AI governance: så styr ledningen AI, roller och risker

Av Johannes Sundlo, konsult inom AI och ledarskap, tidigare HR på Spotify. Uppdaterad 22 oktober 2026.

Kort svar

AI governance, eller styrning av AI, är hur ledningen styr organisationens användning av AI: vem som äger frågan, vem som får besluta om nya verktyg och agenter, hur risker bedöms och hur ni följer upp. Det skiljer sig från AI-policyn, som är reglerna för medarbetarna. Börja med fem byggstenar: en ägare, en förteckning över AI-system, en enkel riskklassning, tydliga beslutsrätter och uppföljning. Ägarskapet är ofta oklart. I min undersökning bland svenska HR-medarbetare ser 47 procent AI som en fråga för både HR och IT, och bara 3 procent som en HR-fråga.

Vad Roller, beslutsrätter, riskbedömning och uppföljning.
Börja Utse en ägare och lista era AI-system.
Lagen Högriskkrav för HR-system från 2 december 2027.

Vad är AI governance?

AI governance är det system ledningen använder för att styra AI i organisationen. Det handlar om roller, beslutsrätter, riskbedömning och uppföljning. Den amerikanska standardiseringsmyndigheten NIST beskriver styrningen som en funktion som går igenom allt annat riskarbete kring AI (NIST).

Tre saker är lätta att blanda ihop. AI-policyn är reglerna för medarbetarna. AI governance är hur ledningsgruppen och organisationen styr. Styrelsens ansvar för AI är en tredje sak, som jag skriver om i AI för styrelser.

Vem ska äga AI-frågan?

I min undersökning bland svenska HR-medarbetare såg 39 procent AI främst som en IT-fråga 2025, 47 procent som en fråga för både HR och IT och 3 procent som en HR-fråga (State of AI in HR). Frågan mäter hur HR ser på det och säger inget om vem som bestämmer. Siffrorna pekar ändå på en risk. När alla äger frågan lite grann är det lätt att ingen håller ihop den.

Utse en ägare i ledningsgruppen och låt ansvaret för olika delar fördela sig så här:

Roll	Ansvarar för
Ledningsgruppen	Riktning, prioriteringar och vilka risker organisationen accepterar. Utser en ägare för AI-frågan.
Ägaren av AI-frågan	Håller ihop arbetet, förteckningen över AI-system och uppföljningen. Rapporterar till ledningen.
IT och informationssäkerhet	Godkända verktyg, behörigheter, kopplingar och loggar.
Dataskydd och juridik	Personuppgifter, avtal med leverantörer och vad AI-förordningen kräver.
HR	Kompetens, roller, arbetsmiljö, information till medarbetare och fackliga frågor.
Cheferna	Att teamen använder AI enligt reglerna och att problem kommer upp.
Styrelsen	Att ledningen har kontroll över riskerna och att AI hänger ihop med strategin.

Fem byggstenar i AI governance

En ägare och ett forum. En person i ledningen äger frågan, och AI står på ledningsgruppens agenda med jämna mellanrum.
En förteckning över AI-system. Vilka verktyg och system som används, till vad och med vilken data. NIST tar upp förteckningen som en grund för styrningen (NIST).
En enkel riskklassning. Utgå från AI-förordningens indelning: förbjudna tillämpningar, högrisksystem, system med krav på öppenhet och övrig användning. Det mesta av vardagsanvändningen, som att skriva och sammanfatta med Copilot eller ChatGPT, hamnar i den sista gruppen.
Tydliga beslutsrätter. Vem godkänner ett nytt verktyg, en ny koppling till era system eller en agent som får agera på egen hand.
Uppföljning och incidenter. Hur ni ser om AI används som tänkt, vem som tar emot rapporter när något går fel och hur ofta styrningen ses över.

AI-agenter kräver mer styrning

En AI-assistent föreslår, medan en agent kan agera, till exempel skicka mejl, ändra filer eller lägga beställningar. Då behöver styrningen klara mer. Gartner förutspår att 40 procent av företagen till 2027 kommer att nedgradera eller stänga av självständiga AI-agenter, på grund av brister i styrningen som upptäcks först efter incidenter. Gartner rekommenderar att styrningen anpassas efter hur självständig agenten är, i fyra nivåer (Gartner):

Nivåerna nedan är min sammanfattning av Gartners modell, maj 2026.

Nivå	Vad agenten får göra	Styrning som behövs
1. Observera	Läsa och sammanställa, men inte ändra något	Behörigheter som bara ger läsrätt
2. Ge råd	Föreslå, medan en människa utför varje åtgärd	Utbildning, eftersom det är lätt att lita för mycket på förslagen
3. Agera efter godkännande	Utföra åtgärder som en människa godkänner	Godkännandeflöden med spårbarhet, och vaksamhet mot att godkänna slentrianmässigt
4. Agera självständigt	Utföra åtgärder utan godkännande	Löpande övervakning, möjlighet att backa och att stänga av

Gartner har också förutspått att mer än 40 procent av projekten med agentisk AI läggs ner före slutet av 2027, på grund av stigande kostnader, oklart värde och otillräcklig riskhantering. Prognosen bygger delvis på en enkät bland deltagare i ett webbinarium och är inte representativ (Gartner). Mer om agenter för chefer finns i AI-agenter.

