Så skriver ni en AI-policy

En AI-policy är ett kort dokument som säger vilka AI-verktyg medarbetarna får använda i jobbet, vad de får lägga in i dem och vad AI aldrig får användas till. I sin enklaste form räknar den upp de godkända verktygen, säger att inga andra får användas och slår fast vad som absolut inte får göras med dem. Behovet syns i Internetstiftelsens undersökning från september 2026, där tre av tio förvärvsarbetande inte visste om arbetsgivaren tillät dem att använda AI.

Längst ner finns en mall för en AI-policy som ni kan kopiera eller ladda ner som Word-fil.

Vad ska en AI-policy innehålla?

En AI-policy ska svara på vilka AI-verktyg som är godkända, vilken information som får läggas in i vilket verktyg, vad AI får användas till och vem medarbetarna frågar när de är osäkra. Ju enklare svaren är att förstå, desto större är chansen att de följs. De flesta policyer behöver de här delarna:

• Godkända verktyg. Vilka AI-verktyg som får användas i arbetet och med vilka konton.
• Information. Vad som får läggas in i varje godkänt verktyg.
• Vad AI får göra. Vad som får göras fritt, vad som ska kontrolleras och vad AI aldrig får användas till.
• Kopplingar och agenter. Vem som godkänner att AI kopplas till andra system och vad som gäller för agenter som medarbetarna bygger.
• Ansvar. Att den som använder AI ansvarar för resultatet och vem som är AI-ansvarig, alltså den medarbetarna frågar och säger till när något har blivit fel.
• Märkning. När bilder, ljud och video som skapats med AI ska märkas.
• Utbildning och ändringar. Hur medarbetarna lär sig verktygen och policyn och hur den hålls aktuell.

Större organisationer delar ibland upp det här i två dokument. Myndigheten för digital förvaltning, Digg, har en kort policy som slår fast hållningen och en riktlinje som gör den konkret och gäller ett år från beslutet. Några av våra kunder gör likadant och låter ledningen eller styrelsen besluta om en policy som ska hålla över tid, medan riktlinjerna för AI-användningen uppdateras när verktygen ändras. Ett mindre företag klarar sig ofta med ett enda dokument som uppdateras vid behov.

Får man använda AI på jobbet?

Ja, med de AI-verktyg som arbetsgivaren har godkänt, så AI-policyn ska nämna dem vid namn. I Internetstiftelsens undersökning från september 2026 visste över hälften av de anställda i arbetaryrken inte om de fick använda AI, jämfört med ungefär var sjätte tjänsteman.

Godkännandet gäller också kontot, så medarbetarna loggar in med jobbkontot eller i företagets arbetsyta. Då är det företaget som har avtalet med leverantören och kontrollen över kontona. I Copilot med jobbkontot tränar Microsoft inte sina modeller på det som läggs in. Detsamma gäller Gemini i Google Workspace och företagskontona ChatGPT Business och Claude Team. På privata konton i ChatGPT och Claude får leverantören träna på innehållet om inte användaren själv stänger av det. Vad de olika licenserna ger går vi igenom i våra artiklar om ChatGPT för företag och Copilot-licenser.

Skriv också ut att förbudet mot andra AI-verktyg gäller AI-funktioner i andra program och tjänster, till exempel sådana som översätter text eller antecknar i möten, eftersom de annars lätt glöms bort. AI som är inbyggd i system ni redan använder, som affärssystemet, kan i stället stå med bland de godkända verktygen.

Skugg-AI uppstår när de godkända verktygen inte räcker

Skugg-AI, på engelska shadow AI, är när medarbetare använder AI-verktyg som arbetsgivaren inte har godkänt, oftast med privata konton. Det växer fram när de godkända verktygen inte räcker till det medarbetarna behöver och är ett stort problem hos många av företagen vi utbildar. Ett vanligt exempel är ett företag som har valt Copilot för att det är säkert, medan de som programmerar eller arbetar kreativt känner sig begränsade och fortsätter med ChatGPT eller Claude på egen hand.

