Policy för acceptabel användning av AI: vad som ska inkluderas (och en plan för utbildningssessioner)

Många av era medarbetare använder förmodligen redan AI-verktyg. En policy som ingen läser skyddar ingen. En policy som folk förstår och vet hur man följer, gör det också.

Här är anledningen till att det är brådskande. Den 3 maj 2026 rapporterade 19.8 % av amerikanska företag att de använde AI, och andelen ökar med storleken: 37 % av företagen med 250 eller fler anställda och 32 % av företagen med 100 till 249 (US Census Bureau: Stora företag med minst 20 anställda största AI-användare, arkiverad kopia). Ju större företaget är, desto mer sannolikt är det att AI redan används.

Det här inlägget innehåller 10 avsnitt, ett test med 5 frågor för alla verktygsförfrågningar, 5 dataexempel och en 30-minuters sessionsplan. Det erbjuder struktur och exempelrader på tydlig engelska, inte policytext som du kan använda som den är. Det är allmän information, inte juridisk rådgivning.

Varför du behöver en policy för acceptabel användning av AI

Verktygsanvändningen går snabbare än regler. Folk klistrar in ett kundmejl i en chatbot för att spara tio minuter, utan onda avsikter och utan aning om vart texten tar vägen. En policy sätter förväntningar innan det händer: vad som är okej, vad som inte är det och vem man ska fråga.

Det hjälper också dina chefer. Utan en sådan blir varje "kan jag använda AI för detta?" ett engångsbeslut, och två chefer kommer att svara olika.

Är en policy ett rättsligt krav? Inte generellt sett som sådan. EU:s AI-lag fastställer skyldigheter som AI-kompetens, och kommissionen säger att dess skyldigheter gällande AI-kompetens har gällt sedan den 2 februari 2025, men dess översikt av lagen nämner inte en policy för acceptabel användning som ett krav (Europeiska kommissionen: Regelverk för AI-lagen). Den sidan täcker endast EU-regler. Kontrollera vad som gäller där du är verksam.

De 10 avsnitten som ska inkluderas

Här är två uppsättningar med fem. Uppsättning A handlar om omfattning och godkända verktyg. Uppsättning B handlar om data och beteende. Varje avsnitt har en exempelrad i enkel engelska. Dessa är exempel att anpassa, inte företagspolicy.

Set A: omfattning och godkända verktyg

1. Ändamål. Beskriv varför policyn finns i en eller två meningar. Exempel: ”Vi vill att ni använder AI-verktyg för att arbeta snabbare, utan att utsätta kunder, kollegor eller företaget för risker.”
2. Vilka det omfattar. Anställda, entreprenörer, praktikanter och alla som använder AI för företagets räkning. Exempel: ”Detta gäller alla som arbetar för oss, på vilken enhet som helst.”
3. Godkända och förbjudna verktyg. En kort lista, förvarad någonstans där folk kan hitta den. Exempel: "Använd endast verktygen på listan över godkända verktyg. Allt annat kräver ett ja först."
4. Hur man begär ett nytt verktyg. En namngiven rutt med en svarstid. Exempel: "Skicka förfrågningsformuläret till IT. Du får svar inom 5 arbetsdagar."
5. Ansvarighet. Vem äger policyn och vem svarar på frågor. Exempel: "Du är ansvarig för allt du skickar, oavsett om det är du eller ett verktyg som har skrivit det."

Vårt val för Set A: ansvarsskyldighet. Det är repliken att komma ihåg: om ett verktyg skrev det och du skickade det, så är det ditt.

