Så skriver du en AI-policy för ditt företag

Många företag har insett att de behöver en AI-policy. Problemet är att de flesta policys som skrivs just nu är antingen för vaga för att vara användbara eller så restriktiva att de kväver all innovation. En bra AI-policy ska inte vara ett 40-sidigt juridiskt dokument som samlar damm på intranätet. Den ska vara ett praktiskt verktyg som hjälper dina medarbetare att fatta rätt beslut i vardagen.

Här går vi igenom exakt hur du skapar en AI-policy som faktiskt fungerar i praktiken. Vi tittar på vad du måste ha med, vad du bör skippa och hur du ser till att policyn faktiskt används.

Varför de flesta AI-policys misslyckas

Innan vi tittar på hur man gör rätt kan vi snabbt avhandla varför så många gör fel. Det vanligaste misstaget är att man låter jurister skriva hela dokumentet utan input från de som faktiskt ska använda verktygen. Resultatet blir ofta ett totalförbud mot allt som verkar det minsta riskabelt. Det skapar en falsk trygghet. Verkligheten är ju att dina anställda redan använder AI. Om du förbjuder det officiellt kommer de bara att göra det i smyg via sina privata telefoner eller personliga konton. Detta fenomen kallas ofta "Shadow AI" och är en mardröm ur ett säkerhetsperspektiv eftersom du helt tappar kontrollen över vilken företagsdata som läcker ut.

Ett annat vanligt fel är att man försöker reglera specifika verktyg. Att skriva in regler för "ChatGPT version 4" eller "Midjourney v6" i en policy är meningslöst när utvecklingen går så snabbt. Innan bläcket ens har torkat har det släppts tre nya verktyg som dina anställda vill använda. Du måste alltså reglera beteenden och data istället för specifika mjukvaror.

Grundstrukturen i en fungerande AI-policy

En praktisk AI-policy bör vara kort, koncis och lätt att förstå. Den ska svara på frågan "Hur får jag använda AI i mitt jobb idag?". Här är en mall du kan utgå ifrån.

1. Syfte och inställning

Börja med att tydligt deklarera företagets inställning till AI. Är ni försiktigt avvaktande eller vill ni ligga i framkant? Uppmuntra medarbetarna att experimentera, men gör det tydligt var gränserna går. Ett bra syfte sätter tonen för resten av dokumentet. Skriv till exempel: "Vi uppmuntrar användning av AI för att öka vår produktivitet och kreativitet, men det måste alltid ske på ett säkert och ansvarsfullt sätt." Detta visar att ledningen stöttar tekniken, vilket tar bort stigmat kring att använda den.

2. Dataklassificering: vad får vi dela?

Detta är den absolut viktigaste delen av din policy. Du måste vara glasklar med vilken typ av information som får matas in i externa AI-verktyg. Många anställda förstår nog inte att information de klistrar in i en gratisversion av en chattbot kan användas för att träna framtida modeller och därmed potentiellt läcka till konkurrenter.

Dela upp det i tre nivåer för att göra det enkelt:

Grönt ljus: Offentlig information, generella branschfrågor, kod som inte innehåller affärshemligheter, pressmeddelanden som redan är publicerade. Fritt fram att använda i alla verktyg, även publika gratisversioner.
Gult ljus: Interna arbetsdokument, mötesanteckningar utan känsliga personuppgifter, utkast till strategier. Får endast användas i godkända företagsverktyg där ni har avtal som garanterar att datan inte används för att träna externa modeller (till exempel Copilot för företag eller en stängd instans av ChatGPT Enterprise).
Rött ljus: Kunddata, personuppgifter, finansiell information som inte är offentliggjord, källkod till era kärnprodukter, affärshemligheter. Får aldrig matas in i publika AI-verktyg. Här krävs helt isolerade, lokala modeller om AI överhuvudtaget ska användas.

Om du vill fördjupa dig i hur man bygger en mer omfattande struktur för detta rekommenderar jag att du läser vår guide om en praktisk modell för AI-governance.

3. Godkända verktyg och inköpsprocess

Lista vilka verktyg som är godkända för företagsbruk. Gör tydlig skillnad på verktyg där ni har företagslicenser (och därmed kontroll över datan) och publika gratisversioner.

Stanna dock inte där. Skapa också en tydlig och snabb process för hur medarbetare kan föreslå nya verktyg för utvärdering. Om en utvecklare hittar ett nytt AI-verktyg som kan halvera tiden det tar att skriva tester måste det finnas en väg att få det godkänt snabbt. Om processen tar sex månader kommer utvecklaren antingen att strunta i verktyget (och ni tappar konkurrenskraft) eller använda det i smyg (och ni tar en säkerhetsrisk).

