AI-policy för företag: vad den ska innehålla, med en mall

En AI-policy är företagets riktlinjer för hur medarbetarna får använda AI i arbetet. Den ska svara på vilka verktyg som är godkända, vilken data som får användas i dem, vem som ansvarar för vad och när en människa måste granska resultatet. En bra AI-policy är kort och skriven så att alla förstår den. Den här guiden går igenom vad policyn ska innehålla, ger en mall att utgå från och visar hur ni inför den så att den följs.

Kort svar

• Syfte och omfattning: varför policyn finns och vem den gäller.
• Godkända verktyg: vilka AI-verktyg som får användas, och hur nya godkänns.
• Data: vilken information som får användas i vilka verktyg.
• Ansvar och granskning: vem som ansvarar för resultatet, och när en människa måste granska.
• Utbildning, incidenter och uppföljning: hur medarbetarna lär sig, vad som händer när något går fel och hur ofta policyn ses över.

Varför behöver företag en AI-policy?

I de flesta företag använder medarbetarna redan AI-verktyg, ofta på eget initiativ och med privata konton. Det är i grunden positivt, men utan riktlinjer uppstår tre risker:

• Data hamnar fel. Kunduppgifter, avtal eller ekonomisk information klistras in i verktyg där företaget inte vet hur datan hanteras.
• Ingen tar ansvar för resultatet. AI kan ha fel, och utan en regel om granskning kan felaktiga uppgifter nå kunder eller beslut.
• Alla gör olika. Vissa vågar inte använda AI alls, andra använder den till allt. Nyttan blir ojämn och riskerna svåra att överblicka.

Det finns också regelverk att ta hänsyn till. GDPR gäller för personuppgifter oavsett verktyg, och EU:s AI-förordning ställer bland annat krav på att personal som använder AI-system har tillräcklig kunskap om dem. En AI-policy är ett enkelt sätt att visa hur företaget hanterar det.

Vad ska en AI-policy innehålla?

1. Syfte och omfattning. Varför policyn finns, vilka den gäller (anställda, konsulter) och vilken typ av AI den omfattar.
2. Godkända verktyg. En lista över de AI-verktyg som får användas i arbetet, gärna med företagskonton, och hur medarbetare föreslår nya.
3. Dataklassning. Vilken information som får användas i vilka verktyg. Se indelningen nedan.
4. Tillåten och otillåten användning. Exempel på vad AI gärna får användas till, och vad den inte får användas till.
5. Mänsklig granskning. När en människa måste kontrollera resultatet innan det används, till exempel innan något skickas till en kund eller ligger till grund för ett beslut.
6. Öppenhet. När det ska framgå att AI har använts, till exempel i texter till kunder eller i AI-agenter som svarar på ärenden.
7. Ansvar. Vem som äger policyn, vem som godkänner nya verktyg och vem medarbetarna frågar.
8. Utbildning. Hur medarbetarna lär sig använda AI rätt och förstår policyn.
9. Incidenter och uppföljning. Vad medarbetarna gör om något går fel, och hur ofta policyn ses över.

Dela in datan i nivåer

Den svåraste frågan för de flesta är vilken information som får användas var. En enkel indelning i tre nivåer räcker ofta:

Mall: AI-policy

Använd mallen som utgångspunkt och anpassa den efter er verksamhet. Håll den kort.

1. Syfte och omfattning. Vi vill att våra medarbetare använder AI för att arbeta smartare, på ett sätt som skyddar våra kunder, vår data och vårt rykte. Policyn gäller alla anställda och konsulter som arbetar för oss.

2. Godkända verktyg. I arbetet använder vi endast de AI-verktyg som finns på vår lista över godkända verktyg, med företagets konton. Vill du använda ett nytt verktyg, fråga [ansvarig].

3. Data. Vi följer vår indelning i öppen, intern och känslig information. Känslig information, som personuppgifter, avtal och ekonomi, används aldrig i AI-verktyg som inte är särskilt godkända för det.

4. Tillåten användning. AI får gärna användas för att skriva utkast, sammanfatta, analysera, översätta och få idéer. AI får inte användas för att fatta beslut om personer, som anställning eller kreditbedömning, utan mänsklig prövning.

