Ai-politik i virksomheden: Det skal den indeholde – og derfor er den ikke nok alene

Flere virksomheder er begyndt at få lavet en Ai-politik. Det synes jeg grundlæggende er positivt. Når medarbejderne allerede bruger ChatGPT, Copilot og andre Ai-værktøjer i arbejdet, er det trods alt bedre at have nogle fælles spilleregler end at håbe på, at alle selv finder ud af, hvor grænsen går.

Problemet opstår, når Ai-politikken bliver opfattet som selve løsningen på Ai Act. Det er den ikke.

En Ai-politik kan være et rigtig godt sted at starte. Den kan fortælle medarbejderne, hvilke værktøjer de må bruge, hvilke data de skal holde væk fra Ai, hvornår et resultat skal kontrolleres, og hvem de skal spørge, hvis de er i tvivl.

Men Ai Act regulerer ikke jeres PDF. Den regulerer det, I rent faktisk gør med Ai.

Det er en vigtig forskel.

For hvis virksomheden ikke ved, hvilke Ai-systemer der faktisk bliver brugt rundt omkring i organisationen, hvad de bliver brugt til, og hvilke mennesker eller processer de påvirker, så hjælper det kun begrænset, at der ligger en flot politik på intranettet.

En Ai-politik fortæller med andre ord, hvordan virksomheden ønsker at bruge Ai. God Ai-styring viser, hvordan virksomheden faktisk bruger Ai.

Kort overblik (TL;DR)

• Ai Act stiller ikke krav om ét bestemt dokument med overskriften Ai-politik. Der findes ingen officiel EU-skabelon.
• Kravene afhænger af virksomhedens rolle, det konkrete Ai-system og måden det bliver brugt på. Use casen betyder mere end navnet på værktøjet.
• En brugbar politik svarer konkret på otte ting: hvem den gælder for, godkendte værktøjer, tilladt brug, data, menneskelig kontrol, transparens, fejlhåndtering og ejerskab.
• Artikel 4 kræver ikke ét bestemt kursus eller certifikat. Indsatsen skal passe til rollen og den sammenhæng, Ai bruges i.
• Politikken er kun første lag. Uden overblik over Ai-systemer, use cases, træning, dokumentation og opfølgning beskriver den kun, hvordan man håber virksomheden arbejder.

Er en Ai-politik et krav i Ai Act?

Lad os starte dér, for her ser jeg allerede en del forvirring.

Ai Act siger ikke generelt, at alle virksomheder skal have ét bestemt dokument med overskriften “Ai-politik”. Der findes heller ikke en officiel EU-skabelon med 10 felter, som alle danske virksomheder skal udfylde.

Forordningen arbejder i stedet med virksomhedens rolle, de Ai-systemer der bruges, den konkrete anvendelse og den risiko, der følger med.

En mindre virksomhed, der bruger ChatGPT til at rette tekster og lave idéudkast, står derfor et andet sted end en virksomhed, der bruger Ai til at sortere kandidater i en rekrutteringsproces. Og begge står et andet sted end en softwarevirksomhed, der selv udvikler et Ai-system og sælger det til andre.

Det betyder ikke, at politikker er ligegyldige. Tværtimod. En Ai-politik er efter min mening et oplagt værktøj til at omsætte en del af reglerne til noget, mennesker faktisk kan arbejde efter.

Artikel 4 er et godt eksempel. Efter den seneste ændring af Ai Act skal providers og deployers fortsat tage relevante skridt, som støtter Ai-færdigheder hos medarbejdere og andre, der bruger Ai på deres vegne. Indsatsen skal passe til blandt andet deres erfaring, viden og den sammenhæng, Ai bliver brugt i. EU-Kommissionen kræver ikke ét bestemt kursus eller ét bestemt certifikat.

Det giver egentlig god mening. Den medarbejder, der bruger generativ Ai til at skrive produkttekster, har ikke nødvendigvis brug for samme viden som HR-chefen, der arbejder med et Ai-understøttet screeningsværktøj.

En politik kan være en del af den ramme. Men den kan ikke stå alene.

Hvad bør en god Ai-politik så indeholde?

En god politik skal først og fremmest kunne bruges i hverdagen. Hvis teksten kun giver mening for juristen eller den person, der skrev den, har man ramt lidt ved siden af.

