Kräver AI-förordningen en AI-policy?

AI-förordningen kräver inget dokument som heter AI-policy. Artikel 4 kräver att företag som använder AI-system vidtar åtgärder för att stödja AI-kunnigheten hos sin personal, och den gäller sedan den 2 februari 2025. Artikel 50 lägger från den 2 augusti 2026 till upplysningskrav för deepfakes och viss publicerad text. En skriftlig policy och utbildning är det vanliga sättet att visa att ni har vidtagit de åtgärderna.

Vad ska en AI-policy innehålla?

Omfattning, de godkända verktygen och hur åtkomst ges, vilka dataklasser som får ingå i prompter, de godkända modellerna och leverantörerna, regler för kodagenter, lagring och loggning, mänsklig granskning av resultat, upplysning om AI-genererat innehåll, utbildning i AI-kunnighet, rapportering av incidenter, budgetgodkännande för betald användning och en fast översyn. Mallen på den här sidan täcker alla tolv.

Får anställda lägga in kunduppgifter i ChatGPT eller Claude?

Bara i ett verktyg som är godkänt för den dataklassen, med ett personuppgiftsbiträdesavtal och leverantörsvillkor som utesluter träning på era uppgifter och lagring av dem. Känsliga personuppgifter och hemligheter hålls utanför prompter. Punkt 3 i mallen beskriver detta i en tabell som ni kan anpassa.

Vem måste märka AI-genererat innehåll enligt AI-förordningen?

Leverantörer av AI-system märker syntetiskt ljud, bild, video och text i ett maskinläsbart format (artikel 50.2). Företag som använder AI upplyser om deepfakes som de publicerar, och om AI-genererad text som publiceras för att informera allmänheten om frågor av allmänt intresse, om inte en person har granskat texten och företaget har det redaktionella ansvaret (artikel 50.4). Båda gäller från den 2 augusti 2026.

Hur upprätthåller vi en AI-policy tekniskt?

Led AI-trafiken genom en gateway som tillämpar reglerna på varje förfrågan. Med Standard Compute loggar era medarbetare in via Microsoft Entra ID eller SAML, bara leverantörerna och modellerna på er lista kan hantera en förfrågan, en Europa-regel och zero data retention kan sättas för företaget, ett team eller en nyckel, varje person och app har en fast månadsbudget, och förfrågningar loggas i 12 månader.

Får vi använda mallen gratis?

Ja. Kopiera den, redigera den och publicera den internt utan källhänvisning. Ladda ner den som Markdown eller ren text från den här sidan.

AI-policy mall för företag

Uppdaterad 9 november 2026. Fri att kopiera, redigera och använda. Rättskällorna länkar till EUR-Lex.

En AI-policy anger vilka AI-verktyg medarbetarna får använda, vilka uppgifter som får ingå i en prompt, vem som granskar resultaten och hur betald användning godkänns. Mallen nedan täcker de tolv punkter ett företag behöver när det inför ChatGPT, Claude eller kodagenter, inklusive AI-kunnighet enligt artikel 4 i AI-förordningen, som gäller sedan den 2 februari 2025, och skyldigheten att upplysa om deepfakes enligt artikel 50, som gäller från den 2 augusti 2026.

Ersätt texten inom [hakparentes], stryk det som inte passar och publicera policyn på intranätet. Mallen är leverantörsneutral och fungerar med de AI-leverantörer ni godkänner.

Ladda ner mallen (.md)Ren text (.txt)

Båda filerna innehåller hela mallen nedan, klar att klistra in i Word, Google Docs, Confluence eller Notion.

Vad mallen täcker

1. Syfte och omfattning
2. Godkända verktyg och åtkomst
3. Uppgifter i prompter
4. Godkända modeller och leverantörer
5. Kodagenter
6. Lagring och loggning
7. Mänsklig granskning av resultat
8. Upplysning om AI-genererat innehåll
9. Utbildning i AI-kunnighet
10. Rapportering av incidenter
11. Budget och godkännande av betald användning
12. Översyn och ansvar

Mallen

Text inom [hakparentes] fyller ni i själva. Punkternas numrering ligger fast så att utbildningar och revisioner kan hänvisa till dem.

