AI-policy mall: rubrikerna er policy behöver och vad som ska stå under varje

En användbar mall för AI-policyn har sex rubriker: syfte och omfattning, tillåten och otillåten användning, ansvar och roller, dataskydd och sekretess, AI-kunnighet samt granskning och avvikelser. Under varje rubrik ska det stå regler som går att kontrollera i vardagen, till exempel vem som godkänner vad och vart data får skickas. Policyn behöver också spegla det AI-förordningen redan kräver, främst att personalen har tillräcklig AI-kunnighet.

Kort sagt

• Sex rubriker räcker för de flesta organisationer, och varje regel ska gå att peka ut i ett verkligt arbetsflöde.
• AI-förordningen kräver redan att ni arbetar med AI-kunnighet, och ett högrisksystem ger fler skyldigheter.
• En policy håller när varje regel har ett godkännandesteg och en logg som visar att regeln följdes.

Vad är en AI-policy och varför behöver ni en?

En AI-policy är ledningens beslut om hur AI får användas i organisationen: till vad, med vilken information, i vilka verktyg och med vem som ansvarar. Medarbetare som skriver mejl, sammanfattar möten eller översätter texter med ett chattverktyg fattar annars de besluten var för sig, och ingen vet i efterhand vad som har lämnat huset.

Det finns också ett rättsligt skäl. AI-förordningen är förordning (EU) 2024/1689. Artikel 4 kräver att den som använder AI-system vidtar åtgärder för AI-kunnighet hos personalen och hos andra som använder systemen för organisationens räkning. Enligt artikel 113 tillämpas den delen från och med den 2 februari 2025. Artikel 6 och bilaga III avgör vilka system som räknas som högrisk, och artikel 26 beskriver vad den som använder ett sådant system ska göra: använda det enligt leverantörens instruktioner, låta personer med rätt kompetens och befogenhet utöva tillsynen, spara loggarna i minst sex månader och informera dem som berörs. En policy är det naturliga stället att visa hur ni tar hand om de kraven. Mer om förordningen i stort finns på vår sida om AI-förordningen.

Vad skiljer policy, riktlinje och instruktion?

Policyn säger vad som gäller och varför. Den beslutas av ledningen, är kort och ändras sällan. En riktlinje säger hur policyn tillämpas inom ett område, till exempel ekonomi eller kundtjänst, och kan ändras när arbetssättet ändras. En instruktion beskriver steg för steg hur ett visst verktyg används.

Håll isär nivåerna. När en policy fylls med skärmbilder och knapptryck blir den inaktuell vid nästa uppdatering av verktyget, och då slutar folk läsa den. Låt policyn hänvisa till riktlinjerna, och låt riktlinjerna hänvisa till instruktionerna.

Vem gäller policyn för?

Policyn ska gälla alla som använder AI för organisationens räkning: anställda, chefer, praktikanter, konsulter och leverantörer som hanterar er information. AI-förordningen talar i artikel 4 om personalen och om andra personer som använder AI-system för organisationens räkning, så avgränsningen bör vara minst så bred. Skriv in att policyn också gäller verktyg som enskilda medarbetare har börjat använda på egen hand, eftersom det ofta är där information lämnar huset utan att någon har bestämt det.

Vilka rubriker ska AI-policyn ha?

Mallen nedan går att kopiera rakt in i ett dokument. Varje rubrik har en kort förklaring av vad som ska stå där och vilken fråga regeln ska kunna besvara. En mer utförlig genomgång med ett exempel att utgå från finns på sidan om AI-policy.

Syfte och omfattning

Skriv två eller tre meningar om varför policyn finns och vad den täcker. Ange att den gäller all användning av AI i arbetet, oavsett om verktyget är upphandlat eller gratis, och oavsett om det körs i molnet eller på en egen server. Ange vem som äger policyn och när den senast beslutades.

Tillåten och otillåten användning

Här står vad medarbetare får göra utan att fråga, vad som kräver godkännande och vad som aldrig är tillåtet. En enkel indelning i tre nivåer fungerar:

• Tillåtet: utkast till texter utan personuppgifter eller sekretess, sammanfattningar av offentligt material, språkgranskning.
• Kräver godkännande: allt som berör kunder, medborgare eller ekonomi, och allt som skickas eller bokförs.
• Inte tillåtet: att lägga in sekretessbelagd information eller känsliga personuppgifter i verktyg som inte är godkända, och att låta ett AI-verktyg fatta beslut som påverkar en enskild utan att en människa har prövat det.

Lista de verktyg som är godkända och var listan finns. Listan hör hemma i en riktlinje, så att den kan uppdateras utan nytt ledningsbeslut.

Ansvar och roller

Skriv vem som ansvarar för vad. Ledningen äger policyn. Varje verksamhet utser en person som godkänner nya användningsområden. Den som använder ett AI-verktyg ansvarar för resultatet, precis som för ett eget arbete. Har ni ett högrisksystem ska det framgå vem som utövar tillsynen enligt artikel 26, och att den personen har kompetens och befogenhet att stoppa systemet.

Dataskydd och sekretess

Här står vilken information som får behandlas i vilka verktyg. Dataskyddsförordningen, förordning (EU) 2016/679, kräver ett personuppgiftsbiträdesavtal enligt artikel 28 när en leverantör behandlar personuppgifter åt er, en konsekvensbedömning enligt artikel 35 när behandlingen sannolikt leder till hög risk och särskilda skydd enligt artikel 22 vid automatiserade beslut. Policyn ska säga att inget AI-verktyg tas i bruk för personuppgifter förrän biträdesavtalet finns, och att det ska framgå var behandlingen sker. Mer om kopplingen finns på sidan om GDPR och AI.