Att bara förbjuda andra verktyg räcker sällan. I en global studie från KPMG och University of Melbourne från 2025 hade två av tre AI-användare på arbetsplatser där AI var förbjudet ändå lagt in känslig företagsinformation eller upphovsrättsskyddat material i fritt tillgängliga AI-verktyg. Forskarnas slutsats är att rena förbud kan vara verkningslösa och att en policy inte räcker utan tydlig vägledning och utbildning.

Skugg-AI löses bättre genom att erbjuda de verktyg medarbetarna har nytta av, så långt det är rimligt. Fortsätter medarbetarna ändå att använda andra verktyg är det dags att se över vilka verktyg som godkänns, i vilka sammanhang och för vem. För ett företag som har valt Copilot kan det betyda att de som programmerar eller arbetar kreativt får ChatGPT eller Claude med ett företagskonto på jobbmejlen, om företaget bedömer verktyget som tillräckligt säkert.

Ett mellanläge som ibland föreslås är att privata konton får användas till sådant som redan är offentligt. Det håller dåligt, eftersom gränsen mellan offentligt och internt är svår att dra mitt i en uppgift. En dörr som policyn öppnar på glänt blir därför lätt vidöppen. Det som hamnar i ett privat konto ligger dessutom utanför företagets kontroll, också när medarbetaren har slutat. Integritetsskyddsmyndigheten, IMY, råder arbetsgivare att tydliggöra att AI-tjänster för privat bruk inte får användas i arbetet utan godkännande och ett personuppgiftsbiträdesavtal, alltså ett avtal om hur leverantören får hantera personuppgifter åt företaget. Hos de stora leverantörerna ingår det avtalet i villkoren för företagskonton, men inte för privata konton.

Vilken information får man lägga in i AI?

Vilken information som får läggas in beror på verktyget, så policyn bör ge varje godkänt verktyg sin egen gräns i stället för en regel som gäller alla. Ett AI-verktyg som ingår i den miljö där informationen redan finns, som Copilot i Microsoft 365 eller Gemini i Google Workspace, kan få hantera samma information som miljön. ChatGPT och Claude är externa system, så för dem avgör ni själva var gränsen går. Ett vanligt fel i de policyer vi läser är breda förbud som drar samma gräns för verktyg som hanterar informationen helt olika.

Så här kan gränserna se ut för ett företag som har godkänt Copilot och ChatGPT Business. Alla andra AI-verktyg är förbjudna i arbetet, så för dem är svaret nej även när informationen är offentlig. Gränserna gäller allt som läggs in i verktyget, både det som skrivs i chatten och det som bifogas.

Information	Copilot	ChatGPT Business	Övriga verktyg
Offentlig information som det som står på er webbplats	Ja	Ja	Nej
Intern information som presenta­tioner, rutin­beskrivningar och vanliga person­uppgifter	Ja	Ja	Nej
Extra känslig information som känsliga person­uppgifter, avtal och affärs­hemligheter	Ja	Nej	Nej
Lösenord och inloggnings­uppgifter	Nej	Nej	Nej

Copilot följer samma gräns som SharePoint

Använder ni Microsoft 365 är en enkel tumregel att allt ni redan får ha i SharePoint och OneDrive också får läggas in i Copilot, så länge ni använder jobbkontot. Microsoft skyddar det som läggs in i Copilot med samma avtal som mejlen i Exchange och filerna i SharePoint. Litar ni på att Microsoft tar hand om informationen i SharePoint och OneDrive är det därför rimligt att låta Copilot hantera samma information.

Tumregeln gäller både Copilot med licens och Copilot Chat, som ingår för den som har Microsoft 365 med jobbkonto. Skillnaden är att Copilot Chat främst arbetar med det du själv lägger in, utom i Outlook där den också når dina mejl och din kalender. Copilot med licens söker dessutom igenom mejl, chattar och dokument som du har tillgång till när den svarar. Med en licens går det alltså knappt att följa en regel som säger att information från SharePoint inte får användas i Copilot.

Copilot visar bara det som användaren har behörighet till, så om för många har tillgång till en mapp är det behörigheterna som behöver ses över. Personuppgifter får ändå bara användas för samma syften som annars, så det blir inte tillåtet att be Copilot sammanställa allt som finns om en kollega bara för att mejlen och dokumenten ligger där.

