AI-regler og datasikkerhed under et AI hackathon

På et AI hackathon må holdene kun bruge godkendte AI-værktøjer med arbejdskonti og kun data, som organisationen har sagt god for. Personoplysninger, fortrolige kontrakter og forretningshemmeligheder erstattes af anonymiserede eller opdigtede eksempler, der ligner de rigtige. Regler for data afklares med IT senest en uge før og gives til deltagerne på én side ved velkomsten.

Denne artikel giver jer kategorierne, regelarket og tjeklisten til IT. Den er ikke juridisk rådgivning. Har I særlige krav, så tag dem med jeres egen databeskyttelsesrådgiver.

Hvorfor skal regler for AI på plads før hackathonet?

Uden klare regler sker der en af to ting. Enten holder deltagerne igen, fordi de er i tvivl om, hvad de må, og så bliver prototyperne forsigtige. Eller også kopierer nogen rigtige kundedata ind i et privat værktøj, fordi det var det hurtigste. Begge dele undgås med en side med regler og et par timers forarbejde hos IT.

Hvilke data må bruges?

Type data	Eksempler	Må det bruges?
Offentlige oplysninger	Hjemmeside, produktbeskrivelser, offentlige rapporter	Ja
Interne, ikke fortrolige oplysninger	Arbejdsinstruktioner, skabeloner, personalehåndbog	Ja, i godkendte værktøjer
Fortrolige oplysninger	Kontrakter, priser, strategi, regnskab før offentliggørelse	Kun hvis IT har godkendt det konkrete værktøj, ellers opdigtede eksempler
Personoplysninger	Navne, e-mails, kundesager, medarbejderdata	Nej. Brug anonymiserede eller opdigtede eksempler
Følsomme personoplysninger	Helbred, fagforening, CPR-numre	Nej

Det bedste råd er enkelt: lav eksemplerne, før hackathonet begynder. Udfordringsejeren finder 10 til 20 rigtige eksempler, fjerner navne og detaljer eller lader et AI-værktøj lave opdigtede eksempler, der ligner. Så har holdene noget realistisk at arbejde med, og ingen behøver træffe beslutninger om data under tidspres.

Hvilke AI-værktøjer er sikre at bruge?

Det afgørende er ikke, hvilket værktøj I bruger, men hvordan kontoen er sat op:

• Arbejdskonti, ikke private konti. Erhvervsudgaver af ChatGPT, Claude, Gemini og Copilot har typisk aftaler om databehandling, og jeres data bruges ikke til at træne modellerne.
• Afklar indstillinger for historik og deling. Hvem kan se samtaler og prototyper bagefter?
• Godkend værktøjer til automatisering. n8n og lignende værktøjer kobler systemer sammen. Afgør på forhånd, om holdene må koble sig på rigtige systemer eller kun på testudgaver.
• Hav en liste over godkendte værktøjer. Det er lettere at sige ja til en liste end at sige nej undervejs.

Sammenligningen af ChatGPT, Claude og Gemini kan hjælpe, hvis I skal vælge.

Regelark til deltagerne

Giv deltagerne disse regler på én side, og gennemgå dem ved velkomsten. Tilpas dem til jeres politik:

1. Brug kun værktøjerne på listen og kun med din arbejdskonto.
2. Brug eksempeldata fra udfordringsejeren. Hent ikke rigtige kundedata ud af jeres systemer.
3. Skriv aldrig CPR-numre, adgangskoder eller fortrolige kontrakter ind i et AI-værktøj.
4. Kobl ikke prototyper til rigtige systemer uden aftale med IT.
5. Tjek altid det, AI skriver. Modellerne kan tage fejl med stor sikkerhed.
6. Vis i jeres prototype, hvor et menneske skal godkende eller rette.
7. Er du i tvivl, så spørg facilitatoren eller IT, før du gør det.

Tjekliste til IT

• Er de godkendte AI-værktøjer åbne på netværket, og har alle deltagere en konto?
• Er der aftaler om databehandling for de værktøjer, der bruges?
• Er det afklaret, om data bruges til træning, og er det slået fra?
• Kan netværket bære alle deltagere samtidig?
• Er der en testudgave af de systemer, holdene måske vil koble sig på?
• Hvem fra IT kan svare på spørgsmål på dagen?
• Hvad sker der med konti, samtaler og prototyper efter hackathonet?

Hvad betyder GDPR og AI-forordningen for et hackathon?

GDPR gælder, så snart personoplysninger behandles. Den sikreste vej er derfor at undgå personoplysninger helt på dagen. Så er der ikke noget at tage stilling til.

EU's AI-forordning stiller blandt andet krav om, at virksomheder, der bruger AI-systemer, sikrer, at medarbejderne har tilstrækkelige AI-kompetencer. Kravet om AI-kompetencer har gældt siden februar 2025. Et hackathon er ikke i sig selv opfyldelse af kravet, men det er en praktisk måde at give medarbejderne erfaring med AI på, og det kan indgå i jeres dokumentation. Skal kompetencerne på plads først, holder vores søstervirksomhed Fremtidslaboratoriet AI kurser.

Prototyper, der senere skal i drift, skal vurderes på ny. Det er en del af opfølgningen, ikke af hackathonet.

Hvorfor skal menneskelig kontrol være synlig i prototypen?

En prototype, der svarer kunder eller træffer beslutninger uden at et menneske ser på det, bliver sjældent godkendt til drift. Bed holdene vise, hvor et menneske godkender, retter eller beslutter. Det gør prototypen mere realistisk og lettere at få videre. Juryen kan med fordel se efter det, som beskrevet i artiklen om bedømmelse og jury.