Uppsättning B: data och beteende

6. Vilken data kanske aldrig hamnar i ett verktyg. Namnge kategorierna. Exempel: "Ange aldrig kunduppgifter, lösenord, kontrakt eller något som är markerat som konfidentiellt i ett verktyg som inte är godkänt för det."
7. Personuppgifter och kunduppgifter. Säg vad som är tillåtet, i vilket godkänt verktyg och vad som inte är det. Exempel: "Klistra inte in namn, e-postadresser eller kontonummer i en allmän chatbot."
8. Kontroll och märkning av AI-utdata. Folk kollar innan de delar. Exempel: ”Kontrollera fakta, siffror och namn mot en betrodd källa innan du använder AI-resultat. Säg när AI hjälpte till, om en klient eller chef frågar.”
9. Immateriella rättigheter och upphovsrätt. Täck över vad som går in och vad som kommer ut. Exempel: "Låt inte andra företags konfidentiella material komma in. Fråga innan du publicerar AI-skapade bilder eller texter som ditt eget verk."
10. Hur man rapporterar ett problem. Gör det enkelt och säkert. Exempel: ”Om ett verktyg läcker data eller ger dig något skadligt, informera ägaren av denna policy omedelbart. Tidig rapportering är välkommen.”

Vårt val för uppsättning B: dataregeln. En enda inklistring i fel verktyg kan läcka data, så en tydlig och specifik regel här är viktigast.

Godkända verktyg: ett test med 5 frågor

En lista kommer alltid att halka efter de verktyg som folk hittar. Ge personalen fem ja- eller nej-frågor innan de provar något nytt.

1. Är den på den godkända listan? Om inte, fråga innan du använder den.
2. Vet jag vart mina data tar vägen? Vem kör verktyget, och var lagras det du skriver?
3. Vet jag om den sparar det jag skriver? Kontrollera om den sparar dina indata eller använder dem för att träna verktyget.
4. Vet jag vem som äger resultatet? Kontrollera villkoren för vad du får göra med det verktyget producerar.
5. Vet jag vem jag ska fråga? Använd förfrågningsvägen från avsnitt 4 i din försäkring.

Svara "nej" eller "jag vet inte" på någon av dem så stannar du upp och frågar, snarare än att gissa. Som referens publicerar NIST ett frivilligt ramverk för AI-risktänkande, med en tillhörande generativ AI-profil (NIST: Ramverk för riskhantering inom AIDet är inte en standard att följa, och NIST säger att den håller på att revideras, men det är en användbar källa till riskfrågor för de personer som godkänner dina verktyg.

Vårt val: fråga 2, vart dina data hamnar. Det är lätt att hoppa över, och svaret visar om de andra fyra spelar roll.

Dataregler i praktiken: 5 exempel

Regler förblir abstrakta tills du jämför dem med verkliga uppgifter. Dessa fem är exempel att anpassa till dina egna verktyg och regler, inte till företagets policy.

1. Utarbetar ett e-postmeddelande. Generellt sett okej i ett godkänt verktyg, om du utelämnar privata detaljer och läser resultatet innan du skickar det.
2. Sammanfattning av ett möte. Beror på verktyget. Spela bara in eller klistra in ett möte i ett som är godkänt för det ändamålet, och berätta för deltagarna.
3. Klistra in en kundpost. Gör inte detta, såvida inte verktyget är godkänt för kunddata. Ersätt namn och nummer med platsmarkörer om du bara behöver hjälp med formuleringarna.
4. Laddar upp ett kontrakt. Behandla det konfidentiellt. Använd endast ett verktyg som din organisation har godkänt för det, eller utelämna det.
5. Genererar en bild. Bra för interna utkast. Innan du använder ett offentligt, kontrollera din upphovsrättspolicy och fråga om du är osäker.

Vårt val: exempel 3, kundposten. Det är enkelt att göra, och en platsmarkör tar tio sekunder.

Utbilda personal i det: en 30-minutersplan

En policy förändrar bara beteenden när folk har pratat igenom den. Kör en 30-minuterssession för varje team och upprepa den sedan när verktygen eller reglerna ändras. Kom ihåg folkräkningssiffran: om ungefär ett av tre större företag använder AI, gör förmodligen några av era anställda det.

Förbereda: den ensidiga policysammanfattningen, dataexemplen ovan på bilder och en omröstning.

