Det här är utdrag ur AI-kompetenspaketet. Där kundens företagsnamn ska stå har vi satt in ett påhittat. Längre ner finns policymallen i sin helhet, så att du kan läsa ett dokument från början till slut.
Utbildningen: 48 bilder som bär sig själva
Utbildningen tar drygt två timmar med paus och kunskapstest (boka 2 h 20) och hålls av VD eller den som är AI-ansvarig. Ingen behöver vara expert och ingen behöver lära in ett manus: deltagarna läser bilden, instruktionen står längst ned, och svaret kommer på nästa bild. Passet följer ett påhittat företag genom tre situationer (ett kundsvar som AI:n skrivit, en mötesanteckning och ett bluffsamtal om en betalning), går igenom reglerna som gäller hos er och låter alla prova verktyget på en egen uppgift. Så här ser en övningsbild ut:
Handledarguidens stöd till just den bilden
Efter två minuter: be alla börja skriva sitt nya svar. Kör första fallet på papper så att alla kan delta oavsett konto. Efter sex minuter: be deltagarna byta svar med en kollega. Efter åtta minuter: gå till genomgången på bild 16. De fyra beskeden utan stöd gäller antal, ankomstdag, avdrag och spårningsnummer. Godta olika formuleringar i kundsvaret om de håller isär säkert och osäkert och ger ett möjligt nästa steg. Du kan fråga: "Vilken handling stödjer det löftet?"
Tre bilder till: fallet som övningen bygger på, genomgången efteråt och en av regelbilderna. Klicka för full storlek.
Bevisbladet: hela dokumentationen på en sida
När utbildningen är hållen, testen rättade och policyn beslutad fyller ni i en sida som sammanfattar allt och pekar på underlagen. Det är den ni räcker över först när någon frågar hur ni arbetar med kompetenskravet.
AI-kompetens: dokumentationsöversikt
Som del av företagets åtgärder för att stödja utvecklingen av AI-kunnighet enligt artikel 4 i EU:s AI-förordning (2024/1689) har följande genomförts och dokumenterats:
| Åtgärd | Datum | Underlag (finns arkiverat) |
|---|---|---|
| Grundutbildning "AI på jobbet" (ca 2 tim inkl. paus och kunskapstest) hållen: ______ av ______ medarbetare har deltagit | ____________ | Närvarolista, bildspel och manus |
| Kunskapstest genomfört och rättat individuellt: ______ av ______ deltagare godkända | ____________ | Individuella intyg, testresultat |
| AI-policy fastställd av ledningen | ____________ | AI-policy v. ____ |
| AI-ansvarig utsedd: ________________________ | ____________ | Policy, avsnitt 3 |
| Verktygslista med godkända AI-verktyg upprättad | ____________ | Policy, avsnitt 5 |
| Rutin för incidenter och avvikelser införd | ____________ | Policy, avsnitt 10 och 12 |
| Nästa planerade repetition | ____________ |
Nyanställda genomför utbildningen inom 30 dagar från anställning. Dokumentationen förvaras: ________________________________
Artikel 4 kräver ingen certifiering och ingen rapportering till myndighet. Kravet är att åtgärderna vidtas och att företaget kan visa vad som gjorts. Den här översikten, med underlagen bakom, är det som visas upp när en kund, försäkringsgivare eller myndighet frågar.
Direkt nedladdning efter betalning. 14 dagars nöjd-garanti. Uppdaterade versioner ingår i tolv månader från köpet, och minst till och med december 2027.
Kunskapstestet och intyget
Tolv frågor, cirka femton minuter med genomgång. Svarsalternativen bygger på verkliga missuppfattningar, så testet går inte att gissa sig igenom. Fråga 1 av 12, med facit:
