AI-policy · EU AI Act
AI-policy enligt AI Act – vad den måste innehålla
De flesta AI-policyer misslyckas av samma skäl: de är skrivna för att kunna visas upp, inte för att kunna följas. Här är innehållet som gör policyn användbar i vardagen och samtidigt bär mot förordningens krav.
Framtagen av aimognad.se · Senast uppdaterad augusti 2026.
Kort svar: vad ska en AI-policy innehålla?
AI Act kräver inte en "AI-policy" i sig, men den kräver saker som en policy är rätt plats för: roller och ansvar, mänsklig kontroll, transparens och hantering av risk. En användbar AI-policy täcker sex delar — syfte och omfattning, godkända verktyg, dataregler, roller och ansvar, mänsklig granskning samt incidenthantering — och pekar ut vem som beslutar om nya verktyg.
De sex delarna en AI-policy behöver
- Syfte och omfattning: vilka system, vilka personer, vilka bolag i koncernen.
- Godkända verktyg: en lista som faktiskt underhålls, med vem som äger varje verktyg.
- Dataregler: vad som aldrig får matas in (personuppgifter, kunddata, kod under NDA) och vad som är fritt.
- Roller och ansvar: vem äger AI-frågan, vem godkänner nya verktyg, vem hanterar incidenter.
- Mänsklig kontroll: vilka beslut som aldrig får fattas av AI ensamt, och hur granskningen dokumenteras.
- Transparens: när kunder och medarbetare ska informeras om AI-användning.
Koppling till förordningens krav
| Krav i AI Act | Vad policyn ska säga |
|---|---|
| Artikel 4 – AI-kompetens | Att utbildning krävs innan verktyg får användas, och vem som håller registret. |
| Artikel 50 – transparens | Hur AI-genererat innehåll märks och hur chattbottar presenteras för kund. |
| Förbjuden praxis | Uttryckligt förbud mot t.ex. känsloigenkänning på medarbetare och social poängsättning. |
| Roller (leverantör/tillhandahållare) | Att egenutvecklade lösningar som delas externt kräver juridisk avstämning först. |
Godkännandeprocess för nya verktyg
Den enskilt viktigaste mekanismen i policyn är hur ett nytt verktyg blir godkänt. Utan en enkel väg in kommer medarbetarna använda verktyg ändå — utanför er kontroll.
- Ett formulär eller en kanal där vem som helst kan föreslå ett verktyg.
- Fyra frågor: vad ska det lösa, vilka data hamnar där, var lagras de, vilken risknivå.
- Beslut inom en definierad tid, av en namngiven roll.
- Uppdatering av verktygslistan och av AI-inventeringen vid varje godkännande.
Vanliga misstag
- Policyn förbjuder allt utom ett verktyg, vilket driver fram skugg-AI.
- Den nämner inga konkreta verktygsnamn och blir därför omöjlig att följa.
- Ingen äger den, och den revideras aldrig när nya modeller kommer.
- Den blandar ihop GDPR-frågor och AI Act-frågor så att inget blir tydligt.
Checklista för AI-policyn
- Policyn har en namngiven ägare och ett revisionsdatum.
- Listan över godkända verktyg är aktuell.
- Dataregler är formulerade i konkreta exempel, inte principer.
- Det finns en beskriven väg för att föreslå och godkänna nya verktyg.
- Beslut som kräver mänsklig granskning är uppräknade.
- Policyn är kommunicerad och kvitterad av medarbetarna.
- Kopplingen till AI-inventeringen och riskklassificeringen är beskriven.
Vanliga frågor
Kräver AI Act att vi har en AI-policy?
Inte explicit för tillhandahållare av lågrisksystem. Men kraven på kompetens, transparens och mänsklig kontroll måste dokumenteras någonstans, och en policy är den enklaste platsen. För högrisksystem krävs mer formaliserad styrning.
Ska AI-policyn vara en del av informationssäkerhetspolicyn?
Den kan vara det, men de flesta får bättre genomslag med ett fristående, kort dokument som medarbetarna faktiskt läser — med hänvisningar till informationssäkerhets- och dataskyddspolicyn.
Hur ofta bör policyn uppdateras?
Minst två gånger per år, och alltid när ni inför ett nytt verktyg med bredare användning eller när nya delar av förordningen börjar tillämpas.
Är det här juridisk rådgivning?
Nej. Innehållet är en praktisk tolkning av förordning (EU) 2024/1689 och avsett som utgångspunkt för ert eget arbete. Låt jurist eller dataskyddsombud granska era slutsatser innan ni fattar bindande beslut.
Läs vidare
Färdig svensk mall att kopiera eller ladda ner som Word.
GDPR-delen som AI-policyn behöver hänvisa till.
Utbildningskravet som policyn ska hänvisa till.
Hämta en färdig AI-policy
Vår svenska AI-policymall täcker alla sex delar och går att anpassa på en eftermiddag.