AI-policy för företag: så skriver ni riktlinjer på en sida (med mall)

I de flesta organisationer används AI redan, med eller utan beslut. Någon skriver utkast i ett chattverktyg, någon annan klistrar in kundmejl för att få en sammanfattning, en tredje genererar bilder till en kampanj. Det som saknas är ofta en gemensam utgångspunkt: vad är okej, vad är inte okej och vem ansvarar för vad?

En AI-policy behöver inte vara ett långt styrdokument. För ett litet företag räcker en sida som alla faktiskt läser. Den här guiden visar vad den ska innehålla, hur ni inför den och ger en mall.

Varför en policy?

Fyra risker som en policy minskar:

1. Felaktigheter. AI kan skriva övertygande om saker som inte stämmer. Utan regler om granskning går fel ut i ert namn. Se Arbetsflöde för AI-skrivna texter.
2. Läckor. Det som skrivs in i ett verktyg kan lagras och användas av leverantören, beroende på villkor. Kunduppgifter och affärshemligheter ska inte hamna där av misstag.
3. Regelbrott. Personuppgifter, upphovsrätt, märkning av AI-genererad text och marknadsföringsregler gäller även när AI skrivit texten. Se Regler för digital kommunikation.
4. Oklart ansvar och ojämn kvalitet. Utan en gemensam linje låter allt olika och ingen vet vem som godkänt vad.

Det finns också en positiv sida: tydliga regler gör att fler vågar använda verktygen, eftersom de vet var gränsen går.

Förordningen om AI (2024/1689) innehåller dessutom en bestämmelse om AI-kunskap: den som använder AI-system ska vidta åtgärder för att stödja att personalen har tillräckliga kunskaper. Den har gällt sedan februari 2025, och formuleringen mjukades upp genom den så kallade digitala omnibusen 2026, men kravet finns kvar i någon form. Kontrollera den aktuella lydelsen. En policy och en kort utbildning är ett enkelt sätt att visa att ni tar det på allvar.

Vad en bra policy innehåller

Håll den kort och konkret. Tio punkter täcker det mesta.

1. Syfte och omfattning

Vem gäller den för (alla medarbetare, konsulter, byråer) och vad omfattas (text, bild, ljud, kod, analys)? Skriv också att den uppdateras regelbundet.

2. Vad vi gärna använder AI till

Beskriv de användningar som är okej, så att den som är osäker vet vad som är tillåtet. Exempel för kommunikation: idéer och vinklar, första utkast som granskas, omformuleringar, sammanfattningar av eget material och korrekturläsning. Se AI i marknadsföring för vad som fungerar.

3. Vad vi aldrig matar in

Det här är policyns viktigaste del. Lista tydligt:

• personuppgifter om kunder, medarbetare och andra,
• konfidentiell information: avtal, priser, affärsplaner, ej offentliggjorda resultat,
• uppgifter som omfattas av sekretess,
• lösenord och nycklar,
• material ni inte har rätt att dela.

Förtydliga att det gäller även "bara en liten bit" och även i verktyg som känns privata. Om en tjänst har ett avtal som gör att uppgifter hanteras på ett godkänt sätt, kan ni skriva vilka verktyg som är godkända för vad.

4. Godkända verktyg

Lista de verktyg ni får använda, vem som beslutar om nya och hur man ansöker. Det är lättare att hålla koll på en lista än att förbjuda allt. Kontrollera för varje verktyg var data lagras, hur den används, om den används för träning och vilket avtal som gäller. Se även Regler för digital kommunikation om personuppgiftsbiträdesavtal.

5. Människan granskar och ansvarar

Skriv in den enkla regeln: AI förbereder, en människa godkänner. Den som publicerar ansvarar för innehållet, oavsett hur det tagits fram. Ange vad som alltid ska kontrolleras: fakta, siffror, lagar, citat, påståenden om er verksamhet, namn och allt som rör hälsa, ekonomi, juridik och säkerhet. Se AI i kommunikationen: vad måste en människa godkänna?.

6. Märkning och öppenhet

Bestäm när AI-användning ska anges. Text som är AI-genererad och publiceras för att informera allmänheten om frågor av allmänintresse ska som huvudregel märkas, om den inte genomgått mänsklig granskning och någon har redaktionellt ansvar. Bilder och filmer som kan misstas för verkliga personer eller händelser har egna regler. Chattbotar ska göra det tydligt att användaren pratar med en AI. Ange också om ni informerar kunder eller samarbetspartners om att AI används.