AI-policy

Företag: [Företag]
Ansvarig för policyn: [Namn, roll, t.ex. CIO eller CISO]
Fastställd av: [Ledning eller styrelse]
Version: 1.0. Gäller från: [datum]. Nästa översyn: [datum]

1. Syfte och omfattning

1.1
Den här policyn reglerar användningen av verktyg för artificiell intelligens (AI) på [Företag]: chattassistenter, AI-funktioner i annan programvara, kodagenter och AI-modeller som anropas via ett API.
1.2
Den gäller alla anställda, konsulter och inhyrd personal som använder AI i arbetet för [Företag], på både företagets och egna enheter.
1.3
Den kompletterar vår informationssäkerhetspolicy, dataskyddspolicy och IT-policy. Vid motstridighet gäller den strängare regeln.
1.4
Frågor om policyn skickas till [ansvarig för policyn, e-post].

2. Godkända verktyg och åtkomst

2.1
Använd bara AI-verktygen på listan över godkända verktyg på [intranätlänk]. Listan anger för varje verktyg vad det får användas till och den högsta dataklass som får användas i det (punkt 3).
2.2
Logga in i godkända verktyg med ditt arbetskonto på [Företag] via enkel inloggning (SSO) med [Microsoft Entra ID / Google Workspace / Okta]. Privata konton och privata abonnemang får inte användas i arbetet för [Företag].
2.3
Åtkomst ges genom [gruppmedlemskap i identitetsleverantören / en begäran till IT-supporten]. När någon lämnar [Företag] eller byter roll tas åtkomsten bort via samma grupper.
2.4
API-nycklar utfärdas per person eller per applikation, delas aldrig och förvaras i [secrets manager].
2.5
För att föreslå ett nytt verktyg skickar du [ansökningsformulär] till [ansvarig för policyn]. Säkerhet, dataskydd och inköp granskar verktyget innan det förs upp på listan. En gratis provperiod av ett ej godkänt verktyg räknas som användning.

3. Uppgifter i prompter

3.1
Allt du skriver, klistrar in, laddar upp eller låter ett verktyg läsa (filer, skärmar, kodförråd, e-post, ljud från möten) räknas som en prompt.

3.2

Klassa uppgifter enligt vår informationsklassning. Tabellen visar vad som får ingå i en prompt i ett godkänt verktyg.

Dataklass	Exempel	I ett godkänt verktyg
Öppen	ExempelPublicerade webbtexter, pressmeddelanden, offentlig dokumentation	I ett godkänt verktygTillåtet
Intern	ExempelInterna processer, mötesanteckningar utan personuppgifter, icke-känslig kod	I ett godkänt verktygTillåtet
Konfidentiell	ExempelKundavtal, opublicerade finansiella uppgifter, källkod, produktplaner	I ett godkänt verktygBara i verktyg som är godkända för Konfidentiell, med de leverantörsvillkor som anges i punkt 4
Personuppgifter	ExempelNamn, e-postadresser, kundregister, personalakter	I ett godkänt verktygBara där en rättslig grund och ett personuppgiftsbiträdesavtal täcker verktyget. Använd så lite som möjligt och pseudonymisera där det går
Känsliga och reglerade uppgifter	ExempelHälsouppgifter, fackmedlemskap, uppgifter om lagöverträdelser, betalkortsuppgifter, klientuppgifter under tystnadsplikt	I ett godkänt verktygInte tillåtet, om inte [dataskyddsombud] skriftligen godkänner en specifik användning
Hemligheter	ExempelLösenord, API-nycklar, tokens, privata nycklar, anslutningssträngar	I ett godkänt verktygAldrig

3.3
Är du osäker på klassen, behandla uppgifterna som den högre klassen eller fråga [ansvarig för policyn].
3.4
Använd inte AI-verktyg för att härleda känsliga egenskaper hos personer, för att övervaka anställda eller för att fatta beslut om en enskild person utan den mänskliga granskningen i punkt 7.

4. Godkända modeller och leverantörer

4.1
[Företag] för en lista över tillåtna AI-modeller och de leverantörer som får köra dem. En modell eller leverantör som inte står på listan får inte behandla uppgifter från [Företag].
4.2
En leverantör förs upp på listan först efter granskning av: var inferensen körs [t.ex. bara i Europa], om leverantören sparar prompter och svar (för Konfidentiell och högre kräver vi zero data retention), om leverantören tränar på våra uppgifter (det får den inte), dess underbiträden och ett undertecknat personuppgiftsbiträdesavtal.
4.3
Modeller med öppna vikter godkänns per applikation, för de användningsområden som anges på listan.
4.4
Omförsök och reservvägar (fallbacks) måste hålla sig inom listan. Ett verktyg som i det tysta skickar förfrågningar till andra leverantörer är inte godkänt.
4.5
[Ansvarig för policyn] förvaltar listan på [länk] och ser över den tillsammans med den här policyn.

