AI-politik: hvad skal den indeholde? 12 afsnit med eksempler

De 12 afsnit i en AI-politik – med eksempler

Rækkefølgen følger det, de fleste læsere forventer. For hvert afsnit står, hvad det skal dække, og for de afsnit, der plejer at være sværest, et eksempel på en formulering. Erstat de kantede parenteser med jeres egne oplysninger.

1. Formål og omfang

Forklar, hvorfor politikken findes, og hvem den gælder for: ansatte, konsulenter, vikarer og alle, der bruger AI på organisationens vegne. Dæk alle AI-værktøjer, ikke kun chatbots: kodeassistenter, transskribering, billedgeneratorer og AI-funktioner i eksisterende systemer.

Eksempel: »Politikken gælder for alle medarbejdere, konsulenter og andre, der bruger AI-værktøjer i arbejdet for [Virksomheden], uanset afdeling og uanset om værktøjet stilles til rådighed af [Virksomheden], er en del af software, vi har licens til, eller tilgås via en privat konto.«

2. Godkendte værktøjer

Opregn de værktøjer, der må bruges, og til hvilke typer oplysninger, eller henvis til en liste på intranettet, der holdes opdateret. Nævn virksomhedsudgaverne udtrykkeligt, fx virksomhedens Microsoft 365 Copilot og ikke forbrugerudgaven. Beskriv, hvordan man anmoder om et nyt værktøj, og hvem der godkender. Listen bør hentes fra jeres AI-register, så de to altid stemmer overens.

Eksempel: »Kun værktøjer på listen over godkendte AI-værktøjer må bruges i arbejdet. Anmodning om nye værktøjer sendes til [AI-ansvarlig] via [formular], og et værktøj godkendes først efter en vurdering af sikkerhed, databeskyttelse og leverandør.«

3. Klassificering af oplysninger – hvad aldrig må indtastes

Dette afsnit forebygger flest hændelser. Kobl jeres eksisterende klassificering (fx offentlig, intern, fortrolig, strengt fortrolig) til AI-regler, og opregn det, der er helt forbudt i værktøjer, som ikke er særskilt godkendt til det.

Eksempel: »Indtast aldrig følgende i et AI-værktøj, medmindre værktøjet skriftligt er godkendt til den type oplysninger: adgangskoder, API-nøgler eller andre loginoplysninger; personoplysninger om kunder eller medarbejdere; følsomme oplysninger som helbred, biometri eller fagforeningsmedlemskab; CPR-numre; kortoplysninger; ikke-offentliggjorte regnskabstal; kildekode markeret som fortrolig; materiale omfattet af tavshedspligt eller fortrolighedsaftaler med kunder.«

Har medarbejderne reelt brug for at bruge AI på personoplysninger, er en teknisk kontrol sikrere end en regel, fx en løsning, der pseudonymiserer data, før de sendes til modellen, og logger brugen. Det kan vores team inden for AI-sikkerhed og compliance hjælpe med.

4. Kontrol af AI-svar og ansvar

Gør det klart, at den, der bruger AI, ejer resultatet. AI-svar skal kontrolleres for rigtighed, bias, ophavsret og egnethed, før de bruges eller deles. Beslutninger om mennesker kræver ekstra omhu.

Eksempel: »Du er ansvarlig for alt arbejde, du udfører med hjælp fra AI. Kontrollér fakta, tal, kilder og kode før brug. AI-svar må aldrig være eneste grundlag for en beslutning om en persons ansættelse, kredit, adgang til ydelser eller retsstilling; en kompetent person skal gennemgå og kunne ændre resultatet.«

5. Forbudt brug

Opregn det, der aldrig er tilladt. Start med de forbudte former for AI-praksis i artikel 5, der realistisk kan forekomme i en virksomhed, og tilføj jeres egne grænser:

• AI, der udleder medarbejderes følelser, fx stemningsanalyse af kundeservicemedarbejderes opkald, undtagen af medicinske eller sikkerhedsmæssige grunde. Det var netop det, Digitaliseringsstyrelsen undersøgte hos ti telemarketingvirksomheder i 2026.
• Biometrisk kategorisering, der udleder følsomme egenskaber som race, politisk holdning eller seksuel orientering.
• Manipulerende eller vildledende teknikker, der væsentligt forvrider nogens adfærd og sandsynligvis forvolder betydelig skade, eller som udnytter sårbarheder knyttet til alder, handicap eller social eller økonomisk situation.
• Social bedømmelse (social scoring), der fører til uberettiget, skadelig behandling.
• At skabe seksuelt materiale af identificerbare personer uden samtykke eller materiale med seksuelt misbrug af børn (nye forbud fra 2. december 2026 og allerede strafbart i Danmark).
• Egne grænser, fx at udgive sig for at være en virkelig person, skabe chikanerende eller diskriminerende indhold, omgå sikkerhedskontroller eller lade AI træffe endelige beslutninger om ansættelse eller afskedigelse.