4. Ansvar och transparens

Vem bär ansvaret när något går fel? Svaret måste alltid vara människan. AI är ett verktyg precis som en miniräknare eller en stavningskontroll. Om en medarbetare använder AI för att skriva kod, en rapport eller ett mejl är det medarbetaren som ansvarar för att innehållet är korrekt. AI har en tendens att "hallucinera", det vill säga hitta på fakta som låter övertygande. Därför måste policyn kräva att allt AI-genererat material granskas av en människa innan det används.

Kräv också transparens. Om AI har använts för att generera en stor del av ett externt material, till exempel en rapport till en kund, bör det framgå. Det bygger förtroende och minskar risken för missförstånd. Internt kan det räcka med att man är öppen med vilka verktyg man använder för att inspirera andra.

5. Upphovsrätt och juridik

Håll detta avsnitt kort och begripligt. Förklara grunderna i hur upphovsrätt fungerar när AI är inblandat. Påminn om att vi ofta inte äger material som genereras av AI på samma sätt som vi äger material vi skapat själva från grunden. Det innebär att ni bör vara försiktiga med att använda AI-genererade bilder eller texter som kärnan i er varumärkesidentitet.

Det är också viktigt att hålla ett öga på kommande lagstiftning som kommer att ställa nya krav på hur företag använder AI. För en genomgång av vad som är på gång och hur det påverkar er kan du läsa vår artikel om vad svenska företag behöver veta om EU AI Act.

Vad du ska skippa i din policy

För att hålla policyn relevant och läsbar finns det några saker du aktivt bör utelämna:

Långa tekniska förklaringar: Dina medarbetare behöver inte veta hur en transformer-modell fungerar, vad parametrar är eller hur tokenisering går till för att veta att de inte ska klistra in kundregister i en chattbot. Håll det praktiskt.
Detaljerade manualer: Hur man loggar in i specifika system, hur man formaterar en prompt för bästa resultat eller vilka kortkommandon som gäller hör hemma i en utbildning, en wiki eller en lathund. Inte i en policy.
Filosofiska utläggningar: Skippa diskussionerna om huruvida AI kommer att ta våra jobb eller om maskiner kan tänka. Fokusera på hur ni ska jobba idag.

Så får du policyn att faktiskt användas

Ett dokument på intranätet förändrar inga beteenden. För att din AI-policy ska få effekt måste du arbeta aktivt med den.

Börja med att involvera rätt personer från start. Sätt ihop en liten grupp med representanter från IT, HR, juridik och kärnverksamheten. Om policyn skrivs i ett vakuum av IT-avdelningen kommer den inte att spegla verkligheten för säljarna eller marknadsförarna.

När policyn är klar ska du inte bara lansera den via ett massmejl som ingen läser. Håll korta dragningar på avdelningsmöten. Diskutera konkreta scenarier. Fråga medarbetarna: "Vad gör vi om en kund ber oss använda ett specifikt AI-verktyg i deras projekt?" eller "Hur hanterar vi en situation där en leverantör skickar AI-genererad kod till oss?". Det är i dessa diskussioner som policyn verkligen förankras.

Gör det också enkelt att göra rätt. Om policyn säger att man bara får använda godkända företagsverktyg för intern data, se till att de verktygen faktiskt finns tillgängliga, är lätta att hitta och enkla att logga in i. Om det säkra alternativet är krångligt kommer folk väl att välja det osäkra men enkla alternativet.

Slutligen bör du se policyn som ett levande dokument. Tekniken utvecklas i en rasande takt och din policy måste hänga med. Boka in en genomgång av dokumentet minst en gång i kvartalet. Kanske har det kommit nya verktyg som kräver nya riktlinjer, eller så har ni märkt att en viss regel tolkas fel och behöver förtydligas.

Att skriva en AI-policy behöver faktiskt inte vara ett evighetsprojekt. Börja med grunderna, var tydlig med vad som gäller för datahantering och bygg vidare därifrån. Det viktigaste är att ni har riktlinjer på plats nu, inte att de är perfekta. En "good enough"-policy idag är mycket bättre än en perfekt policy om ett år.

Vi vet att det kan kännas överväldigande att navigera i allt detta, men du behöver inte ha alla svar från dag ett. Det handlar om att börja smått och bygga vidare vartefter. Om du vill bolla tankar kring hur ni kan strukturera ert arbete framåt tar vi gärna en kaffe och pratar om er situation. Låt oss hjälpa er att ta det.