När AI används av flera medarbetare uppstår snabbt frågor som inte kan lösas med ett generellt ”använd sunt förnuft”. Vilka verktyg är godkända? Får kunddata klistras in? När måste en människa granska resultatet? Hur hanteras AI-genererat innehåll och automatiska beslut?
En AI-policy för företag 2026 ska göra dessa frågor konkreta. Policyn bör vara tillräckligt kort för att faktiskt användas men tillräckligt tydlig för att styra riskfyllda situationer.
Det här är generell information och inte juridisk rådgivning. Företag med reglerade eller högriskrelaterade AI-användningar bör göra en separat juridisk och teknisk bedömning.
Varför 2026 är ett viktigt år
EU:s AI Act började i huvudsak tillämpas den 2 augusti 2026. Vissa delar började gälla tidigare, bland annat regler om förbjudna AI-användningar och AI literacy från februari 2025, medan andra krav har senare etappdatum.
Från 2 augusti 2026 gäller också centrala transparenskrav för vissa AI-system och AI-genererat eller manipulerat innehåll. Företag behöver därför förstå vilken roll de har – exempelvis leverantör eller användande organisation – och vilka regler som träffar det konkreta användningsfallet.
1. Skapa ett register över AI-verktyg
Lista vilka tjänster som används, vilken avdelning som använder dem, vilken data de får tillgång till och vilket affärssyfte de har. Börja med verkligheten – även verktyg som redan börjat användas informellt.
2. Definiera godkända och förbjudna verktyg
En medarbetare ska inte behöva gissa om en konsumenttjänst får användas med kunddata. Skapa en enkel lista med:
- godkända företagsverktyg,
- verktyg som endast får användas med offentlig information,
- verktyg som kräver IT-/säkerhetsgodkännande,
- förbjudna användningar.
3. Klassificera information
Beskriv vilken typ av data som aldrig får skickas till ett AI-system utan uttryckligt godkännande. Det kan vara känsliga personuppgifter, lösenord, privata nycklar, ej offentliggjord finansiell information, kundavtal eller annan konfidentiell data.
Policy för AI bör bygga vidare på företagets befintliga informationsklassning, inte skapa en parallell värld.
4. Kontrollera leverantörens datahantering
Granska avtalsvillkor, datalagring, modellträning, underleverantörer, regioner, behörigheter och adminfunktioner för de verktyg företaget använder. Företagsplaner kan ha andra dataskyddsåtaganden än öppna konsumenttjänster.
5. Definiera mänsklig kontroll
Beskriv vilka resultat en människa måste granska innan de får användas. Exempel:
- bindande offerter och avtal,
- juridiska eller regulatoriska slutsatser,
- personalbeslut,
- större ekonomiska beslut,
- kundkommunikation i känsliga ärenden,
- publicerade faktapåståenden inom högriskområden.
6. AI får inte fabricera fakta
Medarbetare ska verifiera tidskänsliga eller viktiga uppgifter mot lämpliga källor. Detta gäller särskilt lagar, priser, produktfunktioner, statistik och information som påverkar kundens beslut.
7. Sätt regler för automatiska åtgärder
En AI-agent som kan skriva till CRM, skicka mail eller genomföra andra handlingar innebär större risk än en ren chatt. Definiera därför vilka verktyg agenten får använda, beloppsgränser, godkännanden och stoppvillkor.
Se AI-agenter för företag 2026.
8. Transparens mot kunder och användare
EU:s AI Act innehåller transparenskrav för vissa typer av AI-interaktioner och AI-genererat eller manipulerat innehåll. Den exakta skyldigheten beror på system och sammanhang.
Som intern princip är det klokt att tydliggöra när kunden interagerar med en automatiserad AI-funktion där detta annars kan missförstås, och att ha rutiner för de lagstadgade märkningar som träffar verksamheten.
9. Deepfakes och syntetiskt innehåll
AI-genererad bild, video och ljud kan skapa särskilda transparensrisker. Dokumentera hur marknadsteamet får skapa syntetiskt material, vilka godkännanden som behövs och hur märkning ska hanteras när reglerna kräver det.
10. AI literacy är en organisationsfråga
AI Act innehåller skyldigheter kring AI literacy. Utbildning bör därför inte vara en engångsföreläsning om prompts, utan anpassas till vilka AI-system medarbetarna faktiskt använder och vilka risker deras roller möter.
Support, HR, utveckling och marknad behöver olika exempel.
11. Logga viktiga AI-flöden
Affärskritiska agent- och automationsflöden bör kunna följas i efterhand. Dokumentera inputkälla, viktiga beslut, verktygsanrop, mänskliga godkännanden och resultat i den utsträckning det är lämpligt och förenligt med dataskydd.
12. Incidenthantering
Policyn ska säga vad användaren gör när AI:n exponerar fel information, skickar fel meddelande, använder olämplig data eller ger ett riskfyllt resultat. Ange kontaktväg och hur systemet kan pausas.
13. Upphandling av AI
Nya AI-verktyg bör bedömas med samma disciplin som annan viktig SaaS. Kontrollera säkerhet, avtal, dataåtkomst, exportmöjlighet, identitet/SSO, loggning och om lösningen kan avvecklas utan att verksamheten låses in.
14. Ägarskap
Varje produktionssatt AI-system bör ha en ansvarig ägare. Någon ska veta varför det finns, vilka data det använder, vilket KPI det ska förbättra och när det ska stängas av.
15. Revidera policyn regelbundet
AI-produkter och regler ändras snabbt. Ange en ansvarig person och ett datum för nästa översyn, och uppdatera policyn när verksamheten inför nya agentfunktioner eller nya användningsområden.
En enkel policystruktur
- Syfte och omfattning.
- Godkända AI-verktyg.
- Informationsklassning och förbjuden data.
- Mänsklig granskning.
- Automatiska åtgärder och behörighet.
- Faktakontroll.
- Transparens och AI-genererat innehåll.
- Loggning och incidenter.
- Leverantörsgranskning.
- Utbildning och ansvarig ägare.
Sammanfattning
En AI-policy 2026 ska hjälpa medarbetare använda AI snabbare och säkrare, inte bara förbjuda saker. Gör tydligt vilka verktyg som är godkända, vilken data som får användas, när mänsklig kontroll krävs och hur agentiska åtgärder loggas. Koppla sedan policyn till aktuella krav i EU AI Act och verksamhetens övriga säkerhets- och dataskyddsarbete.