AI-policy mall för företag

# AI-policy för [Företagsnamn]

Antagen av: [Styrelse / VD]
Datum: [ÅÅÅÅ-MM-DD]
Version: 1.0
Ägare: [Roll, t.ex. CIO]
Granskas: Årligen och vid större förändringar av EU AI Act eller verksamheten.

---

## 1. Syfte

Denna policy beskriver hur [Företagsnamn] använder artificiell intelligens
(AI) på ett säkert, lagligt och etiskt sätt. Policyn gäller alla
medarbetare, konsulter och leverantörer som använder AI-verktyg i
företagets namn eller med företagets data.

## 2. Tillämpning

Policyn omfattar:
- Generativa AI-verktyg (ChatGPT, Microsoft Copilot, Claude, Gemini m.fl.)
- AI-funktioner inbyggda i affärssystem (CRM, ERP, HR, ekonomi)
- Egenutvecklade AI-modeller och AI-agenter
- AI-tjänster levererade av tredjepart

## 3. Roller och ansvar

| Roll                   | Ansvar                                                              |
|------------------------|---------------------------------------------------------------------|
| VD                     | Ytterst ansvarig för efterlevnad.                                   |
| AI-ansvarig (CIO/CTO)  | Äger policyn, godkänner nya AI-verktyg, leder AI-styrgrupp.         |
| DPO                    | GDPR-bedömning, DPIA, registerförteckning.                          |
| Linjechefer            | Säkerställer efterlevnad i sitt team, godkänner användningsfall.    |
| Medarbetare            | Följer policyn, rapporterar incidenter, märker AI-innehåll.         |

## 4. Tillåten användning

Följande AI-verktyg är godkända och får användas i tjänsten:

- [Verktyg 1, t.ex. Microsoft 365 Copilot — godkänt för all företagsdata]
- [Verktyg 2, t.ex. ChatGPT Enterprise — godkänt utom för persondata]
- [Verktyg 3, t.ex. Claude for Work — godkänt för kod och text]

Nya verktyg måste godkännas av AI-ansvarig innan de tas i bruk.

## 5. Otillåten användning

Det är förbjudet att:
- Mata in personuppgifter, kunddata eller affärshemligheter i AI-verktyg
  som inte är godkända för respektive datakategori.
- Använda AI för förbjudna ändamål enligt EU AI Act, t.ex. social
  scoring, manipulativ beteendepåverkan eller obehörig biometrisk
  identifiering.
- Publicera AI-genererat innehåll externt utan mänsklig granskning.
- Fatta beslut om individer (rekrytering, kreditgivning, uppsägning)
  enbart baserat på AI-utdata.

## 6. Data och GDPR

- Persondata får endast behandlas i AI-verktyg med tecknat
  personuppgiftsbiträdesavtal (DPA) och giltig rättslig grund.
- Dataminimering: använd endast den data som behövs för uppgiften.
- Tredjelandsöverföring: kräver SCC eller motsvarande skyddsåtgärd.
- DPIA krävs vid systematisk behandling i stor skala eller hög risk.

## 7. EU AI Act – riskklassificering

Varje AI-system klassas enligt:

| Nivå           | Exempel                              | Krav                                      |
|----------------|--------------------------------------|-------------------------------------------|
| Förbjuden      | Social scoring, manipulation         | Får inte användas.                        |
| Hög risk       | Rekrytering, kreditbeslut, utbildning| Riskhantering, dokumentation, översyn.    |
| Begränsad risk | Chatbots, deepfakes                  | Transparens — användaren ska veta.        |
| Minimal risk   | Spamfilter, rekommendationer         | Frivilliga riktlinjer.                    |

## 8. Medarbetarriktlinjer

- Anta att leverantören kan se det du skriver — skriv inget i AI-verktyg
  du inte hade skrivit i ett mejl till en extern part.
- Granska alltid AI-utdata innan det går vidare till kund eller publik.
- Märk AI-genererat innehåll när det är väsentligt för mottagaren.
- Rapportera misstänkta AI-incidenter till [incident@foretag.se].

## 9. Leverantörskrav

Vid upphandling av AI-tjänster ska följande dokumenteras:
- Personuppgiftsbiträdesavtal (DPA)
- Modellkort och dokumentation av träningsdata
- Säkerhetsbilaga (kryptering, åtkomst, lagring)
- Audit-rätt och exit-plan
- Geografi för datalagring (EU/EES prioriteras)

## 10. Incidenter

AI-relaterade incidenter rapporteras till [DPO/CISO] inom 24 timmar.
Vid personuppgiftsincident gäller GDPR:s 72-timmarsregel mot IMY.

## 11. Utbildning

Alla medarbetare ska genomgå grundläggande AI-utbildning vid anställning
och årlig repetition. Utvecklare och AI-ansvariga får fördjupad
utbildning i prompt engineering, säkerhet och EU AI Act.

## 12. Uppföljning

- Policyn revideras minst en gång per år.
- AI-styrgruppen möts kvartalsvis.
- Avvikelser rapporteras till ledningen halvårsvis.

---

Frågor om policyn? Kontakta [ai-ansvarig@foretag.se].

• Ledningen har formellt antagit policyn (styrelse- eller VD-beslut, daterat).
• Alla medarbetare har fått policyn och kvitterat att de läst den.
• Lista över godkända AI-verktyg är publicerad och uppdateras kvartalsvis.
• Varje AI-system är riskklassat enligt EU AI Act (förbjuden / hög / begränsad / minimal).
• DPIA är genomförd för system som behandlar personuppgifter i större skala.
• Leverantörsavtal innehåller DPA och AI-bilaga (modellkort, säkerhet, audit).
• Incidentprocess är etablerad och testad minst en gång per år.
• Policyn revideras minst årligen — och alltid när EU AI Act-krav träder i kraft.