For en almindelig SMV vil jeg typisk sørge for, at politikken giver klare svar på følgende områder:

• Hvem og hvad politikken gælder for. Det bør være tydeligt, om den gælder ansatte, ledelse, freelancere og eksterne konsulenter, og hvilke typer Ai-værktøjer den omfatter.
• Hvilke værktøjer der må bruges. Må medarbejdere bruge private ChatGPT-konti? Skal bestemte værktøjer godkendes først? Hvem tager den beslutning?
• Hvad Ai må bruges til. Det kan være research, tekst, analyse, mødenoter, billeder eller idéudvikling. Samtidig bør der være klare grænser for brug, der kræver særlig vurdering.
• Hvilke data der må behandles. Her bør virksomheden være langt mere konkret end bare at skrive “del ikke følsomme oplysninger”. Medarbejderen skal kunne forstå, hvad det betyder for kundedata, personoplysninger, priser, kontrakter, forretningshemmeligheder og andre interne oplysninger.
• Hvornår et menneske skal kontrollere resultatet. Hvis Ai leverer et svar til en kunde, bruges i en analyse eller påvirker en vigtig beslutning, skal ansvaret være tydeligt placeret.
• Hvornår der skal være transparens. Artikel 50 indeholder konkrete krav ved bestemte former for Ai-interaktion og Ai-genereret eller manipuleret indhold. Derfor bør virksomheden have en metode til at afgøre, hvornår brugen skal oplyses eller mærkes.
• Hvad medarbejderen gør, når noget går galt. Det kan være forkert output, utilsigtet deling af data eller brug af et værktøj til et formål, der ikke var godkendt.
• Hvem der ejer området. En politik uden ansvar ender let med at blive alles og dermed ingens. Der bør være en person eller funktion, som kan godkende nye værktøjer, håndtere tvivl og sørge for, at politikken bliver opdateret.

Datatilsynet har tidligere peget på behovet for klare rammer omkring brugen af generativ Ai på arbejdspladsen. Det er ikke så mærkeligt. Hvis en medarbejder ikke ved, om en hel kundemail må kopieres ind i et værktøj, er formuleringen “brug Ai ansvarligt” ikke meget værd.

Det er her, en god politik skal være konkret.

Problemet opstår, når politikken ikke ligner virkeligheden

Man kan sagtens skrive en politik, der på papiret ser fornuftig ud:

“Virksomheden anvender kun godkendte Ai-værktøjer. Fortrolige oplysninger må ikke deles med Ai, og alle resultater skal kvalitetssikres af et menneske.”

Der er ikke noget galt med den formulering. Men den rejser hurtigt nogle ret praktiske spørgsmål.

Hvilke værktøjer er godkendt? Hvem har godkendt dem? Gælder det kun virksomhedens ChatGPT Business-konto, eller må folk også bruge deres private konto? Hvad betyder fortrolige oplysninger konkret for en sælger, der gerne vil have hjælp til at opsummere et kundemøde? Og hvad vil det sige at kvalitetssikre et Ai-genereret billede?

Det er ikke petitesser. Det er dér, politikken møder driften.

Tag marketing som eksempel. De bruger måske generativ Ai til at lave billeder til hjemmesiden. Det kan være en ganske almindelig og lavpraktisk brug af Ai. Men hvis billedet forestiller en rigtig person på en meget realistisk måde eller på anden måde falder ind under reglerne om manipuleret indhold, kan artikel 50 blive relevant.

HR er et endnu tydeligere eksempel. Hvis Ai bruges til at hjælpe med formuleringen af et stillingsopslag, er det én situation. Hvis et Ai-system derimod analyserer, sorterer eller vurderer kandidater, kan virksomheden bevæge sig ind i et område, som Ai Act behandler langt mere alvorligt. Visse anvendelser inden for rekruttering og medarbejderstyring er nemlig omfattet af højrisiko-reglerne, afhængigt af den konkrete anvendelse og klassifikation.

Det samme værktøj kan altså have forskellige konsekvenser, afhængigt af hvad man bruger det til.

Det er derfor, jeg ofte siger, at use casen er mindst lige så vigtig som navnet på Ai-værktøjet.

En liste med “ChatGPT, Copilot og Canva” fortæller ikke ret meget om virksomhedens risiko. Det gør derimod en beskrivelse som: “HR bruger dette system til at rangere ansøgere før første samtale.”

Så begynder vi at have noget, vi kan vurdere.

En Ai-politik er derfor kun første lag

Det er her, jeg synes, mange virksomheder kommer til at stoppe for tidligt.

De får lavet politikken, sender den rundt på mail og sætter flueben ved “Ai Act”.