Ett företag vi arbetar med hade en policy där Copilot var det enda godkända verktyget. Samtidigt fick känslig information om kunder, avtal och ekonomi aldrig läggas in i ett AI-verktyg, så policyn stängde ute det godkända verktyget från en stor del av vardagsarbetet. I den nya versionen gällde förbudet fritt tillgängliga AI-verktyg, medan det som redan fanns i företagets Microsoft-tjänster fick användas i Copilot enligt samma regler som annars gällde för informationen.

Copilot kan också använda Anthropics Claude-modeller, men då behandlas informationen utanför Microsofts EU-datagräns, alltså utanför det område där Microsoft har lovat att europeiska kunders information ska stanna. Microsofts avtal gäller ändå, utom för vissa Claude-modeller där Anthropic själv sparar informationen och som alltid måste slås på separat. Det är företaget och inte den enskilda användaren som bestämmer om Claude-modellerna ska vara påslagna. Bedömer ni att er information får behandlas utanför EU-datagränsen slår den som administrerar Microsoft 365 på dem för alla eller för de grupper ni väljer, annars stänger den av dem. När detta skrivs i oktober 2026 är de påslagna från början i Word, Excel och PowerPoint för organisationer i EU som skaffade Microsoft 365 efter den 25 mars 2026, så kontrollera inställningarna oavsett vad ni bestämmer.

ChatGPT och Claude är externa system oavsett licens

Det som läggs in i ChatGPT och Claude lämnar företagets egen miljö oavsett licens. Det betyder inte att det sprids, men ni behöver själva bedöma vilken information som får skickas dit. Bedömningen handlar om vad leverantören får göra med informationen, var den lagras och vad era avtal med kunder säger om att lämna deras information till andra leverantörer.

Det viktigaste är att verktyget används med ett företagskonto, där leverantören inte tränar på innehållet och där ett personuppgiftsbiträdesavtal ingår i villkoren. Har ni både Copilot och ett externt verktyg är det rimligt att låta bara Copilot hantera information som är extra känslig men ändå får ligga i SharePoint, som känsliga personuppgifter, avtal och affärshemligheter. Mallen längre ner visar ett sätt att dra gränsen.

Personuppgifter och PUB-avtal

För personuppgifter rekommenderar IMY att policyn säger om och när de får användas. Vanliga personuppgifter som namn och kontaktuppgifter hör till den interna informationen i tabellen. Känsliga personuppgifter är det som dataskyddsförordningen, GDPR, kallar särskilda kategorier av personuppgifter, bland annat uppgifter om hälsa och facktillhörighet. De hör till den extra känsliga informationen. Ska sådana uppgifter hanteras med AI behöver ni först ta reda på vad GDPR kräver, eftersom det kan behövas en konsekvensbedömning, alltså en skriftlig genomgång av riskerna för dem som uppgifterna gäller.

Ett personuppgiftsbiträdesavtal, eller PUB-avtal, krävs när en leverantör behandlar personuppgifter åt företaget. Med företagslicenserna hos Microsoft, Google, OpenAI och Anthropic ingår det i villkoren, så ni behöver inte teckna något eget avtal. För andra AI-verktyg, som AI-funktionerna i ett affärssystem, kontrollerar ni att avtalet finns innan ni godkänner dem. Behandlar ni dessutom personuppgifter åt era kunder, som en redovisningsbyrå gör med lönerna, är ni själva personuppgiftsbiträde. Då får uppgifterna bara läggas in i AI-verktyg som ert avtal med kunden tillåter, antingen för att kunden har godkänt leverantören eller för att ni har informerat kunden i förväg så som avtalet kräver. En bra vana är att ta bort namn och andra personuppgifter när arbetet går att göra utan dem.

Tre nivåer för vad AI får göra i arbetet

En AI-policy kan beskriva vad AI får användas till i tre nivåer, oavsett verktyg. Det mesta får göras fritt, men siffror, fakta och råd ska kontrolleras innan de används. Vissa saker får AI aldrig göra, som att bedöma människor eller skicka vidare eller publicera något som ingen människa har granskat. Så här kan nivåerna se ut i tre vanliga uppgifter.

