AI-policy på en A4: mallen svenska småföretag saknar

De flesta småföretag vi möter har antingen ingen AI-policy alls, eller ett juridiskt dokument på fyrtio sidor som ligger orört i en mapp på intranätet. Problemet är inte bristen på vilja, det är att policyn blir för lång för att någon ska komma ihåg den. Den här artikeln ger er en mall som får plats på en A4, med formuleringar ni kan kopiera rakt av.

Varför en kort policy fungerar bättre

En AI-policy som ingen läser skyddar inget företag. Syftet med riktlinjer är att de faktiskt styr beteende i vardagen, inte att de täcker varje tänkbart scenario juridiskt. En sida som alla i teamet faktiskt har läst slår alltid ett dokument som bara finns för syns skull.

Det betyder inte att ni struntar i compliance. Det betyder att ni destillerar det viktigaste och hänvisar till djupare riktlinjer vid behov, till exempel i vårt arbete med [AI-implementation för mindre bolag](/vad-vi-gor) där vi bygger både policy och verktyg samtidigt.

Fyra saker som måste stå med

Godkända verktyg. Lista exakt vilka AI-tjänster som är okej att använda, till exempel ChatGPT Enterprise, Microsoft Copilot eller specifika interna verktyg. Allt annat kräver godkännande innan användning.

Data som aldrig får delas. Var konkret: personnummer, kunduppgifter, prisuppgifter till leverantörer, interna strategidokument och källkod. Om ni är osäkra på om något är okej, är svaret nej tills någon sagt ja.

Mänsklig granskning innan kundkontakt. Allt AI-genererat innehåll som går till en kund, extern part eller publiceras offentligt ska läsas av en människa först. Ingen AI-text skickas direkt från verktyget till mottagaren.

Vem äger frågan. Utse en person eller roll som ansvarar för policyn, följer upp avvikelser och uppdaterar dokumentet. Utan en tydlig ägare dör policyn inom tre månader.

Färdiga formuleringar att kopiera

"Vi använder endast AI-verktyg som är godkända av [namn/roll]. Nya verktyg testas och godkänns innan de används i skarpt arbete."

"Personuppgifter, kunduppgifter och konfidentiell affärsinformation får aldrig matas in i AI-verktyg som inte är godkända enligt vår informationssäkerhet."

"Allt material som AI genererat och som ska till kund, press eller publiceras granskas av en människa innan det skickas."

"Frågor om AI-policyn går till [namn/roll]. Avvikelser rapporteras samma vecka de upptäcks."

EU AI Act och GDPR, kort och koncist

EU AI Act klassificerar AI-system efter risknivå, och de flesta småföretag hamnar i låg- eller minimal risk-kategorin, särskilt om ni använder färdiga verktyg snarare än bygger egna system. GDPR gäller som vanligt: om AI-verktyget behandlar personuppgifter behöver ni ett lagligt stöd och ett personuppgiftsbiträdesavtal med leverantören.

Ni behöver inte bli jurister för att vara compliant. Ni behöver en policy som faktiskt följs, uppdateras när lagstiftningen ändras, och som kopplar till er informationssäkerhet i stort snarare än att leva som ett separat dokument.

Sätt policyn i verket

En AI-policy på en sida fungerar bara om den implementeras i praktiken, inte bara skrivs ner. Det betyder onboarding för nyanställda, en kort genomgång varje kvartal, och verktyg som faktiskt stödjer reglerna istället för att göra dem svåra att följa.

Om ni vill ha hjälp att sätta upp både policy och de automationsflöden som behöver följa den, [kika på hur vi jobbar med AI-implementation](/vad-vi-gor). Vi bygger ofta policyn parallellt med de verktyg som används dagligen, så att reglerna faktiskt stämmer med verkligheten.