5. Granskning. Du ansvarar alltid för det du använder. Kontrollera fakta, siffror och källor innan något skickas till en kund, publiceras eller används som underlag för beslut.

6. Öppenhet. När en kund kommunicerar med en AI-lösning, till exempel en AI-agent som besvarar ärenden, ska det framgå.

7. Ansvar. [Namn och roll] äger policyn, godkänner nya verktyg och svarar på frågor.

8. Utbildning. Alla nya medarbetare går igenom policyn och en kort introduktion till de godkända verktygen. Vi går igenom nyheter och lärdomar regelbundet.

9. Incidenter och uppföljning. Har känslig information hamnat i fel verktyg, eller har AI lett till ett fel som nått en kund, meddela [ansvarig] direkt. Policyn ses över minst en gång per halvår.

Mallen är vägledning, inte juridisk rådgivning. Arbetar ni med särskilt känslig data eller använder AI för beslut som påverkar personer bör ni stämma av policyn med en jurist.

Så inför ni policyn så att den följs

• Börja med att ta reda på vad som används i dag. Fråga medarbetarna vilka AI-verktyg de redan använder och till vad. Policyn blir bättre, och mer accepterad, om den utgår från verkligheten.
• Ge ett bra alternativ. En policy som bara förbjuder leder till att folk använder AI i smyg. Erbjud godkända verktyg med företagskonton.
• Gå igenom den tillsammans. En kort genomgång med exempel från er egen vardag gör mer än ett dokument på intranätet.
• Följ upp. Verktygen förändras snabbt. Se över listan och policyn minst en gång per halvår.

När behöver ni hjälp?

Många kan skriva en första AI-policy själva utifrån mallen. Hjälp utifrån gör mest nytta när AI ska användas med känslig data, byggas in i era system eller i AI-agenter som agerar på egen hand. Då hänger policyn ihop med behörigheter, loggning och mänskliga kontrollpunkter i själva lösningarna. En AI-konsult kan hjälpa er att ta fram riktlinjer och styrning som en del av en nulägesbedömning. Läs också Så kommer ni i gång med AI i företaget.

Vanliga frågor

Vad är en AI-policy?

En AI-policy är företagets riktlinjer för hur medarbetarna får använda AI i arbetet: vilka verktyg som är godkända, vilken data som får användas, vem som ansvarar och när en människa måste granska resultatet.

Behöver vårt företag en AI-policy?

Om medarbetarna använder AI-verktyg i arbetet, vilket de flesta gör, är en AI-policy ett enkelt sätt att skydda kunddata och företagets information och se till att alla använder AI på samma sätt. Den behöver inte vara lång.

Vad ska en AI-policy innehålla?

Syfte och omfattning, godkända verktyg, dataklassning, tillåten och otillåten användning, mänsklig granskning, öppenhet, ansvar, utbildning samt incidenter och uppföljning.

Får medarbetare använda ChatGPT och andra AI-verktyg på jobbet?

Det bestämmer företaget i sin AI-policy. Många tillåter godkända verktyg med företagskonton och sätter regler för vilken information som får användas i dem, i stället för att förbjuda AI helt.

Hur påverkar EU:s AI-förordning vår AI-policy?

Förordningen ställer bland annat krav på att personal som använder AI-system har tillräcklig kunskap om dem, och vissa användningsområden, till exempel AI i rekrytering, har strängare krav. En AI-policy med utbildning och tydligt ansvar är ett bra sätt att möta grundkraven. Vid användning med högre risk bör ni stämma av med en jurist.

Hur ofta ska AI-policyn uppdateras?

Minst en gång per halvår, och när ni inför nya verktyg eller börjar använda AI på nya sätt, till exempel i AI-agenter som agerar i era system.

Så går ni vidare

Börja med att fråga medarbetarna vilka AI-verktyg de använder i dag och till vad. Utgå sedan från mallen, anpassa den och gå igenom den tillsammans. Vill ni ha hjälp med riktlinjer och styrning går det bra att boka en kostnadsfri kartläggning.