Regler som medarbetarna hinner läsa före första prompten.
En AI-policy för en kommun eller ett företag är de skrivna reglerna för hur medarbetarna får använda AI i arbetet: vilka verktyg som är godkända, vilka uppgifter som aldrig får matas in, vem som ansvarar för ett AI-svar och hur användningen följs upp. Ledningen beslutar den, och den ska gå att läsa på några minuter.
Vilket arbete AI ska göra bestäms i en AI-strategi. Här går vi igenom policyn del för del, med ett exempel på rubriker och det som gäller särskilt i kommuner och myndigheter.
Skriv den så kort att alla hinner läsa den, och följ upp att de har gjort det.
Åtta delar, i den ordning de brukar skrivas. Samma frågor finns i Diggs vägledning för offentlig sektor.
Skriv varför organisationen använder AI och vilka verksamheter och personer policyn gäller, också konsulter och inhyrd personal. Skriv också vilka andra styrdokument den hänger ihop med, till exempel informationssäkerhetspolicyn och reglerna för personuppgifter.
Lista de AI-verktyg som är godkända och vem som godkänner nya. Ge exempel på båda sidor: utkast till text, sammanfattning av offentliga underlag och språkgranskning är ofta tillåtet, medan beslut om en enskild person, bedömning av en medarbetare och AI-tjänster på privata konton inte är det.
Dela in informationen i nivåer: offentlig information, intern information och information som omfattas av sekretess eller är känsliga personuppgifter. Skriv för varje nivå i vilka verktyg den får användas. Att skriva in personuppgifter i en prompt är en behandling av personuppgifter, och då gäller dataskyddsförordningen.
För en kommun eller myndighet gäller sekretessen också mot den som levererar AI-tjänsten, och det AI:n skriver kan bli en allmän handling. Hur policyn hanterar det står i avsnittet om kommuner.
Den som använder AI-system i verksamheten ska enligt AI-förordningen vidta åtgärder som främjar personalens AI-kunnighet. Skriv vilken utbildning som krävs innan någon använder AI i arbetet och hur det dokumenteras. Hur kravet ser ut står i avsnittet om artikel 4.
Den som använder ett AI-svar ansvarar för det och ska kontrollera det innan det skickas eller ligger till grund för ett beslut. Skriv också vem som äger policyn, vem som följer upp att den följs och vem medarbetarna frågar när de är osäkra.
Bestäm vad som ska sparas när AI används, var det sparas och hur länge, och när det ska framgå för en mottagare att en text har skrivits med AI. Från den 2 december 2027 kräver AI-förordningen att den som använder ett AI-system med hög risk enligt bilaga III sparar de loggar den har kontroll över i minst sex månader. För system i produkter enligt bilaga I gäller kravet från den 2 augusti 2028.
Skriv hur ett fel eller en incident rapporteras, hur nya verktyg prövas och när policyn ses över nästa gång. Verktygen ändras fort, så sätt ett datum för nästa version redan när policyn beslutas.
Offentlighetsprincipen och sekretessen gäller också när en tjänsteman använder AI.
Sekretess är ett förbud att röja uppgifter, oavsett hur det sker (3 kap. 1 § offentlighets- och sekretesslagen). En uppgift som omfattas av sekretess får inte lämnas till en leverantör av en AI-tjänst utan en bestämmelse som bryter sekretessen, och myndigheten har kvar ansvaret för skyddet. Digg beskriver ett möjligt undantag när leverantören bara bearbetar eller lagrar uppgifterna tekniskt för myndighetens räkning, och om det gäller beror på avtalet, verktygets funktion och användningen. Otillåtet röjande är brott mot tystnadsplikten enligt 20 kap. 3 § brottsbalken, och ansvaret ligger på den medarbetare som röjer uppgiften. Policyn ska därför säga i klartext vilka verktyg som är godkända för sekretessbelagd information, om något.