1. Minuter 0 till 5: varför. Börja med frågan "Vilka AI-verktyg använder du på jobbet?" Dela svaren och förklara varför policyn finns.
2. Minut 5 till 12: de 10 avsnitten. Gå igenom de två uppsättningarna med klara ord, med en exempelrad i varje. Läs inte policyn högt.
3. Minuter 12 till 22: scenarier. Visa de fem dataexemplen ett i taget. Fråga "Kan detta användas i ett AI-verktyg?" och ge folk en minut att rösta innan du avslöjar svaret.
4. Protokoll 22 till 27: frågor. Öppna anonyma frågor. Folk kommer att fråga saker de kanske inte frågar högt, till exempel "Jag gjorde redan detta förra månaden. Är jag i trubbel?"
5. Protokoll 27 till 30: avslutning. Be alla att bekräfta att de har läst policyn och vet vem de ska fråga.

Nästan som folkräkningssiffrorna: AI-användningen ökar med företagsstorleken, så en kort session nu är billigare än att rensa upp en läcka senare. Om du vill ha en djupare koll, se vårt inlägg om AI-läskunnighetsträning täcker färdigheter och ett mått på om de fastnade, och dataklassificeringsnivåer hjälper dig att avgöra vilken data som hör hemma i vilket verktyg.

Vårt val: scenarioblocket. Att rösta på ett verkligt exempel är lättare att komma ihåg än att höra en regel.

Sätt att hålla din AI-policysession med AhaSlides

Den här sessionen fungerar bäst när folk svarar snarare än lyssnar. Använd dessa bildtyper, byggda utifrån exemplen i det här inlägget.

1. Välj svar: "Kan detta läggas in i ett AI-verktyg?" för varje dataexempel, med alternativ som "Ja, i ett godkänt verktyg", "Endast med namn borttagna" och "Nej".
2. Word Cloud: ”Vilka AI-verktyg använder du?” Du ser de riktiga verktygen, inklusive de som inte finns med på din lista.
3. Betygsskala: "Hur tydlig är varje avsnitt?" Kör den i slutet och skriv om avsnittet med lägst poäng först.
4. Öppet slut: "Vilken AI-uppgift skulle du vilja ha hjälp med?" Du ser vad din policy har missat.
5. Frågor och svar: anonyma, så att folk ställer frågor de inte skulle ställa i rummet. Våra tips för köra en frågestund kommer att hjälpa.

Kursmallen för acceptabel användning av AI på jobbet ger dig bilderna redo att anpassas, så att de fem dataexemplen ovan kan köras som en omröstning.

Vanliga frågor och svar

Vad bör en policy för acceptabel användning av AI innehålla?

Omfattning, godkända verktyg, dataregler, utdatakontroller, immateriella rättigheter och ett sätt att rapportera problem. De 10 avsnitten ovan täcker vart och ett av dessa, med en exempelrad för varje avsnitt.

Är en AI-policy lagstadgad?

Inte generellt sett. EU:s AI-lag anger skyldigheter som AI-kunskap, men kommissionens översikt nämner inte en policy för acceptabel användning som ett krav. Reglerna skiljer sig åt mellan länder och sektorer, så kontrollera de som gäller för din organisation.

Vilken data bör aldrig läggas in i ett AI-verktyg?

Allt som din policy markerar som konfidentiellt, såsom kund-, person- och avtalsdata, såvida inte verktyget är godkänt för den typen av data. Om du är osäker, behandla det som förbjudet och fråga.

Är NIST AI RMF obligatorisk?

Nej. NIST säger att ramverket är avsett för frivillig användning. Det är en referens för att tänka kring AI-risker, och NIST säger att det håller på att revideras.

Hur långt bör träningspasset vara?

Det finns ingen fastställd längd. En 30-minuterssession är en praktisk start, sedan en kort repetition när verktygen eller reglerna ändras.

Var ska man börja

Skriv dataregeln först, eftersom den är viktigast. Boka sedan in en 30-minuterssession för det team som använder AI mest och fråga dem vad policyn saknar. För en bredare bild av hur man använder AI med gott omdöme, se AI-arbetskraftsutbildning och mänskligt omdöme, och för integritetssidan, AI-dokumentation och sekretessutbildningKnappen nedan öppnar mallen för acceptabel användning av AI på jobbet.