1. AI-verktyget svarar tvärsäkert, välformulerat och med en källänk. Vad vet du då om svarets kvalitet?
- Att det stämmer, den har ju källa
- Att det troligen stämmer om länken går till en känd sajt
- Ingenting säkert, länken är en ledtråd; källan måste öppnas och läsas (rätt svar)
Godkänd, tio rätt av tolv, ger ett intyg per person. Intygen är det som ligger bakom raden "Kunskapstest genomfört" på bevisbladet:
Intyg: genomförd AI-grundutbildning
Deltagare: ________________________ · Företag: Exempelbolaget AB
Datum: ____________ · Testresultat: ______ / 12 (godkänt: 10)
Deltagaren har genomfört företagets grundutbildning i AI-användning, omfattande: AI-verktygens möjligheter och begränsningar, käll- och faktagranskning, granskningsansvar, datasäkerhet och GDPR vid AI-användning, godkända verktyg, AI i inbyggda funktioner och agenter, skydd mot röst- och videobedrägerier, otillåten användning, incidenthantering samt praktisk AI-användning i det egna arbetet. Utbildning och kunskapskontroll utgör del av företagets åtgärder för AI-kompetens enligt artikel 4 i EU:s AI-förordning (2024/1689).
Utbildningsansvarig (namn och signatur): ________________________
Startfacit: vanliga verktyg, redan bedömda
Leverantörsbedömningen i paketet är elva frågor. Startfacit har svaren i förväg för tio verktyg nästan alla småbolag stöter på: tränar leverantören på er data, går det att välja EU-lagring, finns avtal, går det att administrera centralt. Tre av de tio raderna:
| Verktyg (företagsversion) | Tränar på er data? | EU-alternativ? | Notera särskilt |
|---|---|---|---|
| ChatGPT Business (OpenAI) | Nej, avtalat | Nej, lagring i USA på denna nivå | Prisvärd instegsnivå, men EU-lagring kräver Enterprise |
| Microsoft 365 Copilot | Nej (inom M365-tjänstegränsen) | Ja, EU Data Boundary | Ofta enklaste vägen om ni redan har M365; AI:n ser det användaren ser, så städa behörigheter först. Webbsök i Copilot skickar frågor till Bing, utanför både EU-gränsen och M365-villkoren (går att stänga av centralt). "Flex routing" (på som standard för nya konton sedan mars 2026) låter AI-behandlingen ske utanför EU vid kapacitetstoppar; kräver er bedömning EU-behandling ska det stängas av i admincentret |
| Google Gemini (Workspace) | Nej i Workspace-avtal | Ja, EU-behandling kan väljas | Kontrollera att Workspace-avtalet omfattar Gemini-funktionerna ni slår på |
Uppgifterna gäller per augusti 2026 och avser betalda företagsversioner. Facit uppdateras när leverantörerna ändrar villkoren.
Hela AI-policymallen, från början till slut
Det här är policymallen exakt som den ligger i paketet. Kursiv text är vägledning till den som fyller i och tas bort i den färdiga policyn. De markerade fälten fyller ni i själva. Avsnitt 1 och 2 visas direkt, resten fäller du ut.
AI-policy för {{FÖRETAGSNAMN}}
Om denna mall. Fyll i alla {{fält}}, stryk det som inte gäller er och låt ledningen fastställa dokumentet. Kursiverad text är vägledning till dig som fyller i. Ta bort den i den färdiga policyn. Mallen är utbildnings- och arbetsmaterial, inte juridisk rådgivning. Vid osäkerhet om er specifika situation, konsultera jurist.
Version: 1.0 · Fastställd: {{DATUM}} · Beslutad av: {{LEDNING/STYRELSE}} · Nästa översyn: {{DATUM + 12 MÅN}}
1. Syfte och omfattning
Denna policy styr hur {{FÖRETAGSNAMN}} använder artificiell intelligens (AI) i verksamheten. Den finns för att vi ska få nytta av AI utan att riskera kunders förtroende, anställdas integritet eller lagbrott, särskilt mot EU:s AI-förordning (AI Act), GDPR och marknadsföringslagen.
Policyn gäller alla som arbetar för {{FÖRETAGSNAMN}}: anställda, konsulter, praktikanter och inhyrd personal, i alla kanaler och på alla enheter där arbete utförs.
Vägledning: gör ingen separat “AI-avdelningspolicy” förrän ni är fler än ~50 personer. Fler dokument gör det svårare för medarbetarna att veta vad som gäller.
2. Definitioner
- AI-system: programvara som genererar innehåll, förutsägelser, rekommendationer eller beslut utifrån data, t.ex. chattbottar (ChatGPT, Claude, Copilot), bildgeneratorer, transkriberings- och översättningstjänster, AI-funktioner inbyggda i andra verktyg.
- Generativ AI: AI som skapar nytt innehåll (text, bild, ljud, kod).