Visa uppgiften

Offert Rekrytering Inlägg på webben

• Använd fritt. Första utkastet, språket och översättningen.
• Kontrollera först. Priserna och leveransvillkoren.
• Aldrig skicka offerten ogranskad.

AI Använd fritt Första utkastetSpråketÖversättningen

Du Kontrollera först PrisernaLeveransvillkoren

Kunden

Aldrig skicka offerten ogranskad

• Använd fritt. Platsannonsen och intervjufrågorna.
• Kontrollera först. Det lagen säger om provanställning.
• Aldrig sortera eller jämföra sökande.

AI Använd fritt PlatsannonsenIntervjufrågorna

Du Kontrollera först Det lagen säger om provanställning

Urvalet

Aldrig sortera eller jämföra sökande

• Använd fritt. Idéer, utkast och rubriker.
• Kontrollera först. Fakta och siffror.
• Aldrig publicera inlägget ogranskat.

AI Använd fritt IdéerUtkastRubriker

Du Kontrollera först Fakta och siffror

Webben

Aldrig publicera inlägget ogranskat

Kontrollen behövs eftersom AI låter lika säker när den har fel som när den har rätt, så fel i siffror och påståenden är svåra att upptäcka för den som inte letar efter dem. En platsannons eller frågorna inför ett utvecklingssamtal går bra att ta fram med AI, men att låta AI sortera eller jämföra sökande är att bedöma människor.

Nivåerna ändrar inte vilken information som får läggas in i vilket verktyg. Att översätta får göras fritt, men ett kundavtal får ändå bara översättas i det verktyg som får hantera avtal.

Den som använder AI ansvarar för resultatet, precis som när arbetet görs utan AI. Därför ska en människa ha granskat allt som AI har tagit fram innan det går vidare, vare sig det är ett mejl till en kund eller leverantör, en rapport till en kollega eller ett inlägg på webben. Det betyder inte att allt måste kontrolleras lika noga som siffrorna, utan att någon har gått igenom det och kan stå för det.

Regler för AI-agenter och kopplingar

En AI-policy bör säga vem som godkänner nya kopplingar mellan AI-verktyg och andra system, till exempel den som sköter er IT. Policyn bör också säga vad som gäller för de AI-agenter som medarbetarna bygger, alltså AI som är förberedd för en viss uppgift med egna instruktioner och dokument. En koppling låter AI:n läsa i ett annat system, som SharePoint, mejlen eller kundregistret, när den svarar. En utförande agent kan dessutom göra något i systemet, som att skapa ett mejlutkast eller boka ett möte.

Visa chatten

Chatten Med en koppling Utförande agent

Ny chatt

Leveransen vecka 43Mejl från Anna Svara Anna på mejlet om leveransen

Här är ett förslag på svar som du kan kopiera till Outlook. Hej Anna, tack för ditt mejl. Jag kollar datumet och återkommer under dagen.

Svara Anna på mejlet om leveransen

Läste i era system Mejlet från Anna Leveranser.xlsx Här är ett förslag på svar som du kan kopiera till Outlook. Hej Anna, leveransen lämnar vårt lager på torsdag och är hos er på fredag.

Svara Anna på mejlet om leveransen

Läste i era system Mejlet från Anna Leveranser.xlsx Gjorde i era system Skapade ett utkast till Anna Utkastet ligger i Outlook. Läs igenom det innan du skickar.

Skriv till AI:n

Vad AI:n läser och gör

Läge	Vad AI:n läser	Vad AI:n gör
Chatten och agenter som svarar eller skriver texter	Det du skriver och bifogar samt dokumenten en agent har fått som kunskap, som Annas mejl när du bifogar det	Svarar i chatten med ett förslag som du kopierar
Med en koppling	Dessutom mejl, filer och kundregister i systemen den är kopplad till, som mejlet från Anna och leveranslistan	Svarar i chatten
Utförande agent eller en koppling som kan ändra	Samma som med en koppling	Gör dessutom saker i era system, som att lägga ett utkast till Anna i Outlook eller boka ett möte

En koppling bör bara godkännas om allt den når också får läggas in i verktyget, eftersom en koppling från ChatGPT till SharePoint annars ger ChatGPT tillgång till information som bara Copilot får hantera. ChatGPT kan läsa allt i SharePoint och OneDrive som du har behörighet till, också filerna i varje team i Teams där du är med. Kopplingen går inte att begränsa till en enskild mapp, så räkna med att den når allt du når.

