Vad innehåller en AI-policy?
En AI-policy svarar på de frågor medarbetarna ställer sig när de öppnar ett AI-verktyg i arbetet. Den behöver inte vara lång. En eller två sidor räcker ofta, så länge de här delarna finns med:
- Godkända verktyg. Vilka tjänster företaget har avtal med, och vilka som inte får användas i arbetet.
- Information som inte får läggas in. Till exempel personuppgifter, kunduppgifter, avtal och lösenord, angivet per verktyg.
- Granskning. Den som använder ett AI-svar ansvarar för att det stämmer. Ange också vilka beslut som kräver human in the loop.
- Öppenhet. När kunder och kollegor ska få veta att AI har använts.
- Ansvar. Vem som godkänner nya verktyg och vem medarbetarna frågar.
Är en AI-policy ett lagkrav?
Nej, ingen lag kräver ett dokument med det namnet. Två regelverk gör ändå en policy till ett praktiskt sätt att visa att företaget har ordning på sin AI-användning.
Det första är EU:s AI-förordning. Artikel 4 kräver att företag som använder AI-system vidtar åtgärder för att främja utvecklingen av AI-kunnighet hos sin personal. Den lydelsen gäller sedan den 27 juli 2026 genom förordning (EU) 2026/1744. En policy som förklarar verktygens begränsningar och hur de får användas är ett sätt att göra det, tillsammans med utbildning.
Det andra är GDPR, som gäller så snart personuppgifter läggs in i ett AI-verktyg. IMY skriver i rapporten GDPR vid användning av generativ AI att verksamheter bör ta fram interna riktlinjer för användningen. Arbetsgivaren kan enligt rapporten bli personuppgiftsansvarig när medarbetare använder allmänt tillgängliga AI-tjänster i arbetet, och bör tydliggöra att sådana tjänster inte får användas utan godkännande och utan ett personuppgiftsbiträdesavtal. Rapporten är skriven för offentlig förvaltning, men IMY bedömer att riktlinjerna i huvudsak är vägledande även för privata verksamheter. Vid behandling med hög risk kan GDPR dessutom kräva en DPIA.
Vem behöver en AI-policy?
Varje företag där någon använder AI-verktyg i arbetet har nytta av en, också det lilla. Utan policy bestämmer varje medarbetare själv, och verktyg börjar användas utan att ledningen känner till det. Det fenomenet går vi igenom i guiden om skugg-AI.
En rimlig start är att fråga vilka verktyg som redan används, bestämma vilka som ska vara godkända och skriva ner reglerna på en sida. Se över policyn när nya verktyg tillkommer eller när reglerna ändras.
Publicerad