- Känsliga uppgifter: personuppgifter, kunddata, affärshemligheter, lösenord, opublicerad ekonomisk information.
- AI-ansvarig: den roll som förvaltar denna policy, se avsnitt 3.
Visa avsnitt 3 till 12 (resten av policyn)
3. Roller och ansvar
| Roll | Ansvar |
|---|---|
| {{VD/LEDNING}} | Fastställer policyn, äger risken |
| {{AI-ANSVARIG, NAMN/ROLL}} | Godkänner nya AI-verktyg, håller verktygslistan (avsnitt 5) aktuell, tar emot incidentrapporter, ser till att utbildningskravet (avsnitt 9) uppfylls |
| Varje medarbetare | Följer policyn, rapporterar incidenter, genomför utbildningen |
Vägledning: i småföretag är AI-ansvarig ofta VD själv. Lagen kräver ingen utpekad AI-ansvarig, men utan en utpekad person blir verktygsgodkännanden och incidentrapporter sällan av. Vi rekommenderar därför att rollen alltid pekas ut.
4. Tillåten användning
AI får användas som stöd i arbetet, till exempel för:
- utkast till texter, presentationer, kod och sammanfattningar
- översättning och språkgranskning
- research och idégenerering
- mötestranskribering när alla deltagare informerats
Grundregeln är människa vid ratten: AI föreslår, en människa granskar och beslutar. Den som skickar, publicerar eller levererar något ansvarar för innehållet, oavsett om det tagits fram med AI; “AI:n skrev det” är aldrig en ursäkt. Detta gäller även AI-agenter som kan utföra saker själva: en agent får förbereda (utkast, sammanställningar, förslag), men åtgärder med verkan utåt eller i skarpa system (skicka, publicera, boka, betala, ändra) kräver att en människa godkänt just den åtgärden.
Vid arbete hos kund gäller kundens regler för kundens data och miljöer, utöver denna policy, och där de skiljer sig gäller den strängaste. Kunddata får inte köras i våra AI-verktyg utan att kundavtalet tillåter det, och en mötesbot eller inspelning i kundmöten kräver att kunden informerats.
5. Godkända verktyg
Endast verktyg i listan nedan får användas i arbetet. Nya verktyg godkänns av AI-ansvarig efter leverantörsbedömning (se separat checklista i detta paket).
| Verktyg | Godkänt för | Ej godkänt för | Konto |
|---|---|---|---|
| {{T.EX. ChatGPT Team}} | {{utkast, research}} | {{kunddata}} | {{företagskonto}} |
| {{…}} |
Vägledning: kräv företagskonton. I privata gratiskonton får leverantören ofta använda inmatad data för träning, vilket gör dem olämpliga för allt som inte skulle kunna vara offentligt. Ett exempel på varför kolumnen “ej godkänt för” behövs: tänk er en reklambyrå där en projektledare kör kundens opublicerade kampanjbrief genom ett privat gratiskonto för att få rubrikförslag. Briefen ligger då hos en leverantör på villkor ingen på byrån läst, och kunden har inte godkänt någon underleverantör. Med en tydlig lista hade projektledaren sett att kundmaterial hör hemma i företagskontot, innan något klistrades in.
6. Förbjuden användning
Följande är förbjudet oavsett verktyg:
- Mata in känsliga uppgifter (avsnitt 2) i AI-verktyg som inte uttryckligen godkänts för det.
- Låta AI fatta automatiserade beslut om människor (rekrytering, uppsägning, kreditbeslut, prissättning mot enskild kund) utan mänsklig prövning i varje enskilt fall.
- Skapa manipulerade bilder eller röster av verkliga personer. Förbudet gäller oavsett syfte, även internt skoj. Detsamma gäller falska recensioner och dold AI-genererad kommunikation där mottagaren har rätt att veta.
- Användning som enligt AI-förordningen är otillåten, t.ex. känslomässig övervakning av anställda eller social poängsättning.
- Kringgå denna policy genom privata konton eller privata enheter.
7. Data och sekretess
- Personuppgifter i AI-verktyg kräver samma lagliga grund som all annan behandling (GDPR). Vid osäkerhet: fråga AI-ansvarig innan uppgifterna matas in.
- Kunddata får bara användas i verktyg där avtal (PUB-avtal/DPA) finns med leverantören.
