AI-policy för svenska företag: så skriver du en som faktiskt används (och håller för GDPR)

Varför du behöver en AI-policy nu

Fråga runt på nästa möte hur många i rummet som använde ett AI-verktyg i förra veckan. Räck sedan upp handen den som vet vilka regler som gäller för det. De två siffrorna stämmer nästan aldrig överens, och den skillnaden är precis problemet.

Det som pågår på de flesta svenska arbetsplatser just nu är inte att ingen använder AI. Det är att alla använder det i det tysta. En medarbetare klistrar in ett kundmejl i ChatGPT för att få hjälp med svaret. En annan laddar upp ett avtalsutkast för att få det sammanfattat. En tredje ber ett verktyg skriva om ett känsligt personalärende. Ingen av dem är illvillig. Ingen av dem har heller fått veta vad som är okej. Det brukar kallas skugg-AI — användning som sker utanför synhåll för ledningen, med den data företaget råkar ha, utan att någon fattat ett beslut.

Frånvaron av en policy stänger inte av den här användningen. Den gör bara att den sker på varje enskild medarbetares gissning om vad som är lämpligt. Det är den sämsta av två världar: du får riskerna med bred AI-användning utan att få nyttan av att den är riktad mot rätt uppgifter. Och paradoxalt nog är det ofta de mest ansvarstagande medarbetarna som avstår helt — inte för att de saknar idéer, utan för att ingen sagt att de får, och att avstå känns tryggare än att råka göra fel.

En AI-policy löser det här genom att göra tre saker samtidigt: den säger vad som är tillåtet, den säger var gränsen går, och den pekar ut vem man frågar när man är osäker. När de tre sakerna finns på pränt slutar folk gissa. Det är därför en tydlig policy nästan alltid ökar den nyttiga användningen i stället för att minska den — ett mönster vi ser om och om igen, och som ligger nära varför team som verkar rädda för AI oftast inte är rädda för tekniken utan för att göra fel med den.

Vad datan säger om svenska företag

Det här är inte bara en känsla. Anthropics Economic Index mäter faktisk Claude-användning genom att matcha innehållet i konversationer mot olika typer av arbetsuppgifter, land för land. Bilden av Sverige är slående tydlig.

Läs de två första raderna tillsammans. Sverige använder Claude betydligt mer än man skulle gissa utifrån befolkningens storlek — Usage Index på 2,98 betyder nära tre gånger så mycket som folkmängden ensam förutsäger, plats 22 av 121 länder. Men en mindre andel av den användningen ser ut som arbete än i nästan hela övriga världen. Svenskarna har tagit till sig AI privat, men inte fört in den i arbetsdagen i samma utsträckning. (Usage Index är en regions andel av all Claude-användning delat med dess andel av befolkningen i arbetsför ålder; 1,0 betyder användning exakt i proportion till folkmängden.)

Det finns en detalj till som är värd att stanna vid. Bland de vanligaste yrkeskategorierna i svensk användning är ledning och styrning den mest underrepresenterade jämfört med världen — ungefär en femtedel under det globala snittet. Med andra ord: de uppgifter som normalt utförs av chefer och ledningsgrupper syns tydligt mindre i datan här än på andra håll. Det stämmer med en vanlig iakttagelse i svenska bolag: medarbetarna experimenterar, men signalen uppifrån om att det här är hur vi jobbar nu saknas ofta. Vi har skrivit mer om det nordiska mönstret i den nordiska AI-klyftan.

Kopplingen till policyn är rakare än den kanske verkar. En viktig anledning till att den privata fluensen inte flyttar in i arbetet är att ingen har sagt var gränsen går. Den anställda som gärna använder Claude på kvällen för sitt eget vet inte om hon får lägga kunddata i det på dagen — så hon låter bli. Policyn är verktyget som stänger just det gapet.

Vad en AI-policy faktiskt ska innehålla

En bra AI-policy är kort nog att någon faktiskt läser den och konkret nog att den går att följa. Undvik frestelsen att skriva en avhandling om artificiell intelligens. Det som behövs är svar på de frågor en medarbetare faktiskt har på tisdag eftermiddag. I praktiken är det sju punkter.

• Godkända verktyg. Vilka AI-tjänster får användas i arbetet, och vilka inte? Var specifik och namnge dem. "Använd sunt förnuft" är inte en lista.
• Vilken data som får hamna var. Den viktigaste raden i hela dokumentet. Slå fast vad som aldrig får läggas i ett externt verktyg (personuppgifter, kunddata, koder, opublicerade siffror) och vad som är fritt fram (offentligt material, egna utkast, allmänna frågor).
• Vad AI får och inte får användas till. Skriv utkast, sammanfatta, brainstorma, koda — ja. Fatta beslut om anställning, kredit eller uppsägning på egen hand — nej. Beslut med rättslig eller väsentlig påverkan på en person ska en människa stå för.
• Mänsklig granskning. Slå fast att en människa läser och ansvarar för allt som lämnar företaget — mejl, offert, rapport, kod. AI föreslår, en person godkänner.
• Transparens. När ska det framgå att AI varit inblandat? Internt behöver det oftast inte det; i vissa kundlägen och myndighetskontakter bör det det.
• Ansvar och ägarskap. Vem äger policyn, vem svarar på frågor, och hur ofta ses den över? Utan en namngiven ägare blir dokumentet inaktuellt inom ett kvartal.
• Vad man gör när man är osäker. En enda mening som säger "fråga X innan du gör det" är värd mer än tio sidor regler, eftersom den täcker allt du inte tänkte på.