6. Gennemsigtighed og mærkning af AI-indhold

Angiv, hvornår medarbejderne skal oplyse, at AI er brugt. Efter artikel 50 skal mennesker have at vide, at de interagerer med et AI-system, medmindre det er åbenlyst, og den, der bruger AI, skal oplyse om deepfakes – billede, lyd eller video – og om AI-genereret tekst, der offentliggøres for at informere offentligheden om spørgsmål af almen interesse, medmindre teksten har været gennem menneskelig redaktionel kontrol.

Eksempel: »Chatbots og stemmeassistenter, der taler med kunder, skal i starten af samtalen oplyse, at de er en AI. Billeder, video og lyd, der er skabt eller væsentligt ændret med AI og forestiller virkelige personer, steder eller begivenheder, skal mærkes som AI-genererede, før de offentliggøres.«

7. Ophavsret og fortrolighed

Beskriv, hvem der ejer resultatet, risikoen for, at AI gengiver beskyttet materiale, og hvordan kundernes fortrolighed beskyttes. Kræv, at licensvilkår tjekkes for genereret kode og billeder, og forbyd upload af materiale, organisationen ikke har ret til at behandle. Offentlige myndigheder skal desuden overveje forvaltningslovens regler om tavshedspligt, før fortrolige oplysninger gives til en ekstern AI-tjeneste.

8. Sikkerhed og shadow AI

Forbyd private AI-konti til arbejdsbrug og ikke-godkendte browserudvidelser og plugins, der læser sideindhold. Kræv virksomhedslogin (SSO), hvor det findes. Forklar hvorfor: Forbrugervilkår kan tillade, at leverandøren træner på det, I skriver, og der er ingen logning.

Eksempel: »Brug ikke private konti i AI-tjenester til arbejde for [Virksomheden], og installer ikke AI-udvidelser, plugins eller mødebots, der ikke står på listen over godkendte AI-værktøjer. IT kan blokere eller fjerne ikke-godkendte værktøjer.«

9. Indberetning af hændelser

Definér, hvad en AI-hændelse er – fortrolige oplysninger i et ikke-godkendt værktøj, et skadeligt eller diskriminerende svar, en chatbot, der giver kunder forkerte oplysninger – og hvordan den meldes, helst gennem den eksisterende kanal for sikkerhedshændelser. Er der personoplysninger involveret, kan hændelsen også være et brud på persondatasikkerheden, der skal vurderes med henblik på anmeldelse til Datatilsynet inden 72 timer. Gør det trygt at melde ærlige fejl, ellers melder ingen.

10. AI-færdigheder og oplæring

Kræv rolletilpasset oplæring, før man får adgang til AI-værktøjer, og gentag den jævnligt. Roller med højere risiko, fx rekrutteringsmedarbejdere med et screeningsværktøj eller sagsbehandlere, der overvåger en kreditmodel, har brug for mere. Gem deltagelse og indhold. Det er jeres dokumentation for foranstaltninger efter artikel 4.

11. Roller og ansvar

Angiv, hvem der ejer politikken (ofte CISO eller en AI-ansvarlig), hvem der godkender værktøjer, hvem der svarer på spørgsmål om databeskyttelse (DPO'en), og hvad ledere skal gøre. Uden navne er der ingen, der følger op.

12. Gennemgang og håndhævelse

Sæt en dato for gennemgang, mindst en gang om året og oftere, mens teknologien og reglerne ændrer sig hurtigt. Angiv, at overtrædelser håndteres efter de almindelige personaleregler, og før versionshistorik.

Gør og gør ikke – AI-politikken på én side

Mange vedlægger en sammenfatning på én side. En tabel som denne passer godt ind i introduktionen af nye medarbejdere.