5. Kodagenter

5.1
Kodagenter (till exempel Claude Code, Codex, Cursor, GitHub Copilot eller Cline) får användas i de kodförråd som listas på [länk].
5.2
Lägg aldrig hemligheter i prompter, agentinstruktioner eller incheckad kod. Håll .env-filer och inloggningsuppgifter utom räckhåll för agenten och kör [verktyg för hemlighetsskanning] vid varje commit.
5.3
Agenter körs med de minsta behörigheter de behöver: inga produktionsuppgifter, ingen skrivåtkomst till produktionssystem och inget automatiskt godkännande av kommandon som raderar data, ändrar infrastruktur eller pushar till skyddade grenar.
5.4
All kod som AI har skrivit går igenom den vanliga granskningen av pull requests av en annan person än den som genererade koden, och genom samma tester och säkerhetsskanningar som all annan kod. Den som skapar en pull request ansvarar för koden.
5.5
Kontrollera licenserna för beroenden som agenten lägger till och för längre avsnitt som den återger ordagrant.
5.6
MCP-servrar, plugins och tillägg är verktyg enligt punkt 2 och ska godkännas innan de används.

6. Lagring och loggning

6.1
Godkända verktyg ställs in så att leverantörerna inte sparar någon kopia av prompter och svar utöver vad som krävs för att hantera varje förfrågan, överallt där leverantören erbjuder det.
6.2
[Företag] loggar metadata om AI-användning: vem, vilket verktyg eller vilken nyckel, vilken modell och leverantör, när och kostnaden. Uppgifterna sparas i [12 månader].
6.3
Innehållet i prompter och svar loggas inte centralt, om inte [lagkrav eller godkänt användningsfall]. Där det loggas skyddas det som den högsta dataklass det innehåller.
6.4
Chatthistorik i godkända verktyg raderas efter [period]. Svar som är affärshandlingar sparas i [dokumentsystem], inte bara i AI-verktyget.
6.5
Användningsloggar används för säkerhet, kostnadskontroll och regelefterlevnad, enligt [integritetsmeddelande för anställda].

7. Mänsklig granskning av resultat

7.1
Du ansvarar för varje AI-resultat du använder. Kontrollera fakta, siffror, citat, källor, kod och juridiska påståenden innan du förlitar dig på dem.
7.2
En behörig person granskar AI-resultat innan de skickas till en kund, publiceras, används i ett avtal eller används i ett beslut om en person, till exempel rekrytering, prestationsbedömning, kredit eller tillgång till en tjänst.
7.3
AI fattar inga slutliga beslut som har rättsliga följder eller på liknande sätt betydande följder för en person. [Ange användningsområden som är förbjudna eller kräver en separat riskbedömning.]
7.4
Där yrket kräver det dokumenterar du i [system] när AI har bidragit väsentligt till rådgivning till en klient.

8. Upplysning om AI-genererat innehåll

8.1
När [Företag] publicerar bild-, ljud- eller videoinnehåll som är en deepfake (innehåll som liknar verkliga personer, föremål, platser eller händelser och felaktigt skulle uppfattas som äkta), upplyser vi om att det har genererats eller manipulerats artificiellt. Detta är en skyldighet för tillhandahållare enligt artikel 50.4 i AI-förordningen, från den 2 augusti 2026.
8.2
När vi publicerar AI-genererad eller AI-manipulerad text för att informera allmänheten om frågor av allmänt intresse upplyser vi också om det, om inte en person har granskat eller redigerat texten och [Företag] har det redaktionella ansvaret för den.
8.3
Maskinläsbar märkning av AI-resultat (vattenmärken, metadata) är en skyldighet för leverantören av AI-systemet enligt artikel 50.2. Ta inte bort sådan märkning.
8.4
Utöver lagen gäller på [Företag]: [chattbottar för kunder märks som AI / vi anger i kundkommunikation när innehåll till stor del är AI-genererat].