Lägg märke till att inget av det här kräver en teknisk expert för att skriva. Det är affärsbeslut om risk och ansvar, inte tekniska val — och de bör därför fattas av ledningen, inte delegeras till IT som en formalitet. Det är också därför en policy som skrivs i samma rum som teamet faktiskt börjar använda verktygen brukar bli både bättre och mer följd, ett mönster vi återkommer till i hur man rullar ut AI i en organisation.

GDPR och AI: det du måste tänka på

För ett svenskt företag är dataskydd inte en sidofråga i AI-policyn — det är själva kärnan. GDPR gäller så snart personuppgifter är med i bilden, och "personuppgift" är bredare än många tror: ett namn, en e-postadress, ett kundnummer, en inspelad röst. Klistrar en medarbetare in ett kundmejl i ett AI-verktyg har personuppgifter behandlats, och då gäller reglerna oavsett hur ofarligt det kändes.

Fyra saker att få på plats:

• Personuppgiftsbiträdesavtal (PUB-avtal). Om ett verktyg behandlar personuppgifter för er räkning behöver ni ett sådant avtal med leverantören. Seriösa leverantörer erbjuder det; saknas det är verktyget inte lämpligt för uppgifter med persondata.
• Var datan lagras och om den tränar modellen. Ta reda på om det ni skickar in används för att träna leverantörens modeller. På företagsavtal är svaret normalt nej — Anthropic tränar till exempel inte på innehåll från Team- och Enterprise-kunder — men det är en fråga att verifiera per verktyg, inte anta.
• Rättslig grund och dataminimering. Lägg inte in mer personuppgifter än uppgiften kräver. Ofta går det att lösa problemet med avidentifierat underlag, och då försvinner en stor del av risken.
• EU:s AI-förordning (AI Act). Utöver GDPR finns numera EU:s regelverk för AI, som ställer högre krav på användning i känsliga sammanhang som rekrytering och kreditbeslut. För de flesta kontorsuppgifter är kraven lätta att möta, men policyn bör nämna att sådana högriskområden hanteras särskilt.

Det korta svaret på den vanligaste frågan — "är det ens tillåtet att använda AI med GDPR?" — är ja, med rätt avtal och rätt disciplin kring vilken data som går in. Vi har gått igenom datasäkerheten mer i detalj i är din data säker i Claude. Poängen med policyn är att göra den disciplinen till en regel alla känner till, i stället för något var och en får räkna ut på egen hand.

En enkel struktur att börja från

Du behöver inte börja från ett blankt papper. Här är en struktur som täcker det viktiga och får plats på en till två sidor. Fyll i det som gäller er, ta bort resten.

En policy i det här formatet går att skriva på en förmiddag och att läsa på fem minuter. Det är inte en svaghet — det är hela poängen. Ett dokument på trettio sidor som ligger i en mapp ingen öppnar skyddar ingen. En sida som alla har läst styr faktiskt beteende.

Vanliga misstag

För restriktiv. Den vanligaste reflexen är att förbjuda nästan allt tills allt är utrett. Problemet är att förbudet inte stoppar användningen — det driver ner den under ytan, till privata konton och telefoner där ni har ännu mindre insyn. En policy som säger nej till allt producerar mer skugg-AI, inte mindre.

För vag. Motsatsen är lika vanlig: "använd AI ansvarsfullt och med gott omdöme". Det låter bra och styr ingenting, eftersom två personer läser in helt olika saker i "ansvarsfullt". Det som styr är konkreta exempel: den här sortens data, aldrig; den här uppgiften, gärna.

Skriven en gång och glömd. AI-verktygen ändras snabbt, och en policy från förra året kan referera till funktioner och risker som inte längre stämmer. Utan en ägare och ett översynsdatum blir dokumentet inaktuellt utan att någon märker det. Sätt ett datum redan i första versionen.

Skriven av fel personer i fel rum. En policy som IT eller juridik skriver ensamma tenderar att lösa deras problem, inte medarbetarens. De som faktiskt ska följa reglerna behöver vara med när de sätts — annars blir policyn något som hände dem, inte något de äger.

Så kommer ni igång

Vänta inte på den perfekta versionen. En enkel, tydlig policy som finns är oändligt mycket bättre än en heltäckande som fortfarande är ett utkast om ett halvår. Skriv version ett den här veckan med de sju punkterna ovan, låt den vara en sida, och skicka ut den med ett tydligt budskap uppifrån om att det här är hur vi jobbar nu.

Det budskapet uppifrån är inte en detalj — det är ofta det som saknas. Datan visar att svenska team redan har fluensen privat. Det som fattas är en signal om att den får användas på riktigt arbete, och en tydlig ram som gör signalen ofarlig att följa. Policyn levererar båda på samma gång.

Nästa steg är att koppla ihop reglerna med praktiken: att låta teamet bygga något med rätt verktyg, på riktiga uppgifter, med spelreglerna satta i samma rum. Det är där en policy går från dokument till vana — och det är precis den bryggan de flesta initiativ missar. Vad en sådan session bör innehålla, och hur ni skiljer en som ändrar arbetssätt från en som bara informerar, går vi igenom i vår guide till AI-utbildning för företag.

Vill ni sätta både ramarna och användningen på plats samtidigt? Deployed Kickstart är en halvdag där teamet bygger något verkligt och spelreglerna sätts i samma session, och Partner-programmet är för er som vill ha en löpande AI-funktion som håller både policyn och arbetssätten aktuella.

Frequently asked questions