En AI-policy som börjar med förbud skapar mer skugg-AI, inte mindre. Den bästa policyn är ett förändringsverktyg: den utgår från vad folk redan gör och säger vad som är tillåtet innan den säger vad som inte är det.
Kort svar: Ja, i de flesta företag får medarbetare använda AI på jobbet – men bara på det sätt arbetsgivaren har bestämt. Finns ingen policy fattar varje medarbetare egna beslut om vilka verktyg som används och vilken information som klistras in. Det är där riskerna uppstår.
Varför frågan dyker upp just nu
Frågan "får man använda AI på jobbet?" ställs av medarbetare, inte av ledningsgrupper. Det säger något. Människor använder redan ChatGPT, Copilot och andra verktyg – ofta privat, i mobilen, utan att någon vet om det. De googlar för att de är osäkra på om de gör fel.
De flesta svenska AI-policyer vi ser svarar på frågan med en lista: klistra inte in personuppgifter, använd bara godkända verktyg, granska alltid resultatet. Det är rimligt. Men en lista med förbud löser inte det underliggande problemet: att medarbetare har ett behov som organisationen inte har mött.
Vanliga misstag i AI-policyer
1. Policyn skrivs av IT och juridik, utan verksamheten. Resultatet blir ett dokument om risker, inte om arbete. Medarbetare läser det inte, eller läser det som "använd inte AI".
2. Förbud utan alternativ. Om ni förbjuder ChatGPT men inte erbjuder ett godkänt verktyg som klarar samma uppgifter, flyttar användningen bara ut ur synfältet.
3. Policyn lanseras som ett mejl. En policy som inte gås igenom av närmaste chef, i teamets egna exempel, förändrar inget beteende.
4. Den uppdateras aldrig. AI-verktygen förändras varje kvartal. En policy från förra året är ofta redan fel.
Så gör ni en AI-policy som faktiskt används
Steg 1: Ta reda på vad som redan händer
Gör en kort, anonym enkät: Vilka AI-verktyg använder du? Till vilka uppgifter? Vad skulle du vilja använda AI till om du fick? Anonymiteten är avgörande – annars får ni bara de svar folk tror att ni vill höra.
Steg 2: Börja med det tillåtna
Skriv policyn i tre nivåer:
Tillåtet – verktyg och uppgifter som är godkända (t.ex. utkast till texter, sammanfattningar av egna dokument, idéer).
Tillåtet med villkor – t.ex. kunddata bara i godkänt företagsverktyg, alltid mänsklig granskning innan något går till kund.
Inte tillåtet – t.ex. personuppgifter eller sekretessbelagd information i publika verktyg, AI som ensam fattar beslut om anställda.
När "tillåtet" kommer först läser medarbetare policyn som en inbjudan, inte en varning.
Steg 3: Erbjud ett godkänt alternativ samtidigt
En policy utan ett verktyg som fungerar för de vanligaste uppgifterna kommer att kringgås. Lansera dem tillsammans.
Steg 4: Låt cheferna äga genomgången
Ge varje chef ett kort underlag och be dem gå igenom policyn på ett teammöte, med två eller tre exempel från teamets egen vardag. Det är där policyn blir verklig.
Steg 5: Koppla till AI-förordningen
Sedan den 2 februari 2025 gäller artikel 4 i EU:s AI-förordning: organisationer som använder AI-system ska vidta åtgärder för att stödja utvecklingen av AI-kunnighet hos sin personal (EUR-Lex, förordning (EU) 2024/1689). En policy som förklarar varför reglerna finns, och följs upp med utbildning, är en naturlig del av det arbetet.
Steg 6: Ta in facket tidigt (MBL)
Om AI-verktygen påverkar arbetsuppgifter, uppföljning eller behandling av personuppgifter om anställda kan arbetsgivaren ha förhandlingsskyldighet enligt 11 § MBL innan beslut fattas. Unionen beskriver detta för sina förtroendevalda (Unionen). Ta in facket tidigt – det ger legitimitet åt policyn.
Steg 7: Sätt ett datum för nästa översyn
Skriv in i policyn när den ska ses över, till exempel varje kvartal första året.
Vad en bra AI-policy innehåller – checklista
Syfte: varför vi använder AI och vad vi vill uppnå
Godkända verktyg och vem som ansvarar för dem
Tre nivåer: tillåtet, tillåtet med villkor, inte tillåtet
Regler för data: vad får och får inte matas in
Krav på mänsklig granskning och ansvar för resultatet
Hur man rapporterar misstag eller incidenter – utan att straffas första gången
Var man får stöd och utbildning
Datum för nästa översyn
Policyn är början, inte slutet
Människorna är den stora delen av AI-arbetet. Vår bedömning på Lyon AM är att ungefär 70 procent av en lyckad AI-satsning handlar om människor, ledarskap och arbetssätt – inte om tekniken. Det stämmer med Proscis studie av 1 107 yrkesverksamma, där 63 procent av utmaningarna vid AI-införande var mänskliga faktorer och bara 16 procent tekniska (Prosci). En policy är det första beviset för medarbetarna på att ledningen menar allvar – eller att den bara vill skydda sig.
Vanliga frågor
Får arbetsgivaren förbjuda ChatGPT på jobbet? Ja, arbetsgivaren bestämmer vilka verktyg som får användas i arbetet. Men ett förbud utan godkänt alternativ leder ofta till att användningen fortsätter i det dolda.
Måste ett företag ha en AI-policy? Det finns inget generellt lagkrav på ett dokument som heter AI-policy. Men AI-förordningen kräver att organisationer som använder AI vidtar åtgärder för att stödja utvecklingen av AI-kunnighet hos personalen, och GDPR gäller fortfarande. En policy är det enklaste sättet att visa hur ni gör.
Vad är skugg-AI? Skugg-AI är när medarbetare använder AI-verktyg som arbetsgivaren inte har godkänt eller känner till, ofta för att de godkända verktygen saknas eller inte räcker till.
Hur ofta ska en AI-policy uppdateras? Minst en gång per år, och gärna varje kvartal under det första året eftersom verktygen och användningen förändras snabbt.
Nästa steg
Vill ni veta var er organisation står? Gör Lyon AM:s AI-diagnos – den visar både hur mycket AI som faktiskt används och hur väl ni har förutsättningarna på plats. Eller kontakta oss för ett samtal om er AI-policy och hur ni får den att leva.
