AI-policy för företag: innehåll, exempel och gratis mall

Av Johannes Sundlo, konsult inom AI och ledarskap, tidigare HR på Spotify. Uppdaterad 22 oktober 2026.

Kort svar

En AI-policy är organisationens regler för hur medarbetarna får använda AI i arbetet: vilka verktyg som är godkända, vilken information som får användas, vem som ansvarar för det AI tar fram och vem man kontaktar när något går fel. Ledningen beslutar den, och den bör rymmas på en eller två sidor. I min undersökning bland svenska HR-medarbetare uppgav 47 procent 2025 att organisationen har en AI-policy, upp från 27 procent året innan, medan 44 procent saknade en. Du kan ladda ner en färdig mall nedan och anpassa den.

Innehåll Verktyg, information, ansvar, utbildning och kontaktväg.
Längd En till två sidor, beslutad av ledningen.
Mall Gratis i Word, utan registrering.

Vad är en AI-policy?

En AI-policy beskriver hur generativ AI får och bör användas i organisationen. DIGG, som tillsammans med IMY har tagit fram riktlinjer för generativ AI i offentlig förvaltning, skriver att det ska bestämmas i förväg, ytterst av ledningen (DIGG). Dokumentet behöver inte heta AI-policy. Det kan ligga i en befintlig riktlinje för IT eller informationssäkerhet, så länge medarbetarna hittar det och förstår det.

Policyn riktar sig till medarbetarna. Hur ledningen styr AI-arbetet i stort, med roller, riskbedömning och beslut, är AI governance. Båda behövs, men policyn är den medarbetarna läser.

Vad ska en AI-policy innehålla?

DIGG listar sju områden som policyn ska svara på (DIGG). Jag har lagt till ett åttonde om agenter, eftersom allt fler AI-verktyg kan agera på egen hand.

Syfte och omfattning. Vad policyn ska åstadkomma och vilka AI-tjänster den gäller.
Vem den gäller för. Medarbetare, konsulter och praktikanter, och om något skiljer sig mellan avdelningar.
Etiska principer. Rättvisa, öppenhet och ansvar, och hur ni motverkar snedvridna och diskriminerande resultat.
Dataskydd och säkerhet. Vilken information som får användas, hur personuppgifter skyddas och vem man kontaktar om något oönskat händer.
Användning och begränsningar. Vilka verktyg som är godkända och vilka som är förbjudna, vilken data som får användas och vem som granskar det verktyget tar fram.
Ansvar. Vem som ser till att policyn följs, utvärderas och uppdateras.
Utbildning. Vilken utbildning användarna behöver och hur lång tid de får på sig att lära sig.
Agenter och kopplingar. Vad AI får göra på egen hand, till exempel skicka mejl eller ändra filer, och vilka behörigheter det får ha.

Mall för AI-policy att ladda ner

Mallen följer områdena ovan. Fyll i det som gäller hos er, ta bort det som inte passar och låt rätt personer läsa innan ledningen beslutar.

Första sidan av mallen AI-policy för medarbetare

Word

Gratis mall

AI-policy för medarbetare

Elva korta avsnitt med hakparenteser att fylla i
Tabell över vilken information som får användas i vilka verktyg
Checklista innan ni publicerar

Ladda ner mallen

Word-fil, tre sidor. Ingen registrering.

Mallen är inte juridisk rådgivning. Låt dataskyddsombud, IT och vid behov jurist läsa er version innan den beslutas.

Exempel på AI-policy

Så här kan en kort version se ut. Den passar som sammanfattning överst i policyn eller som det ni sätter upp på intranätet.

Exempel: AI-policy på en sida

Du får använda de AI-verktyg som finns på listan över godkända verktyg, inloggad med ditt jobbkonto.
Öppen och intern information får användas i de godkända verktygen. Konfidentiell information och personuppgifter bara i de verktyg som är godkända för det.
Känsliga personuppgifter, till exempel om hälsa, går inte in i AI-verktyg utan särskilt beslut.
Privata AI-konton används aldrig för jobbuppgifter.
Du ansvarar för det du skickar vidare, även när AI har hjälpt till. Kontrollera fakta, siffror och citat.
Beslut om enskilda personer fattas alltid av en människa.
Bilder, ljud och video som är gjorda med AI och kan uppfattas som äkta märks som AI-genererade.
AI-agenter och kopplingar får aldrig ha mer behörighet än du själv har.
Har något gått fel, kontakta [roll] direkt. Ingen får skäll för att rapportera.
Policyn ägs av [roll] och ses över var sjätte månad.

Får man använda ChatGPT på jobbet?

Det bestämmer arbetsgivaren. IMY påpekar att när en medarbetare använder ett privat konto i en AI-tjänst i jobbet och behandlar personuppgifter, kan arbetsgivaren bli personuppgiftsansvarig för behandlingen. Utan personuppgiftsbiträdesavtal kan användningen då strida mot GDPR. IMY:s råd är därför att sådana tjänster inte ska användas i arbetet utan godkännande (DIGG och IMY).

Svaret behöver inte vara nej. Policyn ska säga vilka verktyg som gäller, och organisationen behöver erbjuda ett som är godkänt. Annars växer skugg-AI, användning i privata konton som ingen ser. Vad de olika företagsplanerna kostar och vad de skyddar finns i AI-licens för företag.