9. Utbildning i AI-kunnighet

9.1
[Företag] vidtar åtgärder för att stödja AI-kunnigheten hos sin personal och hos andra som använder AI-system för företagets räkning, med hänsyn till deras kunskaper, erfarenhet, utbildning och fortbildning och det sammanhang där verktygen används. Detta är skyldigheten i artikel 4 i AI-förordningen, som gäller sedan den 2 februari 2025.
9.2
Alla genomgår [grundutbildning i AI] innan de får tillgång till ett godkänt verktyg, och [en repetition var 12:e månad].
9.3
Utbildningen täcker den här policyn, dataklasserna, hur modeller kan ha fel, promptinjektion och de godkända användningsområdena för varje verktyg. Utvecklare som använder kodagenter och team som använder AI i beslut om personer får rollbaserad tilläggsutbildning.
9.4
[HR / ansvarig för policyn] registrerar vem som har genomgått vilken utbildning.

10. Rapportering av incidenter

10.1
Rapportera till [säkerhetskontakt eller kanal] inom [24 timmar]: uppgifter som matats in i ett verktyg där det inte var tillåtet, en hemlighet som exponerats för ett AI-verktyg, skadliga eller diskriminerande resultat som nått en kund, en agentåtgärd som oväntat ändrat eller raderat något, eller misstänkt promptinjektion.
10.2
Vi förväntar oss att misstag rapporteras snabbt, och det är ingen disciplinfråga. Att dölja ett misstag är ett brott mot policyn.
10.3
Byt ut en exponerad hemlighet omedelbart. [Säkerhet / dataskyddsombud] bedömer om dataskyddslagstiftningen kräver anmälan till tillsynsmyndigheten eller till de berörda.

11. Budget och godkännande av betald användning

11.1
Betalda AI-abonnemang, licenser och API-användning ska godkännas av [budgetansvarig] före köp. AI-verktyg köps inte med privata kort utan [godkännande av utlägg].
11.2
Varje person och varje applikation med betald användning har en månadsbudget som [budgetansvarig] fastställer. När budgeten är förbrukad stoppas användningen tills [budgetansvarig] godkänner mer.
11.3
[Ekonomi] går igenom AI-kostnaderna per person, applikation och kostnadsställe varje [månad].
11.4
Oanvända licenser och nycklar sägs upp vid den [kvartalsvisa] översynen.

12. Översyn och ansvar

12.1
[Ansvarig för policyn] äger den här policyn, listan över godkända verktyg och listan över tillåtna modeller och leverantörer.
12.2
Policyn ses över var [6:e månad], och direkt efter en allvarlig incident, en ny typ av verktyg eller en lagändring.
12.3
Brott mot policyn hanteras enligt [disciplinära rutiner / avtalsvillkor].
12.4
Versionshistorik: [datum, version, ändring, godkänd av].

Baserad på den kostnadsfria AI-policy mallen på https://standardcompute.com/ai-policy-mall (version 9 november 2026). Fri att kopiera och redigera. Inte juridisk rådgivning.

Ladda ner mallen (.md)Ren text (.txt)

Så upprätthåller ni policyn med en gateway

En policy på intranätet håller bara om verktygen följer den. En AI-gateway sitter mellan era medarbetare, appar och agenter och modelleverantörerna, så att punkt 2, 3, 4, 6 och 11 tillämpas på varje förfrågan i stället för i varje verktygs egna inställningar.

Standard Compute är den gatewayen: ett API till Claude, GPT, Gemini och ledande öppna modeller, med inställningarna nedan gjorda en gång för hela företaget.

Punkt i policyn	Vad Standard Compute upprätthåller
2. Åtkomst och SSO	Anslut Microsoft Entra ID eller en annan SAML-identitetsleverantör så att era medarbetare loggar in med sina arbetskonton. Anställda loggar in i Claude Desktop och Claude Code med sitt Microsoft-arbetskonto, så det finns inga API-nycklar att dela ut, och åtkomsten följer era Entra-grupper via SCIM-provisionering.
4. Tillåtna leverantörer	Välj exakt vilka inferensleverantörer som får hantera era uppgifter, för hela företaget, ett team eller en enskild nyckel. Lägre nivåer kan bara snäva in reglerna, nya leverantörer läggs aldrig till utan en administratörs godkännande, och reservvägar kan aldrig gå runt er lista.
4. Tillåtna modeller	Bestäm vilka modeller varje nyckel får använda, så att öppna modeller som GLM, DeepSeek, MiniMax och Kimi går till de applikationer ni väljer och frontiermodeller till dem som behöver dem.
4. Var inferensen körs	Sätt en Europa-regel för företaget, ett team eller en enskild nyckel, så hanteras varje förfrågan, inklusive omförsök och reservvägar, bara av godkända europeiska inferensendpoints. Om ingen europeisk endpoint kan hantera den nekas förfrågan innan er prompt skickas.
6. Lagring	Slå på zero data retention, så skickas varje förfrågan bara till inferensendpoints som åtar sig att inte spara någon kopia av era uppgifter. Vi behandlar era prompter i minnet och skriver dem aldrig till lagring eller loggar, och Standard Compute tränar aldrig på era prompter eller svar.
11. Budgetar	Varje person och app får en fast månadsbudget som aldrig överskrids, och ni kan sätta utgiftstak per nyckel och för hela företaget.
6 och 12. Revision	Varje ändring som en administratör gör registreras med värdena före och efter, och ni kan exportera en förteckning över varje förfrågan med modellen, leverantören som hanterade den och den regionregel som gällde, sparad i 12 månader.

