AI-policy: mall och exempel på vad den ska innehålla

Mall för AI-policy – avsnitt för avsnitt med exempel

Mallen följer den ordning de flesta läsare förväntar sig. För varje avsnitt står vad det ska täcka, och för de avsnitt som brukar vara svårast finns ett exempel på formulering. Byt ut hakparenteserna mot era egna uppgifter.

1. Syfte och omfattning

Förklara varför policyn finns och vem den gäller: anställda, konsulter, inhyrd personal och alla som använder AI för organisationens räkning. Täck alla AI-verktyg, inte bara chattbottar – kodassistenter, transkribering, bildgeneratorer och AI-funktioner i befintliga system.

Exempel: ”Policyn gäller alla medarbetare, konsulter och andra som använder AI-verktyg i arbetet för [Företaget], oavsett enhet och oavsett om verktyget tillhandahålls av [Företaget], ingår i programvara vi licensierar eller används via ett privat konto.”

2. Godkända verktyg

Lista de verktyg som får användas och för vilka informationsklasser, eller hänvisa till en lista på intranätet som hålls aktuell. Ange företagsversionerna uttryckligen, till exempel företagets Microsoft 365 Copilot och inte konsumentversionen. Beskriv hur man begär ett nytt verktyg och vem som godkänner. Listan bör hämtas från ert AI-register, så att de två aldrig glider isär.

Exempel: ”Endast verktyg på listan Godkända AI-verktyg får användas i arbetet. Nya verktyg begärs hos [ansvarig för AI governance] via [formulär] och godkänns först efter säkerhets-, dataskydds- och leverantörsgranskning.”

3. Informationsklassning – vad som aldrig får matas in

Det här avsnittet förhindrar flest incidenter. Koppla era befintliga informationsklasser (till exempel öppen, intern, konfidentiell, strikt konfidentiell) till AI-regler och räkna upp det som är helt förbjudet i verktyg som inte är särskilt godkända för det.

Exempel: ”Mata aldrig in följande i ett AI-verktyg om inte verktyget skriftligen har godkänts för den informationsklassen: lösenord, API-nycklar eller andra inloggningsuppgifter; personuppgifter om kunder eller medarbetare; känsliga personuppgifter som hälsa, biometri eller facklig tillhörighet; personnummer; kortuppgifter; ej offentliggjorda finansiella siffror; källkod märkt konfidentiell; material som omfattas av advokatsekretess eller sekretessavtal med kund.”

Om medarbetare verkligen behöver använda AI på personuppgifter är en teknisk kontroll säkrare än en regel. En EU-baserad AI-gateway som Opsio Vault AI pseudonymiserar personuppgifter innan de når modellen, blockerar hemligheter och loggar varje anrop.

4. Granskning av AI-svar och ansvar

Gör tydligt att den som använder AI äger resultatet. AI-svar ska kontrolleras för riktighet, partiskhet, upphovsrätt och lämplighet innan de används eller delas. Beslut om människor kräver extra omsorg.

Exempel: ”Du ansvarar för allt arbete du gör med hjälp av AI. Kontrollera fakta, siffror, källor och kod före användning. AI-svar får aldrig vara enda underlag för beslut om en persons anställning, kredit, tillgång till tjänster eller rättsliga ställning; en behörig person ska granska och kunna ändra utfallet.”

5. Förbjuden användning

Lista det som aldrig är tillåtet. Börja med de förbjudna AI-metoder i artikel 5 som realistiskt kan förekomma i ett företag och lägg sedan till era egna gränser:

• AI som drar slutsatser om medarbetares känslor, till exempel sentimentanalys av personalens videomöten, utom av medicinska skäl eller säkerhetsskäl.
• Biometrisk kategorisering som härleder känsliga egenskaper som etnicitet, politiska åsikter eller sexuell läggning.
• Manipulativa eller vilseledande tekniker som väsentligt snedvrider någons beteende och sannolikt orsakar betydande skada, eller som utnyttjar sårbarheter kopplade till ålder, funktionsnedsättning eller social eller ekonomisk situation.
• Social poängsättning som leder till omotiverad, ogynnsam behandling.
• Att skapa sexuellt material av identifierbara personer utan samtycke eller material med sexuella övergrepp mot barn (nya förbud från 2 december 2026, och redan brottsligt i Sverige).
• Egna gränser, till exempel att utge sig för att vara en verklig person, skapa trakasserande eller diskriminerande innehåll, kringgå säkerhetskontroller eller låta AI fatta slutliga beslut om anställning eller uppsägning.

