Varför varje företag nu behöver en AI-policy
AI har på kort tid gått från en framtidsfråga till ett vardagligt verktyg. Medarbetare använder generativa AI-tjänster för att skriva texter, sammanfatta dokument, analysera data och skriva kod – ofta utan att någon i ledningen riktigt vet vilka verktyg som används eller vad som matas in i dem. Den utvecklingen är på många sätt positiv, men den skapar också risker som de flesta företag ännu inte har tagit ställning till.
En AI-policy är det interna styrdokument som anger hur ert företag får, och inte får, använda AI. Den översätter abstrakta regler och risker till konkreta spelregler för medarbetarna: vilka verktyg som är godkända, vilken information som får matas in, vem som ansvarar och var gränserna går. Utan en sådan policy fattas besluten ändå – fast då av varje enskild medarbetare, var för sig, utan helhetssyn.
Den här artikeln går igenom varför en AI-policy behövs, hur den hänger samman med EU:s AI-förordning och GDPR, vilka risker den ska hantera och vad en policy som faktiskt håller juridiskt bör innehålla.
Vad en AI-policy är och varför den behövs
En AI-policy är inte ett tekniskt dokument, utan ett affärs- och riskdokument. Den tar ställning till frågor som annars besvaras slumpmässigt: får en medarbetare klistra in ett kundavtal i ett externt AI-verktyg? Får AI användas för att ta beslut som påverkar individer? Vem äger det som AI-verktyget producerar?
Kopplingen till EU:s AI-förordning
EU:s AI-förordning, ofta kallad AI Act, är världens första breda regelverk för artificiell intelligens. Den trädde i kraft i augusti 2024 och införs stegvis. Förbudet mot vissa AI-praktiker gäller sedan den 2 februari 2025, och skyldigheter för leverantörer av generella AI-modeller gäller sedan den 2 augusti 2025. Kraven på högrisk-AI börjar enligt huvudregeln gälla den 2 augusti 2026, även om ett föreslaget så kallat omnibus-paket kan komma att senarelägga vissa högrisk-krav – något som i nuläget är föreslaget och osäkert.
Förordningen klassar AI-användning efter risk, och sanktionerna är kännbara: upp till 35 miljoner euro eller 7 procent av den globala omsättningen för förbjuden AI, och upp till 15 miljoner euro eller 3 procent för övriga överträdelser. För de flesta företag handlar det inte om att utveckla AI, utan om att använda den ansvarsfullt – och en policy är det naturliga sättet att säkerställa att användningen håller sig inom det som regelverket tillåter.
Kopplingen till GDPR
Så snart personuppgifter matas in i ett AI-verktyg aktualiseras GDPR. Det gäller kundregister, medarbetaruppgifter, ansökningshandlingar eller vad som helst som kan knytas till en fysisk person. Frågorna blir då de vanliga: finns en laglig grund, var behandlas uppgifterna, förs de över utanför EU och hur länge sparas de?
GDPR har gällt sedan 2018, med sanktioner på upp till 20 miljoner euro eller 4 procent av den globala omsättningen och en skyldighet att anmäla allvarliga incidenter inom 72 timmar. Att en medarbetare laddar upp en personuppgiftsfil i ett okänt AI-verktyg kan i värsta fall vara just en sådan incident. En AI-policy bör därför tydligt reglera vilka personuppgifter som över huvud taget får behandlas med AI, och i vilka verktyg.
Sekretess, företagshemligheter och immateriella rättigheter
Två risker brukar förbises. Den första är sekretess och företagshemligheter: information som matas in i ett externt AI-verktyg kan i vissa fall lämna företagets kontroll, och i sämsta fall användas för att träna leverantörens modeller. Affärsplaner, källkod och kunddata hör inte hemma i verktyg som inte är godkända för ändamålet.