Så gör DIGG i sin egen policy

DIGG har publicerat sin egen AI-policy, som gäller sedan 1 juli 2025, och en riktlinje för användningen (DIGG). Några delar är bra förebilder även för privata företag:

Bara godkända verktyg, och inga privata licenser eller licenser från leverantörer och konsulter.
Informationsklassning avgör vad som får gå in i vilket verktyg.
Medarbetaren ansvarar alltid för resultatet. DIGG skriver att AI aldrig har ett ansvar.
Beslut som påverkar enskilda fattas av en människa, och kontrollen dokumenteras.
AI-agenter kräver en riskbedömning innan de används.
Riktlinjen gäller ett år och omprövas sedan.

Vad säger lagen?

Det finns inget krav i AI-förordningen på ett dokument som heter AI-policy. Några regler påverkar ändå vad policyn bör säga:

AI-kunnighet. Organisationer som använder AI-system ska vidta åtgärder för att främja AI-kunnighet hos sin personal, enligt artikel 4. Kravet mildrades i juli 2026 men ligger kvar (EUR-Lex). Mer i AI-kunnighet och AI-förordningen.
Känsloigenkänning är förbjuden. AI-system som tolkar en persons känslor på arbetsplatsen är förbjudna sedan 2 februari 2025, utom av medicinska skäl eller säkerhetsskäl (EUR-Lex).
Märkning. Sedan 2 augusti 2026 ska den som använder AI för att skapa bilder, ljud eller video som kan uppfattas som äkta tala om att innehållet är AI-genererat (EUR-Lex).
Rekrytering och bedömning av personal. AI-system som används för att rekrytera eller bedöma personal räknas som högrisk, och kraven på arbetsgivaren gäller från 2 december 2027. Mer i AI i rekrytering.
Arbetsmiljö. DIGG skriver att arbetsgivaren innan AI införs ska göra en risk- och konsekvensanalys enligt arbetsmiljölagen och ge medarbetarna utbildning och instruktioner (DIGG).

Så tar ni fram er AI-policy

Ta reda på vad som används i dag. Fråga öppet, utan att leta syndare. Svaren visar vad policyn måste täcka.
Bestäm vilka verktyg som gäller. En policy utan ett godkänt verktyg blir ett förbud i praktiken.
Skriv ett utkast med mallen. Håll det kort. Detaljer om enskilda system kan ligga i separata rutiner.
Låt rätt personer läsa. Dataskyddsombud, IT och skyddsombud, och jurist vid behov.
Låt ledningen besluta och följa den själv. Använder ledningen andra verktyg än policyn säger märks det snabbt.
Utbilda och följ upp. Gå igenom policyn i teamen och se över den efter sex månader, eftersom verktygen ändras snabbt.

I min AI-workshop för ledningsgrupper tar ledningen fram ett utkast på en sida samma dag, efter att ha testat verktygen på egna uppgifter.

Jag vill ha hjälp med vår AI-policyNamn, mejl och företag räcker, så hör jag av mig.

Vanliga misstag

För lång. En policy på tio sidor läses inte. Sammanfatta det viktigaste på en sida.
Bara förbud. Säger policyn mest vad man inte får göra fortsätter användningen i privata konton.
Ingen ägare. Utan någon som ansvarar blir policyn snabbt inaktuell.
Ingen kontaktväg. Medarbetare behöver veta vem de frågar och vem de berättar för när något gått fel.

Vanliga frågor

Vad ska en AI-policy innehålla?

Syfte och omfattning, vem den gäller för, etiska principer, dataskydd och säkerhet, vilka verktyg och vilken data som får användas, vem som ansvarar och vilken utbildning som behövs. Det är de sju områden DIGG listar. Lägg gärna till regler för AI-agenter och kopplingar till era system.

Finns det en mall för AI-policy?

Ja, du kan ladda ner en gratis mall i Word på sundlo.com/ai-policy utan registrering. Den har elva avsnitt, en tabell över vilken information som får användas i vilka verktyg och en checklista. DIGG har också publicerat sin egen AI-policy som exempel.

Måste företag ha en AI-policy?

AI-förordningen kräver inget dokument som heter AI-policy. Men organisationer som använder AI-system ska vidta åtgärder för att främja AI-kunnighet hos personalen, och enligt IMY bör allmänt tillgängliga AI-tjänster inte användas i arbetet utan arbetsgivarens godkännande. En policy är det enklaste sättet att göra båda tydliga.

Får man använda ChatGPT på jobbet?

Om arbetsgivaren har godkänt det. När en medarbetare använder ett privat konto och behandlar personuppgifter kan arbetsgivaren bli personuppgiftsansvarig, enligt IMY. Använd därför bara de verktyg och konton som organisationen har godkänt.

Vad är skillnaden mellan AI-policy och AI governance?

AI-policyn är reglerna för medarbetarna: vilka verktyg och vilken information som gäller. AI governance är hur ledningen styr AI-arbetet i stort, med roller, riskbedömning, beslut och uppföljning.

Källor

Vill ni ta fram policyn tillsammans?

I AI-workshopen för ledningsgrupper testar ni verktygen på egna uppgifter och lämnar med regler på en sida och tre beslut med ägare.

Jag vill ha hjälp med vår AI-policy