För agenter som svarar på frågor eller skriver texter i chatten gäller samma regler som för chatten, så de dokument agenten har fått som kunskap måste också få läggas in i verktyget. En utförande agent kan däremot göra sådant som är svårt att ångra, som att skicka ett mejl till fel person. Låt därför både utförande agenter och kopplingar som kan ändra något förbereda utan att slutföra, som att skapa ett utkast som en människa granskar innan det skickas.

Bygger medarbetarna egna agenter bör de testa dem ordentligt innan de delar dem med kollegor, så att agenterna inte når eller visar mer än de ska.

Kräver AI-förordningen en AI-policy?

Nej. EU:s AI-förordning, på engelska AI Act, kräver inget dokument som heter AI-policy. Den ställer däremot krav som berör alla företag vars medarbetare använder AI i arbetet, också när det bara handlar om verktyg som ChatGPT och Copilot. Kravet på AI-kunnighet gäller alla sådana företag, medan de övriga kraven gäller när ni använder AI till det de handlar om, som bilder eller rekrytering. Policyn är ett naturligt ställe att samla era regler för dem. De här kraven påverkar policyn när detta skrivs i oktober 2026:

• AI-kunnighet. Enligt artikel 4 ska företaget vidta åtgärder som främjar medarbetarnas AI-kunnighet, alltså att de förstår verktygen och riskerna. Sedan kravet mildrades i juli 2026 behöver företaget inte se till att varje medarbetare når en viss kunskapsnivå. Något certifikat har heller aldrig krävts. Vi har skrivit mer om kravet i Vad är AI-mognad?
• Förbud. Vissa användningar är förbjudna sedan februari 2025, bland annat AI som läser av medarbetares känslor ur till exempel ansiktsuttryck eller röst på arbetsplatsen.
• Märkning. Bilder, ljud och video som skapats eller ändrats med AI ska märkas när de liknar verkliga personer, föremål, platser eller händelser och kan tas för äkta. AI-genererad text som publiceras för att informera allmänheten i frågor av allmänt intresse ska också märkas, utom när en människa har granskat den och någon står som ansvarig för publiceringen. Hur regeln läses går vi igenom i Måste man ange att en text är skriven med AI?
• Beslut om anställda. Som högrisk räknas bland annat AI som är avsedd att sålla och bedöma sökande, fatta beslut om anställningsvillkor, befordran och uppsägning, fördela arbetsuppgifter utifrån beteende eller personliga egenskaper eller övervaka och bedöma arbetsprestationer. De reglerna börjar gälla den 2 december 2027 och kräver bland annat att arbetstagarnas representanter och de berörda medarbetarna informeras innan systemet används. Den som själv låter ChatGPT eller Copilot sålla ansökningar riskerar dessutom att räknas som leverantör av ett högrisksystem, med betydligt tyngre krav.

Enligt EU-kommissionen ska nationella myndigheter utöva tillsyn över kravet på AI-kunnighet från och med augusti 2026. Regeringen har gett bland andra Post- och telestyrelsen och IMY uppdraget att vara tillsynsmyndigheter enligt förordningen, men ingen myndighet har pekats ut för AI-kunnigheten och ingen svensk lag om sanktioner har beslutats.

I mallen längre ner hamnar AI-kunnigheten under ”Utbildning och ändringar”, märkningen under ”Bilder, ljud och video” och besluten om anställda bland det AI aldrig får göra.

