AI-policy är inte längre en framtidsfråga. Det är en arbetsmiljöfråga, en kundförtroendefråga och från augusti 2026 även en lagfråga genom EU:s AI-förordning. Ändå har de flesta organisationer fortfarande ingen, eller en som ligger i en mapp som ingen läser.
Den här artikeln handlar om varför det inte räcker att kopiera en mall från nätet, vad en AI-policy faktiskt ska lösa, och hur du tar fram en som dina medarbetare faktiskt använder. Längst ner kan du ladda ner vår fullständiga guide med checklista, FAQ och en förenklad mall att utgå från.
Varför pratar alla om AI-policy just nu?
Tre saker har hänt samtidigt.
1) Användningen har sprungit förbi styrningen. ChatGPT lanserades i november 2022. Idag använder en stor andel av kontorsanställda generativ AI i sitt dagliga arbete, ofta utan att arbetsgivaren vet om det. Det kallas Shadow AI och det är samma fenomen som Shadow IT var för tio år sedan, fast snabbare och med större konsekvenser.
2) Lagstiftningen har kommit ikapp. EU:s AI-förordning (AI Act) trädde i kraft 1 augusti 2024 och rullas ut stegvis fram till 2027. För svenska företag och offentlig sektor innebär det dokumentationskrav, riskklassificering och i vissa fall förbud mot specifika användningsområden. Parallellt finns redan GDPR, NIS2 och offentlighets- och sekretesslagen som påverkar hur AI får användas.
3) Riskerna har blivit konkreta. Sekretessbelagd information som matas in i ChatGPT. Diskriminerande beslut i rekryteringssystem. AI-genererade kundsvar som hittar på fakta. Det är inte längre teoretiska scenarier, det är saker som hänt på riktigt och som lett till skadestånd, böter och förtroendeförluster.
En AI-policy är inte ett dokument du skriver för att säga att ni har en. Den är ett verktyg som löser ett verkligt problem.
Vad är egentligen en AI-policy?
En AI-policy är ett styrdokument som svarar på fyra frågor:
- Vilka AI-verktyg får användas i vår verksamhet?
- Vilken information får matas in i dem?
- Vem ansvarar för vad när AI används?
- Vad händer om något går fel?
Det är allt. En bra AI-policy är inte tjugo sidor svada om etiska principer för en hållbar framtid. Den är konkret nog att en ny medarbetare på dag två ska kunna läsa den och veta vad de får och inte får göra. Många blandar ihop policy med riktlinje. Skillnaden är enkel: policyn är beslutet om att vi ska ha ordning på det här och vilka principer som styr. Riktlinjerna är hur vi gör det i praktiken. För större organisationer behövs båda. För ett mindre företag kan ett dokument räcka, så länge det innehåller både principerna och de praktiska detaljerna.att säga att ni har en. Den är ett verktyg som löser ett verkligt problem.
Vad löser en AI-policy?
Här är fem konkreta problem som vi sett hos kunder, som en AI-policy faktiskt löser.
Problem 1: Sekretessläckage
Utan policy finns ingen tydlig regel som säger att en handläggare inte får klistra in en patientjournal i den gratis ChatGPT-versionen för att få den sammanfattad. Med policy är det glasklart vilka verktyg som är godkända för vilken typ av information.
Problem 2: Otydligt ansvar
När AI-genererat material används i ett kundsvar, ett anställningsbeslut eller en rapport, vem är då ansvarig om det blir fel? Policyn slår fast att människan alltid är ansvarig och att AI-genererat material aldrig får skickas vidare utan granskning.
Problem 3: Inkonsekvent användning
Marknadsavdelningen använder Copilot. HR har skaffat ett rekryteringsverktyg med AI-funktioner. IT har inte hört talas om något av det. Policyn skapar en gemensam process för hur nya AI-verktyg godkänns innan de tas i drift.
Problem 4: Compliance-risk inför AI Act
EU:s AI-förordning kräver dokumentation av vilka AI-system som används, hur de är riskklassificerade och hur de följs upp. Utan policy finns ingen struktur för det arbetet och ingen som har ansvaret.
Problem 5: Kundförtroende
Kunder, partners och medborgare börjar fråga: använder ni AI när ni hanterar mina ärenden? Med en tydlig policy kan ni svara ja och förklara hur, istället för att svamla.
Vem behöver en AI-policy?
Kort svar: alla organisationer där medarbetare har tillgång till internet.
Långt svar: behovet ser olika ut beroende på vilken typ av verksamhet ni bedriver.
Företag inom kunskapsintensiva tjänster (konsulter, jurister, revisorer, byråer) har högst risk för sekretessläckage eftersom kundinformation är kärnan i verksamheten. Här behövs en policy som tydligt skiljer på godkända och icke-godkända verktyg.
