kolleger, der har forskellige roller, adgangsgrænser og steder, hvor et menneske tager over. Min tilgang er bygget på erfaringer med, hvad der virker bedst. En grænse bliver først brugbar, når den er knyttet til et bestemt arbejde, bestemte oplysninger og en bestemt aflevering.
Glostrup havde sagt nej til AI i sagsbehandlingen. Organisationen kunne bare ikke se, at det alligevel skete. Den næste regel bør derfor ikke kun beskrive, hvad medarbejderen må. Den skal også beskrive, hvordan ledelsen ved, at arbejdet faktisk foregår sådan.