AI-policy för småföretag — vad den ska innehålla

En AI-policy för ett litet företag ska rymmas på några sidor och kunna läsas av alla på en kvart. Den är till för de frågor som annars avgörs vid kaffemaskinen: får jag klistra in det här i ChatGPT? Vem frågar jag? Vad gör jag om det blev fel?

Det här är avsnitten som behöver finnas med, och varför. Utdragen i texten kommer ur policymallen i vårt eget AI-kompetenspaket, så ni ser hur formuleringarna kan se ut i praktiken.

Ett exempel på vad som händer utan policy. Tänk er en installationsfirma med femton anställda. En projektledare klistrar in en kunds anbudsunderlag, med ritningar och kontaktpersoner, i ett gratis AI-verktyg för att få en sammanfattning inför ett möte. Projektledaren tycker själv att det är smart, kollegan bredvid är tveksam, men ingen vet vem som avgör, så det blir som det blir. Ett halvår senare ställer en kommun i en upphandling frågan hur firman styr sin AI-användning, och svaret blir en tystnad. Med en policy hade projektledaren vetat vilket verktyg som var godkänt för kunddata och vem som kunde tillfrågas, och firman hade haft ett dokument att bifoga i upphandlingen.

1. Syfte och vilka som omfattas

Skriv vad policyn är till för och att den gäller alla som arbetar för företaget, även konsulter, praktikanter och inhyrd personal. Skälet är konkret: AI-förordningens kompetenskrav omfattar enligt EU-kommissionens vägledning alla som använder AI för företagets räkning, inte bara anställda.

En regel som är lätt att glömma när ambitionen är hög:

Gör ingen separat "AI-avdelningspolicy" förrän ni är fler än ~50 personer. En policy alla faktiskt läst slår tre ingen hittar.

2. Roller

Utse en AI-ansvarig. I ett bolag med tio anställda är det ofta VD själv, och det är helt i sin ordning. Det viktiga är att rollen är utpekad: den som godkänner nya verktyg, håller verktygslistan aktuell och tar emot incidentrapporter. Saknas en namngiven ansvarig hamnar frågorna hos den som råkar ha dem framför sig, och svaren blir olika från gång till gång.

3. Tillåten användning och grundregeln

Beskriv vad AI får användas till: utkast, översättning, research, sammanfattningar. Viktigare än listan är principen. Så här står det i mallen:

Grundregeln är människa vid ratten: AI föreslår, en människa granskar och beslutar. Den som skickar, publicerar eller levererar något ansvarar för innehållet — "AI:n skrev det" är aldrig en ursäkt.

Skriver ni bara en enda mening i hela policyn, skriv den. Den gäller även nya AI-agenter som kan utföra saker på egen hand: låt dem förbereda, men låt en människa godkänna allt som går ut eller ändrar något på riktigt.

4. Godkända verktyg

Här behövs en konkret lista: en tabell med verktyg, vad varje verktyg är godkänt för, vad det inte är godkänt för, och vilket konto som ska användas. Kräv företagskonton: privata gratiskonton innebär ofta att det man matar in används för att träna leverantörens modeller, och den vägen kan affärshemligheter lämna företaget utan att någon märker det. Vilka verktyg som klarar kraven skiljer sig åt, även mellan versioner av samma verktyg. Vi har gått igenom vilka AI-verktyg som lagrar data i EU separat.

5. Förbjuden användning

Var konkret. Mallens lista har fem punkter, bland annat: inga känsliga uppgifter i icke-godkända verktyg, inga automatiserade beslut om människor utan mänsklig prövning, och:

Skapa manipulerade bilder eller röster av verkliga personer — oavsett syfte, även internt skoj — samt falska recensioner och dold AI-genererad kommunikation där mottagaren har rätt att veta.

Formuleringen "även internt skoj" är medveten. Den roliga AI-bilden på en kollega är det gränsfall som annars testas första veckan.

6. Data och sekretess

Här möts policyn och GDPR. Personuppgifter i AI-verktyg kräver samma lagliga grund som all annan behandling, kunddata kräver att avtal med leverantören finns (PUB-avtal/DPA), och som tumregel för allt annat:

Anta att allt du skriver in i ett AI-verktyg kan bli kvar hos leverantören. Skriv aldrig in något du inte skulle mejla till en extern part.

7. Transparens

Sedan den 2 augusti 2026 ställer AI-förordningens artikel 50 krav på öppenhet: chattbottar mot kund ska presentera sig som AI, och AI-genererat material ska märkas i vissa fall. Policyn behöver en rad om det, och en intern regel om att säga till när ett underlag är väsentligen AI-genererat, så granskningen skärps.

8. Kompetenskravet

Knyt utbildningen till policyn: alla går en grundutbildning inom en viss tid från anställning, genomförandet dokumenteras, och repetition sker årligen. Så hålls kravet i AI-förordningens artikel 4 uppfyllt över tid. Något certifikatkrav finns inte (EU-kommissionen har varit tydlig med att egen dokumentation räcker), men dokumentationen måste finnas. Mer om det i vår genomgång av kompetenskravet för småföretag.

9. Incidenter

Incidentavsnittet behöver framför allt en mening om hur rapporter tas emot:

Ingen bestraffas för att ha rapporterat ärligt. Mörkning är däremot ett policybrott.

Får ni inte reda på misstagen kan ni inte hantera dem. Beskriv sedan vägen: rapportera till AI-ansvarig, som bedömer om kund behöver informeras och om det är en personuppgiftsincident. I så fall gäller GDPR:s 72-timmarsregel gentemot IMY.

10. Översyn

Policyn ses över årligen, och vid ny lagstiftning eller efter en allvarlig incident. Sätt ett datum för nästa översyn redan när policyn fastställs, annars händer det inte. Låt ledningen fastställa dokumentet formellt; utan det beslutet är det ett utkast som ingen behöver följa.

Skriva själv eller ta en färdig?

Med rubrikerna ovan kommer ni långt på egen hand. Räkna med några timmars arbete plus ledningsbeslut, och med att policyn behöver ses över när verktygen och reglerna ändras. Vill ni ha det färdigt finns hela policymallen, med vägledningstexter, verktygslista och allt ovan, i AI-kompetenspaketet tillsammans med utbildning, kunskapstest med intyg och leverantörschecklista, för 2 990 kr ex moms. Då hänger utbildningen och policyn ihop från början, vilket är det som oftast saknas i egenskrivna dokument.