AI-policy för företag: detta ska den innehålla

En policy till, som ingen kommer att läsa. Det är en fullt rimlig första reaktion när AI-policyn dyker upp på agendan, och den förtjänar att tas på allvar snarare än att viftas bort.

Det ärliga svaret är att de flesta AI-policyer vi ser förtjänar sitt öde. De är förbudslistor, skrivna av rädsla, och de har en förutsägbar effekt: medarbetarna slutar inte använda AI, de slutar berätta att de gör det. Användningen flyttar från synlig till osynlig, vilket är sämsta möjliga utfall. Vi har beskrivit mekanismen i vår artikel om skugg-AI på arbetsplatsen.

En bra AI-policy gör tvärtom. Den svarar på frågan medarbetarna faktiskt ställer: vad får jag använda, till vad, med vilken data? Tydliga svar på det ökar användningen av rätt verktyg och minskar användningen av fel.

En AI-policy är ett internt regelverk som anger vilka AI-verktyg medarbetarna får använda, för vilka arbetsuppgifter och med vilka typer av data, samt vem som ansvarar för granskning, godkännanden och uppföljning.

En AI-policy som fungerar är en möjliggörare: den pekar ut godkända verktyg och trygga arbetssätt, i stället för att räkna upp förbud som driver användningen under ytan.

Varför just nu?

Tre saker har gjort policyfrågan skarp under 2026, och alla tre är svenska realiteter snarare än framtidsspaningar.

För det första började transparenskraven i EU:s AI-förordning gälla den 2 augusti 2026: användare ska informeras när de interagerar med AI, och AI-genererat innehåll ska i vissa fall märkas. Förordningens mest omtalade del, kraven på högrisksystem, sköts däremot upp till slutet av 2027 genom det så kallade omnibusbeslutet i somras. Att veta vad som gäller nu och vad som kommer senare är precis sådant en policy ska hålla ordning på, och vi har en fullständig genomgång i EU AI Act och GDPR för svenska företag.

För det andra har svenska myndigheter höjt tempot. Integritetsskyddsmyndigheten har lyft AI som ett fokusområde i sin tillsyn, och Digg och IMY publicerade gemensamt nationella riktlinjer för generativ AI i offentlig förvaltning: 18 punkter om ansvar, informationssäkerhet och dataskydd. Riktlinjerna är skrivna för myndigheter men fungerar utmärkt som checklista även för privata bolag, gratis och på svenska.

För det tredje, och det glöms oftast: att införa AI-verktyg som förändrar arbetssätt kan vara en sådan viktigare förändring som enligt medbestämmandelagen ska förhandlas med facket innan beslut. Har ni kollektivavtal är MBL-frågan inte en formalitet utan en del av införandet, och en policy som tagits fram i dialog med medarbetarna står dessutom betydligt stadigare i vardagen.

Vad ska policyn innehålla?

Åtta avsnitt räcker för de flesta företag. Kortare är bättre än längre: målet är ett dokument som faktiskt läses.

1. Syfte och hållning. En mening om varför policyn finns, en om grundinställningen. Vår rekommendation: uttala att företaget vill att AI används, inom tydliga ramar. Det sätter tonen för allt som följer.
2. Godkända verktyg. Vilka tjänster som är godkända, i vilka versioner, och hur man föreslår nya. Lägg själva listan i en bilaga med egen ägare, så överlever policyn att verktygsfloran ändras.
3. Dataregler. Det viktigaste avsnittet: vilka datakategorier som får och inte får matas in. Kunddata, personuppgifter, affärshemligheter och källkod förtjänar var sin tydlig rad. Koppla till era befintliga GDPR-rutiner i stället för att uppfinna parallella.
4. Ansvar för resultatet. Den som använder AI ansvarar för det som lämnar handen, oavsett vem som skrev utkastet. Granskningskravet ska stå i klartext: AI-utkast är underlag, människan är avsändare.
5. Extern transparens. När kunder och andra utomstående möter AI hos er ska det framgå, i linje med förordningens transparenskrav. Bestäm också hur ni svarar på frågan om något är AI-genererat.
6. Roller. Vem godkänner verktyg, vem svarar på frågor i vardagen, vem äger policyn. Tre namn eller roller räcker, men de måste finnas, annars dör dokumentet.
7. Kompetens. Förordningen förväntar sig att företag stödjer personalens AI-kunnighet, och en policy utan utbildning är bara papper. Hur man bygger det i praktiken har vi skrivit om i AI-kompetens i organisationen.
8. Uppföljning. Hur ofta policyn ses över, och hur avvikelser hanteras. Skriv det mänskligt: syftet är att lära, inte att jaga.

Hur får ni policyn att användas?

Sättet policyn införs på avgör mer än formuleringarna. Det mönster vi sett fungera ser ut så här. Börja med en snabb kartläggning av verklig användning, gärna anonym, för svaret är alltid att fler använder AI än ledningen tror, och policyn ska möta verkligheten snarare än önskebilden. Skriv sedan ett kort utkast och testa det på en pilotgrupp med både entusiaster och skeptiker: entusiasterna hittar luckorna, skeptikerna hittar otydligheterna. Har ni fackklubb, ta förhandlingen tidigt och som dialog, inte som formalitet i slutet. Lansera därefter med exempel i stället för paragrafer: tre konkreta fall som visar rätt och fel användning av verklig data säger mer än hela dokumentet. Och utse en person som äger frågorna efteråt, för frågorna kommer, och varje besvarad fråga är ett policytillägg som skriver sig självt. Räkna med två till fyra veckor från utkast till lanserad policy i ett bolag med 25 till 250 anställda. Det är en liten insats för att flytta AI-användningen från skuggan in i ljuset.

Vill ni ha en AI-policy som fungerar i praktiken?

Vi hjälper er ta fram policy, verktygslista och utbildning som en del av en bredare AI-strategi, så att reglerna hänger ihop med det ni faktiskt ska använda AI till. Vi gör det tillsammans med era medarbetare, on-site från Stockholm eller på distans i hela Sverige. Boka ett samtal så berättar vi hur andra i er storlek har gjort.