- Där leverantören erbjuder EU-datalagring väljer vi det (vilka som gör det skiljer sig åt; se startfacit, fil 08, och kontrollera vid avtal).
- Anta att allt du skriver in i ett AI-verktyg kan bli kvar hos leverantören. Skriv aldrig in något du inte skulle mejla till en extern part.
- Upphovsrätt och ägande: AI-genererat material som publiceras externt (texter, bilder, kod) granskas av en människa även ur rättighetssynpunkt. Output kan ligga nära skyddat material, och rättsläget för ägande av AI-output är inte färdigt. Mata inte in andras skyddade material (t.ex. hela artiklar, andras kod) för återbruk utan att ha rätt till det.
8. Transparens
- Internt: säg till när ett underlag är väsentligen AI-genererat, så granskningen skärps.
- Externt: {{FÖRETAGSNAMN}} döljer aldrig AI-inblandning när någon frågar, och märker AI-genererat innehåll där lagen kräver det. Sedan 2 augusti 2026 ställer AI-förordningens artikel 50 krav på bl.a. märkning av syntetiskt material.
- Chattbottar och andra automatiserade system mot kund ska presentera sig som AI (lagkrav sedan 2 augusti 2026).
9. AI-kompetens (utbildningskrav)
AI-förordningens artikel 4 kräver att företag som använder AI vidtar åtgärder som stödjer utvecklingen av AI-kunnighet hos alla som arbetar med verktygen (lydelse sedan juli 2026). Hos {{FÖRETAGSNAMN}} betyder det:
- Alla medarbetare genomför grundutbildningen i detta paket ({{~2 TIMMAR inkl. kunskapstest}}) inom {{30 DAGAR}} från anställning, därefter årlig repetition.
- Genomförande dokumenteras med quiz + intyg (ingår i paketet). Intygen sparas av AI-ansvarig.
- Den som godkänner AI-verktyg (AI-ansvarig) håller sig uppdaterad om regelverket.
10. Incidenter
En AI-incident är t.ex.: känslig data har matats in i fel verktyg, AI-genererat fel har nått kund, misstänkt regelbrott, eller ett verktyg beter sig oväntat med verklig påverkan.
- Rapportera direkt till AI-ansvarig, hellre en gång för mycket.
- AI-ansvarig bedömer: behöver kund informeras? Är det en personuppgiftsincident (då gäller GDPR:s 72-timmarsregel mot IMY)?
- Incidenten och åtgärden loggas i avvikelselistan (avsnitt 12).
- Ingen bestraffas för att ha rapporterat ärligt. Mörkning är däremot ett policybrott.
11. Leverantörer och inköp
Innan ett nytt AI-verktyg tas i bruk gör AI-ansvarig en leverantörsbedömning enligt checklistan i detta paket: var lagras data, tränar leverantören på vår data, finns PUB-avtal, vad kostar det att byta bort verktyget, vem hos leverantören ansvarar vid fel. Bedömningen sparas tillsammans med verktygslistan i avsnitt 5.
12. Efterlevnad, avvikelser och översyn
- Policybrott hanteras som andra brott mot interna regler hos {{FÖRETAGSNAMN}}.
- Avvikelser och undantag beslutas skriftligen av AI-ansvarig och loggas nedan.
- Policyn ses över årligen, samt vid ny lagstiftning eller efter allvarlig incident.
| Datum | Avvikelse/undantag/ändring | Beslutad av |
|---|---|---|
| {{…}} |
Detta dokument ingår i AI-kompetenspaketet från Virtasim Nordic AB (aipaketet.se).
Materialversion: augusti 2026. Uppdaterade versioner ingår i tolv månader. Kontrollera vid årsrepetitionen att du har senaste.
Resten av paketet
Utöver det du sett här ingår hela kunskapstestet med omprov och närvarolista, leverantörsbedömningen, kom igång-guiden med tidslinje och inbjudningsmejl, uppföljningsmaterialet, promptbiblioteket och gränsfalls-FAQ:n för den som är AI-ansvarig. Elva filer, allt redigerbart, allt på svenska.
Direkt nedladdning efter betalning. 14 dagars nöjd-garanti. Uppdaterade versioner ingår i tolv månader från köpet, och minst till och med december 2027. Frågor innan köp: [email protected].