Skapa en företagsmiljö

Rättskällor

Artikel 4 (AI-kunnighet) och artikel 50 (transparens) i förordning (EU) 2024/1689, AI-förordningen. Artikel 4 gäller sedan den 2 februari 2025; artikel 50 gäller från den 2 augusti 2026.

Artikel 4 i den lydelse som ersatts genom förordning (EU) 2026/1744, Digital Omnibus om AI, offentliggjord i Europeiska unionens officiella tidning den 24 juli 2026: leverantörer och tillhandahållare vidtar åtgärder för att stödja AI-kunnigheten hos sin personal, och ingen särskild nivå av AI-kunnighet behöver garanteras för någon enskild person.

Mallen är allmän vägledning, inte juridisk rådgivning. Låt ert dataskyddsombud eller en jurist granska den mot reglerna i er bransch.

Frågor som företag ställer

Kräver AI-förordningen en AI-policy?: AI-förordningen kräver inget dokument som heter AI-policy. Artikel 4 kräver att företag som använder AI-system vidtar åtgärder för att stödja AI-kunnigheten hos sin personal, och den gäller sedan den 2 februari 2025. Artikel 50 lägger från den 2 augusti 2026 till upplysningskrav för deepfakes och viss publicerad text. En skriftlig policy och utbildning är det vanliga sättet att visa att ni har vidtagit de åtgärderna.
Vad ska en AI-policy innehålla?: Omfattning, de godkända verktygen och hur åtkomst ges, vilka dataklasser som får ingå i prompter, de godkända modellerna och leverantörerna, regler för kodagenter, lagring och loggning, mänsklig granskning av resultat, upplysning om AI-genererat innehåll, utbildning i AI-kunnighet, rapportering av incidenter, budgetgodkännande för betald användning och en fast översyn. Mallen på den här sidan täcker alla tolv.
Får anställda lägga in kunduppgifter i ChatGPT eller Claude?: Bara i ett verktyg som är godkänt för den dataklassen, med ett personuppgiftsbiträdesavtal och leverantörsvillkor som utesluter träning på era uppgifter och lagring av dem. Känsliga personuppgifter och hemligheter hålls utanför prompter. Punkt 3 i mallen beskriver detta i en tabell som ni kan anpassa.
Vem måste märka AI-genererat innehåll enligt AI-förordningen?: Leverantörer av AI-system märker syntetiskt ljud, bild, video och text i ett maskinläsbart format (artikel 50.2). Företag som använder AI upplyser om deepfakes som de publicerar, och om AI-genererad text som publiceras för att informera allmänheten om frågor av allmänt intresse, om inte en person har granskat texten och företaget har det redaktionella ansvaret (artikel 50.4). Båda gäller från den 2 augusti 2026.
Hur upprätthåller vi en AI-policy tekniskt?: Led AI-trafiken genom en gateway som tillämpar reglerna på varje förfrågan. Med Standard Compute loggar era medarbetare in via Microsoft Entra ID eller SAML, bara leverantörerna och modellerna på er lista kan hantera en förfrågan, en Europa-regel och zero data retention kan sättas för företaget, ett team eller en nyckel, varje person och app har en fast månadsbudget, och förfrågningar loggas i 12 månader.
Får vi använda mallen gratis?: Ja. Kopiera den, redigera den och publicera den internt utan källhänvisning. Ladda ner den som Markdown eller ren text från den här sidan.

Skapa en företagsmiljö, anslut er identitetsleverantör och ställ in era listor över tillåtna leverantörer och modeller i dashboarden.