Sådan indfører I AI-politikken i en dansk organisation

1. Tag udgangspunkt i det, der allerede bruges. Listen over godkendte værktøjer skal afspejle virkeligheden, ellers bliver den ignoreret. Lav en hurtig kortlægning først.
2. Vurdér leverandørerne, før I godkender. Hvert godkendt værktøj skal være vurderet for brug af data, opbevaringstid, placering, sikkerhed og modelskift.
3. Test udkastet på rigtige brugere. Få et par personer fra salg, HR, udvikling og økonomi til at læse politikken og sige, om reglerne passer til deres arbejde. Skriv alt om, der bliver misforstået.
4. Inddrag medarbejderne i tide. I virksomheder med samarbejdsudvalg skal ledelsen efter samarbejdsaftalen informere om større ændringer, herunder indførelse af ny teknologi, så tidligt at medarbejderne kan komme med synspunkter. Overenskomster og lokale aftaler kan have egne regler, og kontrolforanstaltninger over for medarbejdere skal varsles. Afstem med HR og jeres juridiske rådgiver. For højrisiko-AI på arbejdspladsen kræver artikel 26, stk. 7, desuden, at medarbejderrepræsentanter og berørte medarbejdere informeres, før systemet tages i brug.
5. Lancér med oplæring, ikke kun en e-mail. En halv time med virkelige eksempler gør mere end en PDF på intranettet. Registrér deltagelsen.
6. Bak op med tekniske kontroller. SSO til godkendte værktøjer, blokering af ikke-godkendte tjenester, hvor det er rimeligt, og logning af AI-brug.
7. Følg op efter planen. Gennemgå politikken mindst en gang om året, og når et væsentligt nyt værktøj kommer til, eller reglerne ændres.

Politikken er ét lag i en større helhed. Vil I se, hvor den passer ind sammen med register, risikovurdering og leverandørkontrol, viser gap-analysen efter AI-forordningen sammenhængen.

Ofte stillede spørgsmål om AI-politik

Hvad er en AI-politik?

En AI-politik er et internt styringsdokument, der fortæller medarbejdere og konsulenter, hvordan de må og ikke må bruge AI-værktøjer i arbejdet. Den indeholder typisk godkendte værktøjer, oplysninger der aldrig må indtastes, regler for kontrol af AI-svar, forbudt brug, krav om gennemsigtighed, sikkerhedsregler og indberetning af hændelser.

Skal vi have en AI-politik efter AI-forordningen?

Ikke udtrykkeligt. Forordningen kræver resultater: foranstaltninger til at fremme AI-færdigheder (artikel 4), ingen forbudt AI-praksis (artikel 5) og gennemsigtighed ved visse former for AI-brug (artikel 50). For de fleste organisationer er en AI-politik kombineret med oplæring den mest praktiske måde at vise, at de foranstaltninger findes.

Findes der et godt eksempel på en AI-politik?

Gennemgangen ovenfor har eksempler på formuleringer til de afsnit, der plejer at være sværest: omfang, godkendte værktøjer, klassificering af oplysninger, kontrol, gennemsigtighed og shadow AI. Tilpas dem til jeres værktøjer og jeres klassificering. Kopiér ikke en anden organisations politik direkte. Den afspejler deres værktøjer og aftaler, ikke jeres.

Skal vi forbyde ChatGPT og andre AI-værktøjer?

Et totalforbud virker sjældent. Medarbejderne går over til private konti og mobiltelefoner, og så opstår shadow AI helt uden kontrol. Det er bedre at godkende virksomhedsudgaver med ordentlige aftalevilkår, sætte klare regler for oplysninger og kun blokere de værktøjer, der ikke kan gøres sikre. Det giver medarbejderne en godkendt vej og jer sporbarhed.

Hvor ofte skal AI-politikken opdateres?

Mindst en gang om året og ved større ændringer: en ny type værktøj, et vigtigt leverandørskifte, ny vejledning fra Kommissionen, Digitaliseringsstyrelsen eller Datatilsynet, eller en hændelse, der har vist en svaghed. Mange gennemgår politikken hvert halve år, så længe brugen af AI vokser hurtigt.

Få en færdig AI-politik på 40 minutter

Gennemgangen ovenfor er nok til at skrive politikken selv. Vil I hellere starte fra et udkast, der allerede afspejler jeres værktøjer, jeres oplysninger og jeres risikovillighed, så besvar spørgsmålene, og få jeres AI-politik skrevet til jeres organisation, gratis i Word. Spørgsmålene er på dansk, fordelt på 14 trin, cirka 40 minutter. Så snart I sender, får I fire dokumenter skrevet ud fra jeres svar – AI-politik for medarbejdere, AI governance-ramme, tjekliste til AI-leverandører og skabelon til AI-risikovurdering – og et modenhedsbillede over ti områder. Dokumenterne leveres på engelsk som redigerbare Word-filer og er jeres. Gratis og uden forpligtelser.

Denne artikel er generel information og ikke juridisk rådgivning. Kontrollér den konsoliderede tekst af forordning (EU) 2024/1689 som ændret ved forordning (EU) 2026/1744. Datoer og pligter er angivet pr. oktober 2026.