6. Transparens och AI-märkning

Ange när medarbetare måste berätta att AI använts. Enligt artikel 50 ska människor informeras om att de interagerar med ett AI-system om det inte är uppenbart, och den som använder AI ska upplysa om deepfakes – bild, ljud eller video – och om AI-genererad text som publiceras för att informera allmänheten om frågor av allmänt intresse, om texten inte granskats av en människa med redaktionellt ansvar. Undantagen förklaras i artikeln om transparenskraven i artikel 50.

Exempel: ”Chattbottar och röstassistenter som möter kunder ska i början av samtalet tala om att de är AI. Bilder, video och ljud som skapats eller väsentligt manipulerats med AI och föreställer verkliga personer, platser eller händelser ska märkas som AI-genererade innan de publiceras.”

7. Upphovsrätt och sekretess

Beskriv vem som äger resultatet, risken att AI återger skyddat material och hur kunders sekretess skyddas. Kräv att licensvillkor kontrolleras för genererad kod och bilder, och förbjud uppladdning av material som organisationen inte har rätt att behandla. Offentliga verksamheter behöver dessutom stämma av mot offentlighets- och sekretesslagen innan sekretessbelagda uppgifter lämnas till en extern AI-tjänst.

8. Säkerhet och skugg-AI

Förbjud privata AI-konton i arbetet och ogodkända webbläsartillägg eller insticksprogram som läser sidinnehåll. Kräv företagsinloggning (SSO) där det finns. Förklara varför: konsumentvillkor kan tillåta att leverantören tränar på det ni skriver, och det finns ingen loggning.

Exempel: ”Använd inte privata konton i AI-tjänster för arbete åt [Företaget], och installera inte AI-tillägg, insticksprogram eller mötesbottar som inte finns på listan Godkända AI-verktyg. IT kan blockera eller ta bort ogodkända verktyg.”

9. Incidentrapportering

Definiera vad som räknas som en AI-incident – konfidentiell information i ett ogodkänt verktyg, ett skadligt eller diskriminerande svar, en chattbott som ger kunder fel besked – och hur den rapporteras, helst via den befintliga vägen för säkerhetsincidenter. Om personuppgifter berörs kan incidenten också vara en personuppgiftsincident som ska bedömas för anmälan till IMY inom 72 timmar. Gör det skuldfritt att rapportera ärliga misstag, annars rapporterar ingen.

10. AI-kunnighet och utbildning

Kräv rollanpassad utbildning innan man får tillgång till AI-verktyg och upprepa den regelbundet. Roller med högre risk, som rekryterare som använder ett urvalsverktyg eller handläggare som övervakar en kreditmodell, behöver fördjupad utbildning. Spara närvaro och innehåll – det är ert bevis för åtgärder enligt artikel 4.

11. Roller och ansvar

Ange vem som äger policyn (ofta CISO eller en ansvarig för AI governance), vem som godkänner verktyg, vem som svarar på dataskyddsfrågor (dataskyddsombudet) och vad chefer ska göra. Utan namn finns ingen som följer upp.

12. Översyn och efterlevnad

Sätt ett datum för översyn, minst en gång per år och oftare medan tekniken och reglerna förändras snabbt. Ange att överträdelser hanteras enligt ordinarie rutiner och för versionshistorik. Policyn är ett lager i en större helhet; hur den hänger ihop med ramverk, riskbedömningar och leverantörskontroller beskrivs i ramverk för AI-styrning i företag.

Gör och gör inte – AI-policyn på en sida

Många bifogar en sammanfattning på en sida till policyn. En tabell som denna passar bra i introduktionsmaterialet för nyanställda.