Enligt Digg kan prompter och indata ofta ses som utkast, medan det AI:n skriver förmodligen oftare räknas som upprättat och då blir en allmän handling som ska lämnas ut på begäran. Policyn bör säga var AI-svaren sparas, när de diarieförs som en del av ett ärende och hur de gallras enligt dokumenthanteringsplanen. Hur diariet kan skötas med AI står på sidan om diarieföring med AI.
En av de nationella riktlinjerna heter Beslut med stöd av generativ AI bör ha mänsklig kontroll. Skriv att AI får förbereda ett ärende och att en namngiven tjänsteman beslutar och ansvarar för beslutet.
Digg och IMY lanserade den 21 januari 2025 nationella riktlinjer för generativ AI för anställda i kommuner, regioner och myndigheter: 18 riktlinjer i sju områden. Den första heter Inför en AI-policy, senast uppdaterad den 3 juni 2026. Där står att användningen ska bestämmas i förväg, ytterst av ledningen, och att policyn bör besvara frågor under rubrikerna syfte och omfattning, tillämplighet, etiska principer, dataskydd och säkerhet, användning och begränsningar, ansvar och utbildning. Sekretessfrågan har en egen riktlinje, säkerställ sekretess vid användning av generativ AI.
Att köpa verktyget är ett eget steg, beskrivet på sidan om att upphandla AI. Vad AI kan göra i kommunens ärenden står på sidan om AI i offentlig sektor.
Det här gäller både kommuner och företag.
IMY publicerade GDPR vid användning av generativ AI den 5 februari 2025. Den är skriven för offentlig förvaltning, och enligt IMY är den i huvudsak vägledande också för privata verksamheter. Den tar upp sju områden: dataskyddsreglerna som utgångspunkt, de dataskyddsrättsliga principerna, rollerna som personuppgiftsansvarig och personuppgiftsbiträde, rättslig grund, automatiserade beslut och överföring till tredje land, de enskildas rättigheter och risker och säkerhet.
Vägledningen om allmänt tillgänglig generativ AI, byggd på IMY:s text, tar upp konton för privat bruk, där ett personuppgiftsbiträdesavtal ofta saknas. Arbetsgivaren bör tydliggöra att sådana tjänster inte får användas i arbetet utan föregående godkännande, och inte utan ett personuppgiftsbiträdesavtal som uppfyller kraven i dataskyddsförordningen. Verksamheten bör också bestämma om personuppgifter får användas som indata eller skapas som utdata. Skriv reglerna i policyn.
För ett företag kommer kunduppgifter, avtal, offerter och siffror som inte är offentliga till. Ange vilka av dem som får användas i vilka verktyg, och om leverantören får använda det ni skriver för att träna sina modeller. Svaret på den frågan står i avtalet med leverantören.
Kravet gäller alla som använder AI-system i yrket, kommuner som företag.
Artikel 4 i AI-förordningen säger att leverantörer och tillhandahållare av AI-system ska vidta åtgärder för att främja AI-kunnighet hos sin personal och andra som arbetar med systemen för deras räkning, med hänsyn till deras kunskaper, erfarenhet och utbildning och till sammanhanget där systemen används. En tillhandahållare är den som använder ett AI-system i sin verksamhet, och det kan vara en myndighet eller en kommun lika väl som ett företag.
Kravet gäller sedan den 2 februari 2025. Den nuvarande lydelsen kom med förordning (EU) 2026/1744, som trädde i kraft den 27 juli 2026, och den säger uttryckligen att leverantörer och tillhandahållare inte behöver garantera någon viss nivå av AI-kunnighet hos enskilda personer. Källor: förordning (EU) 2024/1689, artikel 3.4 och 113, och förordning (EU) 2026/1744, kontrollerade den 17 oktober 2026.
För policyn betyder det en mening om vilken utbildning som krävs och ett sätt att visa vad som har gjorts. Övriga krav, till exempel för system med hög risk och för märkning av AI-genererat innehåll, står på sidan om AI-förordningen. Utbildningen i era egna ärenden beskrivs på sidan om AI-utbildning.