AI-kunnighet

Skriv vad personalen ska kunna och hur ni ser till att de kan det. Det kan vara en grundutbildning för alla, en fördjupning för dem som godkänner AI-förslag och en genomgång för ledningen om ansvar och inköp. Ange hur ofta utbildningen upprepas och var det dokumenteras vem som har gått den. Det är här policyn visar hur ni möter kravet i artikel 4.

Granskning och avvikelser

Skriv hur ni följer upp att policyn följs och vad som händer när något går fel. Ange vart en medarbetare vänder sig om ett AI-verktyg har gett ett felaktigt svar eller om information har hamnat fel, och hur det dokumenteras. Bestäm hur ofta policyn ses över. En gång om året är ett rimligt utgångsläge, och oftare om ni tar in ett nytt verktyg som ändrar arbetssättet.

Hur kopplar ni policyn till ett verkligt arbetsflöde?

En regel i policyn är bara så stark som det steg i arbetet där den syns. Ta regeln att allt som skickas till en kund kräver godkännande. I ett flöde där en människa själv klistrar in en text från ett chattverktyg finns inget spår av att regeln följdes. I ett flöde där godkännandet är byggt in finns det.

Kapacitis modul Kundtjänst i mejl är ett exempel på hur ett sådant flöde kan se ut. Modulen läser inkomna kundmejl, sorterar dem och skriver svarsförslag i er ton. Ni godkänner innan något skickas, och varje svar får ett kvitto. Regeln i policyn motsvaras då av ett konkret steg: förslaget väntar, rätt person läser och säger ja, och först då går svaret iväg.

Kvittot är det som gör regeln kontrollerbar. I ALEX skrivs allt som görs in i en signerad logg med extern tidsstämpel som er revisor kan kontrollera själv, och hur loggen är uppbyggd står i vårt Trust Center. När policyn säger att varje utskick till en kund ska vara godkänt av en människa, går det i efterhand att se vad som föreslogs, på vilket underlag och vem som sa ja.

Samma tanke fungerar för andra regler. Regeln om att känslig information inte får lämna organisationen motsvaras av att modellen körs på en server ni kontrollerar. Regeln om att varje roll bara ser det den ska se motsvaras av behörigheter i systemet. Skriv policyn så att varje regel går att para ihop med ett sådant steg.

Vad betyder det för er i praktiken?

Det första ni behöver är en lista över vilka AI-verktyg som används i dag, också de som medarbetare har börjat använda på egen hand. Utan den listan går det inte att avgöra vad policyn ska täcka eller om något kan vara högrisk enligt bilaga III. Sedan kan ni gå igenom mallen rubrik för rubrik.

Den här checklistan går att använda innan policyn beslutas:

• Varje rubrik i mallen har minst en regel som går att kontrollera.
• Det finns en lista över godkända verktyg, och den ligger i en riktlinje.
• Det står vem som godkänner nya användningsområden.
• Biträdesavtal finns för varje verktyg som behandlar personuppgifter.
• Det finns en plan för AI-kunnighet med dokumentation av vem som har gått utbildningen.
• Varje regel om godkännande har ett steg i arbetsflödet där godkännandet syns.
• Det finns en väg för att rapportera avvikelser och ett datum för nästa översyn.

Ska ni gå vidare och se vad förordningen kräver punkt för punkt finns checklistan för AI-förordningen. Den knyter kontrollpunkterna till artiklarna, så att policyn och checklistan kan läsas bredvid varandra.

Vad gör Kapaciti inom AI-policy och AI-förordningen?

Kapaciti bygger ALEX, en digital AI-medarbetare, och utbildar personal i AI, åt företag och offentlig sektor. Bland tjänsterna finns AI-strategi och AI-förordningen för ledningen, och AI-utbildning med en halvdag för ledningen, träning av personalen och öppna seminarier. Det är den delen av policyn som handlar om AI-kunnighet.

ALEX är byggd så att reglerna i en policy får ett motsvarande steg i arbetet. Inget skickas, bokförs eller ändras innan rätt person har läst och sagt ja. Allt ALEX gör skrivs in i en signerad logg. Varje kund får en egen server i EU, och er data delas aldrig med någon annan kund. Vad en AI-medarbetare är och hur den skiljer sig från en chattbot står på en egen sida.

Varför ska ni välja Kapaciti?

Välj Kapaciti om ni vill att policyn ska gå att kontrollera i det dagliga arbetet. Den som bygger sitter med i första mötet, utbildar er personal och svarar senast nästa arbetsdag. Hos de stora konsultbolagen är AI ett av många områden. Hos oss är det allt vi gör. ALEX körs på egen AI-kapacitet: en lokal språkmodell på en server i EU som bara är er, och inget skickas till en AI-tjänst i molnet om ni inte väljer det.

Kapaciti tar uppdrag i hela Sverige och Europa. Det går fortare med oss eftersom vägen är kortare: grunden i ALEX är byggd och provad, så ni börjar inte från noll. Först ett samtal på trettio minuter om er vecka, sedan Kartläggningen, där ni får en karta över vad som tar tid och vad ALEX kan ta över. ALEX börjar sedan med en skuggvecka där inget ändras: den läser och föreslår, och ni ser resultatet innan något går skarpt. Boka 30 minuter

Källor

• Förordning (EU) 2024/1689 om artificiell intelligens, EUR-Lex (hämtad 11 november 2026)
• Förordning (EU) 2016/679, dataskyddsförordningen, EUR-Lex (hämtad 11 november 2026)