Den andra rör immateriella rättigheter och ägandet av det AI-verktyget producerar. Frågan om vem som äger AI-genererat material är rättsligt långt ifrån självklar, och det finns dessutom en risk att utdata liknar eller återanvänder skyddat material. En policy bör därför reglera hur AI-genererat innehåll får användas och granskas innan det publiceras eller läggs till grund för beslut.
Praktiskt exempel: när det praktiska blir en risk
Tänk er ett medelstort bolag utan AI-policy. En marknadschef använder ett gratis AI-verktyg för att snabbt ta fram en kampanjtext och klistrar in delar av en ännu icke offentliggjord produktstrategi som underlag. Samtidigt laddar en HR-medarbetare upp ett antal CV:n i ett annat verktyg för att få hjälp att rangordna kandidater. Och en utvecklare matar in delar av bolagets källkod för att felsöka snabbare.
Var och en av dessa handlingar är välmenande och syftar till att jobba effektivare. Men tillsammans har bolaget på en eftermiddag potentiellt läckt en affärshemlighet, behandlat känsliga personuppgifter i ett verktyg ingen granskat, riskerat en diskriminerande gallring av kandidater och exponerat skyddad källkod – utan att ledningen ens känner till det. Det är fenomenet som brukar kallas skugg-AI: användning som sker i det tysta, utanför all styrning.
Med en AI-policy hade samma medarbetare haft tydliga svar. De hade vetat vilka verktyg som är godkända, att produktstrategier och källkod inte får matas in i externa tjänster, och att AI inte får användas för att gallra kandidater utan mänsklig kontroll. Effektiviteten hade behållits, men riskerna hade hanterats.
Vanliga misstag företag gör
Det vanligaste misstaget är att inte ha någon policy alls och hoppas att medarbetarna använder sunt förnuft. Problemet är att sunt förnuft kring AI förutsätter kunskap som de flesta ännu inte har, och att de juridiska riskerna inte är intuitiva.
Ett andra misstag är att förbjuda AI helt. Ett totalförbud ignoreras nästan alltid i praktiken och driver i stället användningen under ytan, där den blir omöjlig att styra. Resultatet blir mer skugg-AI, inte mindre.
Ett tredje misstag är att skriva en policy som är så allmänt hållen att den inte ger någon vägledning. Att slå fast att AI ska användas ansvarsfullt säger ingenting om vilka verktyg som är godkända eller vilken information som får matas in.
Ett fjärde misstag är att betrakta policyn som ett engångsdokument. AI-tekniken och regelverket förändras snabbt, och en policy som inte uppdateras blir snabbt inaktuell. Det fjärde misstaget är ofta det dyraste, eftersom det ger en falsk känsla av kontroll.
Juridiska risker utan en genomtänkt AI-policy
Den första risken är dataskyddssanktioner. Okontrollerad inmatning av personuppgifter i AI-verktyg kan utgöra en överträdelse av GDPR, med de sanktionsnivåer och anmälningsskyldigheter som följer av regelverket.
Den andra risken knyter an till AI-förordningen. Företag som använder AI på sätt som faller under förbjudna eller högriskklassade praktiker, utan att ha kartlagt detta, riskerar både sanktioner och tvånget att snabbt avveckla en redan inarbetad användning.
Den tredje risken är förlust av företagshemligheter och oklart ägande av material. Information som lämnat företagets kontroll går sällan att återkalla, och tvister om vem som äger AI-genererat innehåll kan bli både kostsamma och svåröverskådliga. Till detta kommer risken för diskriminering när AI används i beslut om exempelvis rekrytering eller kreditgivning, där partiska modeller kan leda till systematiskt orättvisa utfall och ett ansvar för företaget.
Rekommenderade åtgärder
Börja med att kartlägga hur AI faktiskt används i dag. De flesta företag underskattar omfattningen, och en ärlig nulägesbild är förutsättningen för att kunna styra användningen i stället för att förbjuda den.