Jag vill ha hjälp med AI governanceNamn, mejl och företag räcker, så hör jag av mig.

Ramverk att luta sig mot

ISO/IEC 42001 är en standard för ledningssystem för AI, publicerad i december 2023. Den riktar sig till organisationer av alla storlekar som utvecklar, levererar eller använder AI (ISO).
NIST AI Risk Management Framework släpptes i januari 2023 och är frivilligt. Det delar riskarbetet i fyra funktioner: styra, kartlägga, mäta och hantera (NIST).

Ingen av dem krävs i lag. Mitt råd till de flesta organisationer är att låna strukturen och börja med de fem byggstenarna ovan.

Vad kräver AI-förordningen av er som använder AI?

AI-förordningen skiljer mellan leverantör, som utvecklar och säljer AI-systemet, och tillhandahållare, som är den organisation som använder det. De flesta organisationer är tillhandahållare. Använder ni ett högrisksystem, till exempel för rekrytering eller bedömning av personal, ska ni bland annat (EUR-Lex):

använda systemet enligt leverantörens instruktioner,
låta personer med rätt kompetens, utbildning och befogenheter övervaka det,
se till att data ni själva matar in är relevant,
övervaka driften och rapportera allvarliga incidenter,
spara loggar i minst sex månader,
informera arbetstagarnas representanter och berörda arbetstagare innan systemet tas i bruk på arbetsplatsen,
informera de personer som systemet fattar eller stödjer beslut om.

Brott mot de skyldigheterna kan ge sanktionsavgifter på upp till 15 miljoner euro eller 3 procent av den globala omsättningen. För förbjudna tillämpningar är taket 35 miljoner euro eller 7 procent. Genom omnibusförordningen, som gäller sedan 27 juli 2026, sköts kraven för högrisksystem i bilaga III fram till 2 december 2027 (EUR-Lex).

Datum	Vad som gäller
2 februari 2025	Förbjudna AI-tillämpningar och kravet på AI-kunnighet
2 augusti 2025	Regler för AI-modeller för allmänna ändamål
27 juli 2026	Omnibusförordningen trädde i kraft och mildrade kravet på AI-kunnighet
2 augusti 2026	Krav på öppenhet, till exempel märkning, och nationell tillsyn börjar
2 december 2027	Krav på högrisksystem i bilaga III, bland annat inom rekrytering och personal
2 augusti 2028	Krav på högrisksystem som ingår i produkter enligt bilaga I

Datum enligt AI-förordningen och omnibusförordningen (EU) 2026/1744, kontrollerade på EUR-Lex och Europeiska kommissionen den 22 oktober 2026. Kravet på AI-kunnighet beskriver jag i AI-kunnighet och artikel 4.

Vem har tillsyn i Sverige?

Regeringen har gett PTS, IMY, Finansinspektionen, Läkemedelsverket och Swedac tillfälliga uppdrag som behöriga myndigheter enligt AI-förordningen till och med 31 december 2026. PTS ansvarar bland annat för högrisksystem inom anställning och personal, IMY bland annat för biometri och brottsbekämpning (Regeringen). PTS är också kontaktpunkt för frågor om förordningen (PTS).

Vanliga frågor

Vad är AI governance?

AI governance, eller styrning av AI, är hur ledningen styr organisationens användning av AI: vem som äger frågan, vem som beslutar om nya verktyg och agenter, hur risker bedöms och hur användningen följs upp.

Vad är skillnaden mellan AI governance och AI-policy?

AI-policyn är reglerna för medarbetarna, till exempel vilka verktyg och vilken information som får användas. AI governance är hela styrningen: roller, beslutsrätter, riskbedömning och uppföljning. Policyn är en del av styrningen.

Vem ska äga AI-frågan i en organisation?

En person i ledningsgruppen, med stöd av IT, dataskydd, juridik och HR. I undersökningen AI & HR i Sverige 2025 såg 47 procent AI som en fråga för både HR och IT. Utan en utsedd ägare blir det lätt oklart vem som håller ihop arbetet.

Måste vi följa ISO/IEC 42001?

Nej. ISO/IEC 42001 är en frivillig standard för ledningssystem för AI. Den kan vara ett bra stöd för större organisationer, men AI-förordningen kräver den inte.

När gäller AI-förordningens krav på högrisksystem?

För högrisksystem i bilaga III, bland annat AI för rekrytering och bedömning av personal, gäller kraven från 2 december 2027. För högrisksystem som ingår i produkter gäller de från 2 augusti 2028. Datumen sköts fram genom omnibusförordningen (EU) 2026/1744.

Källor

Vill ni sätta styrningen tillsammans?

I AI-workshopen för ledningsgrupper bestämmer ni vem som äger frågan, vilka regler som gäller och vilka tre beslut ni tar först.

Jag vill ha hjälp med AI governance