Så inför ni AI-policyn i en svensk organisation

1. Utgå från det som redan används. Listan över godkända verktyg måste spegla verkligheten, annars ignoreras den. Gör en snabb kartläggning av AI-verktygen först.
2. Granska leverantörerna innan ni godkänner. Varje godkänt verktyg ska ha granskats för dataanvändning, lagringstid, lagringsplats, säkerhet och modellbyten. En checklista för leverantörsbedömning av AI gör granskningen enhetlig.
3. Testa utkastet på riktiga användare. Be några personer från sälj, HR, utveckling och ekonomi läsa policyn och säga om reglerna passar hur de arbetar. Skriv om allt som missförstås.
4. Involvera facket i tid. Arbetsgivare med kollektivavtal har enligt medbestämmandelagen (MBL) en allmän skyldighet att löpande informera de fackliga organisationerna och ska förhandla innan beslut om viktigare förändringar av verksamheten eller av arbets- eller anställningsförhållandena. Om AI-verktyg eller nya regler påtagligt förändrar hur arbetet utförs, eller om användningen följs upp och loggas, kan det utlösa sådan förhandlingsskyldighet. Lokala kollektivavtal kan innehålla egna regler. Stäm av med HR och er arbetsrättsjurist tidigt. För AI-system med hög risk på arbetsplatsen kräver dessutom artikel 26.7 i AI-förordningen att arbetstagarrepresentanter och berörda arbetstagare informeras innan systemet tas i bruk.
5. Lansera med utbildning, inte bara ett mejl. Ett pass på 30 minuter med verkliga exempel gör mer än en PDF på intranätet. Registrera närvaron.
6. Backa upp med tekniska kontroller. SSO för godkända verktyg, blockering av ogodkända tjänster eller tillägg där det är proportionerligt, och loggning av AI-användning.
7. Följ upp enligt plan. Se över policyn minst en gång per år och när ett betydande nytt verktyg kommer eller reglerna ändras.

Vanliga frågor

Vad är en AI-policy?

En AI-policy är ett internt styrdokument som talar om för medarbetare och konsulter hur de får och inte får använda AI-verktyg i arbetet. Den innehåller normalt godkända verktyg, information som aldrig får matas in, regler för granskning av AI-svar, förbjuden användning, krav på transparens, säkerhetsregler och hur incidenter rapporteras. Den gör AI-styrning till konkreta vardagsinstruktioner.

Måste vi ha en AI-policy enligt AI-förordningen?

Inte uttryckligen. Förordningen kräver resultat: åtgärder för att främja AI-kunnighet (artikel 4), att ni inte använder förbjudna AI-metoder (artikel 5) och transparens vid viss AI-användning (artikel 50). En AI-policy tillsammans med utbildning är för de flesta organisationer det mest praktiska sättet att visa att sådana åtgärder finns.

Finns det ett bra AI-policy exempel att utgå från?

Mallen ovan innehåller exempeltexter för de avsnitt som brukar vara svårast: omfattning, godkända verktyg, informationsklassning, granskning, transparens och skugg-AI. Anpassa dem efter era verktyg och informationsklasser. Kopiera inte en annan organisations policy rakt av – den speglar deras verktyg, avtal och riskaptit, inte era.

Ska vi förbjuda ChatGPT och andra AI-verktyg?

Totalförbud fungerar sällan. Medarbetarna går över till privata konton och mobiler, och då uppstår skugg-AI helt utan kontroller. Bättre är att godkänna företagsversioner med lämpliga avtalsvillkor, sätta tydliga regler för information och bara blockera de verktyg som inte går att göra säkra. Det ger medarbetarna en godkänd väg och er en spårbarhet.

Hur ofta ska AI-policyn ses över?

Minst en gång per år och när något större ändras: en ny typ av verktyg, ett stort leverantörsbyte, ny vägledning från EU-kommissionen, PTS eller IMY, eller en incident som visat på en brist. Många ser över policyn var sjätte månad så länge AI-användningen växer snabbt.

Få en färdig AI-policy på 40 minuter

Mallen ovan räcker för att skriva policyn själva. Vill ni hellre börja från ett utkast som redan speglar era verktyg, er information och er riskaptit kan ni ta gratis mallar för AI-policy och AI governance via Opsios bedömning: fjorton steg med frågor på svenska, cirka 40 minuter, och så fort ni skickar in får ni fyra styrdokument skrivna utifrån era svar – AI-policy för medarbetare, ramverk för AI governance, checklista för AI-leverantörer och mall för riskbedömning av AI – plus en mognadsbild över tio områden. Dokumenten levereras på engelska som redigerbara Word-filer och är era. Gratis och utan förpliktelser.

Den här artikeln är allmän information, inte juridisk rådgivning. Kontrollera den konsoliderade texten till förordning (EU) 2024/1689 i dess lydelse enligt förordning (EU) 2026/1744. Datum och skyldigheter anges per oktober 2026.