En struktur att utgå från. Den är inte juridiskt granskad, och formuleringarna är påhittade exempel.
| Rubrik | Vad avsnittet säger | Exempel på formulering |
|---|---|---|
| 1. Syfte och omfattning | Varför ni använder AI och vem policyn gäller | Policyn gäller alla anställda, förtroendevalda i sitt uppdrag, konsulter och inhyrd personal. |
| 2. Begrepp | Vad ni menar med AI, AI-verktyg och generativ AI | Med AI-verktyg avses tjänster som skapar text, bild, ljud eller kod utifrån en instruktion. |
| 3. Godkända verktyg | Vilka verktyg som får användas och vem som godkänner nya | Endast verktyg i förteckningen över godkända AI-verktyg får användas i arbetet. |
| 4. Tillåten och otillåten användning | Exempel på båda, så att gränsen syns | AI får användas för utkast och sammanfattningar men inte för att bedöma en enskild person. |
| 5. Information och sekretess | Vilken information som får användas i vilket verktyg | Sekretessbelagda uppgifter matas aldrig in i ett verktyg som inte är godkänt för just den informationen. |
| 6. Personuppgifter | Personuppgifter som indata och utdata, och vem som är personuppgiftsansvarig | Personuppgifter får bara användas i verktyg där det finns ett personuppgiftsbiträdesavtal. |
| 7. Ansvar och mänsklig kontroll | Vem som ansvarar för AI-svaret, för policyn och för besluten | Den som använder ett AI-svar kontrollerar det och ansvarar för det som ett eget arbete. |
| 8. Märkning och loggning | När AI-användning ska framgå och vad som sparas | När en text till en medborgare eller kund i huvudsak har skrivits med AI ska det framgå. |
| 9. AI-kunnighet | Vilken utbildning som krävs och hur den dokumenteras | Innan ett AI-verktyg används i arbetet ska medarbetaren ha gått den grundutbildning som anges i bilagan. |
| 10. Incidenter och översyn | Hur fel rapporteras och när policyn ses över | Policyn ses över minst en gång om året. Nästa översyn sker senast den dag som anges på första sidan. |
Vem som beslutar policyn följer er egen ordning för styrdokument, och i en kommun avgör den ordningen om det är en politisk instans eller förvaltningen. Låt jurist, dataskyddsombud och den som ansvarar för informationssäkerheten läsa utkastet innan det beslutas.
Styrningen är hela ordningen kring AI, och policyn är den del som medarbetarna läser.
Vilket arbete AI ska göra, med vilken data och vem som äger resultatet. Ledningen beslutar den.
02 / LAGAI-förordningens krav beror på vad AI:n används till, och AI-kunnigheten gäller alla.
03 / KUNNIGHETUtbildning i de egna ärendena, med ett skriftligt underlag som visar vad som har gjorts.
04 / INKÖPKraven på verktyget ställs i upphandlingen, så att policyn går att följa i praktiken.
AI-styrning, på engelska AI governance, är hur organisationen bestämmer, följer upp och rättar sin användning av AI. Till den hör också en förteckning över de AI-system som används och vem som ansvarar för vart och ett. Policyn blir verklig först när förteckningen, utbildningen och uppföljningen finns. Vill ni gå igenom AI-förordningen punkt för punkt finns checklistan för AI-förordningen.
Policyn skriver ni själva, och ALEX är byggd för att följa den och visa att den följs.
ALEX föreslår, ni bestämmer. Inget skickas, bokförs eller ändras innan rätt person har läst och sagt ja. Det motsvarar policyns del om ansvar och mänsklig kontroll.
Allt ALEX gör skrivs in i en signerad logg med extern tidsstämpel. Er revisor kan kontrollera den själv, och inte ens vi kan ändra den i efterhand.
Inga lösenord att glömma. Varje roll ser bara det den ska se, så policyns gränser för vem som får se vad går att sätta i verktyget.
Ni väljer var modellen körs, så att det stämmer med det policyn säger om var information får behandlas. Inkommande post granskas för dolda instruktioner som någon har bäddat in i texten.