Så tar ni fram och inför en AI-policy

En AI-policy tas bäst fram av någon som förstår hur verktygen fungerar och någon med ett säkerhetsperspektiv, medan ledningen lyssnar, ställer frågor och fattar beslutet. Med de personerna på plats går den ofta att fastställa på en till två veckor, utöver den tid en förhandling med facket tar. Ett sätt att lägga upp arbetet är det här:

1. 01

   Ta reda på vilka verktyg som används

   Fråga efter alla AI-verktyg, också de som ingen har godkänt, eftersom de visar vad medarbetarna behöver.

2. 02

   Bestäm vilka verktyg som ska vara godkända

   Bestäm samtidigt vilka konton som gäller och om några verktyg bara behövs för vissa medarbetare.

3. 03

   Se över vem som har tillgång till vad

   Ett AI-verktyg som når era filer och mejl hittar allt som användaren har behörighet till. Se därför över behörigheterna i de system som verktyget kommer åt innan det tas i bruk.

4. 04

   Dra gränserna

   Bestäm vilken information som får läggas in i vilket verktyg och vad AI får användas till. Ska känsliga personuppgifter få hanteras med AI tar ni först reda på vad GDPR kräver.

5. 05

   Skriv policyn så kort som möjligt

   Ta bara med det som medarbetarna behöver för att veta vad som gäller. Mallen längre ner ryms på ett par sidor. Skriv ut vem som är AI-ansvarig, till exempel den som sköter er IT, i stället för att hänvisa till rutiner som kanske inte finns. Ett företag vi arbetar med bytte ut ”våra rutiner för incidenthantering” mot sin IT-ansvarige innan de fastställde policyn.

6. 06

   Förhandla med facket om ni har kollektivavtal

   Enligt medbestämmandelagen, MBL, ska en arbetsgivare med kollektivavtal förhandla innan den beslutar om viktigare förändringar av verksamheten eller av arbetsförhållandena. Nya AI-verktyg och en policy som ändrar hur medarbetarna arbetar kan vara en sådan förändring, så det säkraste är att förhandla klart innan policyn fastställs.

7. 07

   Låt ledningen fastställa policyn

   Skriv in i policyn vem som har beslutat den och från vilket datum den gäller.

8. 08

   Gå igenom policyn med alla medarbetare

   Samla medarbetarna till ett kort möte och förklara varje regel med en situation där den blir aktuell. Regeln om att inte lägga in fler personuppgifter än arbetet kräver blir begriplig först när någon visar vad den betyder för ett kundmejl som ska översättas.

9. 09

   Uppdatera policyn när något ändras

   Ändra den när ni byter eller lägger till verktyg och se över den minst en gång om året. En policy som är lätt att förstå gör också ändringarna lätta att förstå, så berätta för alla vad som är nytt och varför.

När vi utbildar ett företag som har en AI-policy lägger vi in de viktigaste punkterna i utbildningen och förklarar verktygen utifrån dem. Ett sätt att göra policyn lätt att fråga om efteråt är en agent i Copilot, ChatGPT eller Gemini som svarar utifrån dokumentet.

Mall och exempel på en AI-policy

Mallen nedan, som går att kopiera eller ladda ner som Word-fil, är en kort AI-policy för ett företag som har godkänt Copilot och ChatGPT Business. Det som står inom hakparentes är exempel på val ni gör själva, men resten går att använda som det står. Har ni bara ett av verktygen stryker ni det andra och drar gränsen för det ni har. Använder ni Google Workspace byter ni Copilot mot Gemini och SharePoint mot Google Drive.

Ett sätt att komma igång är att låta AI ställa frågor och fylla i mallen utifrån era svar. Kopiera prompten och skicka den i ett AI-verktyg ni använder med jobbkontot, som Copilot eller ChatGPT Business.

Läs artikeln https://scribill.se/ai-guider/ai-policy/ och mallen för en AI-policy längst ner på sidan. Kan du inte öppna sidan säger du det, så klistrar jag in mallen. Intervjua mig sedan bara om det som mallen behöver, i minst två omgångar med flera frågor i varje, innan du skriver något. Fyll därefter i mallen utifrån mina svar och markera det du är osäker på i stället för att hitta på något om vårt företag.

Vill ni ha hjälp att välja verktyg och dra gränserna för just er verksamhet? Läs om hur vi hjälper företag med AI-strategi och AI-policy.