Företag som hanterar personuppgifter i större skala (e-handel, fintech, hälsa) behöver en policy som är tätt integrerad med GDPR-arbetet och som hanterar både interna verktyg och AI-funktioner i upphandlade system.
Offentlig sektor har de tyngsta kraven på grund av offentlighetsprincipen, sekretesslagstiftning och myndighetsutövning. Här räcker det inte med en policy. Det behövs ett helt ramverk med riktlinjer för olika verksamhetsområden.
Mindre företag utan tekniktung verksamhet kan ofta komma långt med en kortare policy som fokuserar på de tre eller fyra mest sannolika riskerna. Det viktiga är inte omfattningen utan att den faktiskt finns och används.
Hur skapar man en AI-policy som fungerar?
Det är här de flesta går vilse. Inte i vad de skriver, utan i hur de jobbar med det. Här är vår process i sex steg.
Steg 1: Kartlägg verkligheten innan ni skriver något
Vilka AI-verktyg används redan i organisationen? Av vem? För vad? Du kommer bli förvånad. En enkel anonym enkät till medarbetarna ger en mer ärlig bild än vad chefer tror sig veta. Utan den här kartläggningen riskerar policyn att bli teoretisk och frikopplad från praktiken.
Steg 2: Klassificera er information
AI-policyn står och faller med informationsklassningen. Vilken information är offentlig, intern, konfidentiell eller sekretessbelagd? Om ni redan har en informationsklassningsmodell, bygg på den. Om ni inte har det är det här ni börjar, inte med policyn.
Steg 3: Bestäm ramverket innan ni går in i detaljer
Innan ni skriver de konkreta reglerna, bestäm de övergripande principerna. Vår rekommendation är fem principer: mänskligt ansvar, regelefterlevnad, informationssäkerhet, transparens och proportionalitet. Skriv dessa först. De blir kompass för alla detaljerade beslut.
Steg 4: Skriv kort, konkret och med exempel
Den vanligaste fällan är att policyn blir för abstrakt. Medarbetare ska iaktta gott omdöme vid användning av AI-verktyg betyder ingenting. Skriv istället: Sekretessbelagd kundinformation får aldrig matas in i ChatGPTs gratisversion. För sammanfattningar av sådana dokument används istället Microsoft Copilot via vårt M365-avtal.
Steg 5: Förankra hos dem som ska följa den
En policy som tas fram av en kommitté och kastas över muren till medarbetarna kommer ignoreras. Workshoppa fram de praktiska riktlinjerna med representanter från de avdelningar som faktiskt använder AI dagligen. Det är där den verkliga visdomen finns och det är där förankringen byggs.
Steg 6: Bygg in uppföljning från dag ett
En AI-policy som inte revideras blir snabbt obsolet. Tekniken förändras kvartalsvis. Lagstiftningen förändras årligen. Bygg in en årlig översyn, en process för att rapportera incidenter och en tydlig ansvarig som driver arbetet vidare.
Vanliga misstag att undvika
Att kopiera en mall utan att anpassa. Det finns gott om mallar online. Problemet är att en bra AI-policy speglar er specifika verksamhet, era specifika risker och era specifika verktyg. En generisk mall blir sällan mer än en startpunkt.
Att låta IT eller juridik äga frågan ensamma. AI-policy är ett tvärfunktionellt arbete. Det behöver representanter från verksamheten, IT, HR, juridik och ledning. Annars missar man antingen praktiken eller regelverket.
Att vänta på att lagstiftningen ska bli tydligare. Den blir inte tydligare. Den blir mer omfattande. Bättre att börja nu med en pragmatisk policy och uppdatera den löpande än att vänta på ett perfekt utgångsläge som aldrig kommer.
Att tro att policyn räcker. En policy utan utbildning, utbildning utan uppföljning och uppföljning utan konsekvens leder ingenstans. Policyn är startpunkten, inte slutmålet.
Tre saker du kan göra redan idag
Innan du börjar med en fullständig AI-policy, gör det här:
- Skicka en enkel fråga till alla medarbetare: vilka AI-verktyg använder du i ditt arbete? Beskriv kort hur. Du kommer få en ärligare bild på en eftermiddag än vad du fått av månader av antaganden.
- Identifiera er enskilt största risk. För de flesta företag är det sekretessläckage genom konsumentversioner av AI-tjänster. Skriv ett enda mejl till alla medarbetare med en tydlig regel: dessa verktyg är OK för dessa typer av information, dessa är inte OK. Det är inte en policy men det är en akut riskreducering medan ni bygger den riktiga.
- Boka in en intern timme för ledningsgruppen. Diskutera tre frågor: vilka AI-verktyg används redan? Vad händer om vi inte gör något? Vem hos oss ska driva det här arbetet? Det är ofta nog för att skapa rörelse.
