Så skriver ni en AI-policy som medarbetarna kan följa

Många organisationer har redan en AI-policy. Ofta ligger den på intranätet och uppmanar medarbetarna att vara försiktiga. Samtidigt använder medarbetarna AI i arbetet, ibland i tjänster som ingen har godkänt. En policy gör nytta först när den besvarar de frågor som faktiskt uppstår vid skrivbordet. Vilket verktyg får jag använda, vad får jag klistra in och vem tittar på resultatet?

Vad en policy behöver svara på

Digg och IMY rekommenderar i sina riktlinjer för offentlig förvaltning att varje organisation tar fram en egen AI-policy. Den behöver inte heta så, men den bör vara en del av organisationens styrning och ledning. Riktlinjerna beskriver vad den bör innehålla. Det gäller syfte och omfattning, vilka verktyg som får användas, vilken information som får användas och vilken som inte får det, vem som granskar det AI tar fram, vem som ansvarar och vilken utbildning användarna behöver. Frågorna passar lika bra för ett företag som för en myndighet.

Det som gör en policy användbar är att svaren är konkreta. En mening om att känslig information inte får användas säger lite om medarbetarna inte vet vad som räknas som känsligt. Det blir enklare när policyn knyter an till den dataklassning som redan finns och ger exempel från det egna arbetet, som ett kundärende, ett avtalsutkast eller en intern rapport.

Godkända verktyg som räcker till

Ett förbud utan alternativ följs sällan. Brittiska NCSC skrev i september 2026 att medarbetare söker sig till verktyg som organisationen inte har godkänt när policyerna inte håller jämna steg med behoven. Myndigheten rekommenderar en öppen säkerhetskultur och säkra verktyg som passar arbetet. Målet är att minska risken, eftersom skugg-AI sällan går att få bort helt.

Därför hör de godkända verktygen till policyn. Medarbetarna behöver veta vad de får använda och till vad, och verktygen behöver vara så bra att de faktiskt väljs. Publika AI-tjänster kan ha en plats för allmänna uppgifter som inte rör organisationen. Arbete med interna uppgifter hör hemma i ett verktyg där organisationen vet hur uppgifterna hanteras. I Diggs egen policy får medarbetarna använda de verktyg som myndigheten har godkänt, och inga privata licenser.

Ansvar och granskning

AI kan aldrig bära ansvaret. Den som använder ett verktyg står för resultatet på samma sätt som för annat arbete, och beslut som påverkar enskilda fattas av en människa. Policyn bör säga vem som granskar det AI tar fram innan det används, och hur granskningen syns i efterhand när ett AI-svar ligger till grund för ett beslut.

För AI-agenter, som kan utföra handlingar på egen hand, behövs ett steg till. Digg kräver i sin egen policy en riskbedömning innan sådana verktyg tas i bruk. Det är en rimlig ordning för fler än myndigheter, eftersom en agent kan göra mer skada än ett felaktigt svar.

Kunskap som håller policyn levande

AI-förordningen kräver att organisationer som använder AI-system vidtar åtgärder för att främja personalens AI-kunnighet. Kravet har gällt sedan februari 2025 och justerades 2026, men skyldigheten finns kvar. Utbildningen behöver inte vara lång. Den gör mest nytta när den handlar om de verktyg som faktiskt används och om var gränserna går.

En policy som skrivs en gång och sedan lämnas åt sig själv blir snabbt inaktuell. Digg låter sin egen riktlinje gälla ett år i taget. Det är ett enkelt sätt att se till att policyn följer med när verktygen och reglerna förändras, och att medarbetarna får frågan om vad som fungerar och vad som saknas.

Så fungerar det i iSearch

iSearch kan vara det godkända verktyget för arbete med interna dokument. Assistenterna svarar ur era egna kunskapsbanker och visar vilka dokument som lästes, och era frågor och dokument används aldrig för att träna modeller. Inloggning sker med SSO och MFA, rollbaserad åtkomst styr vem som når vad och en manipulationssäker revisionslogg visar vem som gjorde vad.

Läs mer om känslig information i AI och hur ni inför AI-sökning, eller boka en genomgång.