Inför en AI-policy som är konkret. Den bör ange vilka verktyg som är godkända, vilken information som aldrig får matas in, hur personuppgifter får hanteras, hur AI-genererat material ska granskas och var den mänskliga kontrollen ligger. Principen om mänsklig översyn är central: AI bör stödja beslut, inte fatta dem ensam i frågor som påverkar människor.
Tilldela tydligt ansvar. En policy utan ägare blir sällan efterlevd. Utse vem som ansvarar för att hålla policyn aktuell, godkänna nya verktyg och svara på medarbetarnas frågor, och förankra detta i ledningen så att styrningen får tyngd.
Utbilda medarbetarna och håll policyn levande. En policy som ingen känner till har ingen effekt. Kombinera den med enkel, praktisk utbildning, och se över den löpande i takt med att tekniken och regelverket utvecklas.
Vanliga frågor om AI-policy
Måste vårt företag ha en AI-policy?
Det finns inget enskilt krav som säger att varje företag måste ha just ett dokument kallat AI-policy. Men eftersom AI-användning aktualiserar GDPR, AI-förordningen och skyddet för företagshemligheter, är en policy det mest praktiska sättet att säkerställa att användningen håller sig inom regelverket och inom era egna riskramar.
Vad bör en AI-policy innehålla?
Som minimum godkända verktyg, regler för vilken information som får matas in, hantering av personuppgifter, krav på granskning av AI-genererat material, principer för mänsklig översyn och en tydlig ansvarsfördelning. Den bör vara konkret nog att en medarbetare faktiskt kan följa den.
Hur påverkar EU:s AI-förordning oss om vi bara använder AI?
Förordningen klassar AI-användning efter risk, och även den som bara använder AI behöver veta var den egna användningen hamnar. Vissa praktiker är förbjudna och vissa är högriskklassade med särskilda krav. En policy hjälper er att hålla användningen inom det tillåtna.
Får vi mata in personuppgifter i AI-verktyg?
Det beror på verktyget och syftet. Så snart personuppgifter behandlas gäller GDPR fullt ut, vilket kräver laglig grund, kontroll över var uppgifterna behandlas och säkerhet i hanteringen. En policy bör tydligt ange vilka uppgifter som får, och inte får, matas in i vilka verktyg.
Vad är skugg-AI och varför är det ett problem?
Skugg-AI är AI-användning som sker utan ledningens kännedom eller godkännande, ofta med gratisverktyg som medarbetarna själva väljer. Problemet är att riskerna kring data, sekretess och regelefterlevnad uppstår utan att någon kan styra eller ens upptäcka dem.
Vem äger det som ett AI-verktyg producerar?
Frågan är rättsligt komplex och beror bland annat på verktygets villkor och hur materialet skapats. Det finns dessutom en risk att utdata liknar skyddat material. Därför bör en policy reglera hur AI-genererat innehåll får användas och kräva mänsklig granskning innan det publiceras.
Slutsats
En AI-policy handlar inte om att bromsa, utan om att kunna använda AI med självförtroende. Rätt utformad förvandlar den en spretig och osynlig användning till en styrd tillgång: medarbetarna får tydliga ramar, riskerna kring data och regelefterlevnad hanteras, och företaget kan dra nytta av AI utan att famla i osäkerhet. I takt med att AI-förordningen träder i kraft fullt ut blir den skillnaden allt viktigare.
Lawgent är specialiserat på AI-, teknik- och dataskyddsjuridik och hjälper företag att ta fram AI-policyer som både håller juridiskt och fungerar i praktiken. Vi kartlägger er användning, anpassar policyn efter just er verksamhet och kopplar den till AI-förordningen och GDPR. Genom att kombinera djup specialistkompetens med AI-driven effektivitet får ni ett genomarbetat regelverk på plats snabbare och mer kostnadseffektivt än hos en traditionell byrå. Vill ni använda AI med trygghet i stället för osäkerhet? Kontakta Lawgent för att ta fram er AI-policy.
Relaterad läsning
EU:s AI-förordning · GDPR · Affärsjuridik i Stockholm