7. Källkritik och upphovsrätt

• Behandla AI-svar som ett förslag, inte en källa. Kontrollera mot en primär källa.
• Använd inte AI för att efterlikna en namngiven upphovsperson eller ett skyddat varumärke.
• Kontrollera vilka rättigheter ni har till det som genereras, enligt verktygets villkor.
• Hitta aldrig på omdömen, kunder, citat eller resultat. Det är vilseledande marknadsföring. Se Vilseledande marknadsföring och reklam.

8. Dokumentation

Bestäm vad som sparas: att innehåll granskats, av vem och när. Det gör att ni kan visa hur ni arbetar, och det är ert bevis om någon frågar.

9. Utbildning och stöd

Ange att alla som använder AI får en kort introduktion, vem de frågar när de är osäkra, och att det är okej att fråga. Policyn fungerar bara om människor vågar höra av sig.

10. Hantering av fel och incidenter

Om något går fel, till exempel att känslig information matats in eller att felaktigt innehåll publicerats: vem ska informeras, och vad görs? Skriv "säg till direkt, ingen blir ifrågasatt för att den rapporterar".

Mall att kopiera

AI-policy för [företaget] Gäller från [datum]. Ansvarig: [namn]. Granskas varje [halvår].

1. Syfte och omfattning. Vi vill använda AI för att spara tid och förbättra vårt arbete, utan att riskera felaktigheter, läckor eller brott mot regler. Policyn gäller alla som arbetar för oss, inklusive konsulter och byråer.

2. Det här använder vi AI till. [Idéer och vinklar, första utkast som granskas, omformulering, sammanfattning av eget material, korrekturläsning.]

3. Det här matar vi aldrig in. Personuppgifter. Kund- och avtalsuppgifter. Konfidentiell eller ej offentliggjord information. Lösenord. Material vi inte har rätt att dela.

4. Godkända verktyg. [Lista.] Nya verktyg godkänns av [roll]. Fråga innan ni provar.

5. En människa granskar och ansvarar. AI förbereder, en människa godkänner. Fakta, siffror, lagar, citat och påståenden om oss kontrolleras mot källa innan något publiceras. Den som publicerar ansvarar.

6. Märkning. [Vi anger att texten är AI-genererad när den inte granskats av en människa. Bilder som kan förväxlas med verkliga personer eller händelser märks.]

7. Källkritik och rättigheter. AI-svar är förslag, inte källor. Vi hittar aldrig på omdömen, kunder, citat eller resultat. Vi efterliknar inte namngivna upphovspersoner.

8. Dokumentation. Vi sparar vem som granskat vad och när, för [innehållstyper].

9. Utbildning. Alla som använder AI får en kort introduktion. Frågor går till [namn].

10. Om något går fel. Berätta direkt för [namn]. Ingen ifrågasätts för att den rapporterar.

Anpassa det till er verksamhet och ta in juridisk eller dataskyddskompetens för punkterna om personuppgifter, upphovsrätt och märkning.

Så får ni den att användas

1. Skriv den tillsammans med dem som använder AI. Fråga vad de gör idag och vad de är osäkra på. En policy som bara ledningen skrivit upplevs som ett förbud och kringgås.
2. Håll den kort. En sida läses. Tio sidor gör det inte.
3. Gör det lätt att göra rätt. Lista godkända verktyg, ha färdiga brief-mallar och en tydlig väg att fråga.
4. Utbilda. Trettio till sextio minuter räcker för grunderna: vad som får matas in, hur ni granskar och hur ni märker.
5. Visa exempel. Ett bra och ett dåligt exempel gör mer än en paragraf.
6. Följ upp. Fråga var tredje till sjätte månad vad som fungerat och vad som saknas, och uppdatera.
7. Börja med ledningen. Om cheferna använder verktyg utanför policyn följer ingen annan den.

Vanliga misstag

• Förbud mot allt. Då används AI ändå, men i det tysta.
• Inga regler alls. Då avgör varje person själv.
• En policy utan ägare. Någon ska uppdatera den och svara på frågor.
• Att glömma byråer och konsulter. Era leverantörer använder också AI. Ställ krav i avtalen.
• Att glömma personuppgifter. Det är det vanligaste och mest allvarliga felet.
• Att inte utbilda. Reglerna hjälper inte om ingen vet om dem.
• Att aldrig revidera. Verktyg och regler förändras snabbt.

Vanliga frågor