ALEX säger vad materialet visar, inget annat. Saknas uppgiften står det att den saknas, vilket gör kontrollen före ett ja enklare.
Varje kund får en egen server i EU, och er data delas aldrig med någon annan kund. Kräver ni det körs ALEX i er egen miljö med er egen modellnyckel.
Allt på korten är byggt. Diariet, där ALEX föreslår registrering och bevakar frister, finns som demo och beskrivs på sidan om diarieföring med AI. ALEX arbetar i dag i Kapacitis egen verksamhet. Servern som varje kund får är byggd och provad med testdata: krypterad, med en andra kopia på en annan plats i EU. Ingen kund har ALEX i drift ännu. Hur kontrollen av loggen går till står i Trust Center.
Syfte och omfattning, godkända verktyg, tillåten och otillåten användning, vilka uppgifter som får matas in, sekretess och personuppgifter, ansvar och mänsklig kontroll, AI-kunnighet, loggning och märkning, och hur incidenter rapporteras och policyn ses över. Ett exempel med tio rubriker står längre upp på sidan.
Artikel 4 i AI-förordningen kräver åtgärder som främjar personalens AI-kunnighet men inget visst dokument. Digg och IMY rekommenderar att användningen av generativ AI bestäms i förväg, ytterst av ledningen, och att verksamheten tar fram interna riktlinjer. En policy är det enklaste sättet att göra båda.
Orden används olika i olika organisationer. Ofta är policyn det övergripande ställningstagandet och riktlinjerna de konkreta reglerna för medarbetarna. Digg skriver att varje myndighet, kommun eller region följer sin egen ordning för policyer och riktlinjer, och det är den ni ska följa.
Enligt vägledningen från Digg och IMY bör arbetsgivaren tydliggöra att en tjänst som är registrerad för privat bruk inte får användas i arbetet utan föregående godkännande, och inte utan ett personuppgiftsbiträdesavtal som uppfyller kraven i dataskyddsförordningen. I en kommun får sekretessbelagda uppgifter inte heller lämnas till leverantören utan en bestämmelse som bryter sekretessen. Skriv i policyn vilka verktyg som är godkända och för vilken information.
Att den som använder AI-system i verksamheten vidtar åtgärder som främjar AI-kunnighet hos personalen, med hänsyn till deras kunskaper och till sammanhanget. Kravet gäller sedan den 2 februari 2025 och fick sin nuvarande lydelse genom förordning (EU) 2026/1744, som trädde i kraft den 27 juli 2026. Den som använder systemen behöver inte garantera någon viss nivå hos enskilda personer.
Enligt Digg kan prompter och indata ofta ses som utkast, medan det AI:n skriver förmodligen oftare räknas som upprättat och då är en allmän handling som ska lämnas ut på begäran om ingen sekretess gäller. Policyn bör därför säga var svaren sparas och hur de diarieförs och gallras.
Exemplet på den här sidan är en struktur med tio rubriker och påhittade formuleringar. Det är inte juridiskt granskat. Digg har frågor att besvara under sju rubriker i riktlinjen Inför en AI-policy. Anpassa innehållet till er verksamhet och låt en jurist läsa utkastet.
ALEX skickar, bokför eller ändrar ingenting innan rätt person har sagt ja, skriver allt i en signerad logg som er revisor kan kontrollera, visar varje roll bara det den ska se, låter er välja var modellen körs och svarar bara med det materialet visar. Allt det är byggt. ALEX arbetar i dag i Kapacitis egen verksamhet, och ingen kund har ALEX i drift ännu.
Trettio minuter. Ni visar ert utkast eller berättar vad ni vill att policyn ska styra, så går vi igenom hur ett AI-verktyg kan följa den i praktiken. Alexander svarar senast nästa arbetsdag.
Nyhetsbrev om AI-förordningen och det vi lär oss när vi bygger ALEX.
Vi hör av oss när något i AI-förordningen ändras som påverkar er. Avregistrera när som helst via länken i mejlet.