Jeg forstår godt fristelsen. Compliance har en kedelig evne til at vokse, hvis man ikke holder den nede på jorden. Men løsningen er heller ikke at gøre arbejdet så simpelt, at det mister forbindelsen til virkeligheden.

For en almindelig SMV behøver Ai-styring ikke blive et monster. Den skal først og fremmest skabe sammenhæng mellem de regler, virksomheden har skrevet, og det medarbejderne faktisk gør.

Det kan beskrives ret enkelt:

Ai-politik → Ai-systemer → use cases → risiko og krav → tiltag og kompetencer → dokumentation → opfølgning

Politikken sætter reglerne. Registeret over Ai-systemer fortæller, hvad I bruger. Use cases beskriver, hvad værktøjerne bliver brugt til. Derefter kan I vurdere, om der er særlige risici eller krav, og hvilke tiltag der er nødvendige.

Det kan være en intern regel. Det kan være træning. Det kan være krav om menneskelig kontrol. Det kan være et transparensmærke. Eller det kan i mere regulerede tilfælde være langt mere omfattende dokumentation.

Det sidste lag er opfølgningen. For hvis marketing om tre måneder begynder at bruge et nyt videogenereringsværktøj, hjælper det ikke meget, at jeres vurdering fra januar stadig siger, at virksomheden kun bruger ChatGPT til tekst.

Ai-politikken og jeres faktiske Ai-brug skal hænge sammen over tid.

Det er også dér, Zitado passer ind

Da vi begyndte at arbejde med Ai Act hos ZELLERT Ai, blev det hurtigt tydeligt, at dokumenter i sig selv ikke løser problemet. Man kan lave mange fine mapper og politikker, men hvis der ikke er sammenhæng mellem systemet, den konkrete brug og vurderingen, bliver dokumentationen svær at holde levende.

Det er en af grundene til, at vi har bygget Zitado.

Zitado skal ikke forstås som en knap, man trykker på og derefter er “compliant”. Sådan fungerer Ai Act ikke, og sådan skal vi heller ikke bilde virksomheder ind, at det fungerer.

Systemets rolle er langt mere jordnær: at skabe struktur omkring den faktiske Ai-brug. Hvilke systemer bruger virksomheden? Hvad bruges de til? Hvilke vurderinger er lavet? Hvilke krav og handlinger følger der af det? Og hvilken dokumentation findes allerede?

For mig er sammenhængen derfor:

Ai-politikken sætter rammerne for medarbejderne. Træning og vejledning gør dem i stand til at forstå rammerne. Zitado hjælper med at skabe overblik og samle vurderinger og dokumentation. Ledelsen ejer stadig beslutningerne og ansvaret.

Det er også den del, som tit mangler, når jeg ser de meget korte Ai-politikker. De kan sagtens være gode politikker. Men uden et lag nedenunder bliver de let en beskrivelse af, hvordan man håber, virksomheden arbejder.

Hvis I starter fra nul, så start med virkeligheden

Hvis en virksomhed kommer til mig og siger: “Vi skal have en Ai-politik”, ville mit første forslag ikke være at åbne Word.

Jeg ville starte med at spørge, hvad virksomheden rent faktisk bruger.

Hvilke værktøjer er allerede i omløb? Hvilke afdelinger bruger dem? Hvad lægger medarbejderne ind i dem? Hvilke resultater kommer ud? Påvirker de kunder, ansatte eller vigtige beslutninger? Og hvem har i dag ansvar for området?

Når de svar ligger på bordet, bliver det meget lettere at skrive en politik, der giver mening. Man kan også lettere se, hvor der mangler træning, hvor datareglerne er uklare, og hvilke use cases der kræver en ekstra vurdering.

Det behøver ikke starte som et seks måneders compliance-projekt.

For mange SMV’er kommer man langt ved først at skabe et ærligt overblik, få styr på de mest almindelige use cases og lave klare regler for medarbejderne. Derefter kan man gå dybere dér, hvor den faktiske risiko kræver det.

Det er i mine øjne en langt bedre vej end at hente en standardpolitik på nettet, skifte virksomhedsnavnet og håbe på, at resten passer.

Min holdning: Lav endelig en Ai-politik – men lad være med at stoppe dér

Jeg synes, de fleste virksomheder, der bruger Ai i dagligdagen, bør have klare interne regler for brugen. Om dokumentet hedder Ai-politik, retningslinjer for Ai eller noget tredje, er mindre vigtigt.

Det vigtige er, at medarbejderne ved, hvad de må, hvad de skal passe på, og hvem de går til, når noget bliver uklart.

Men vi skal også passe på med at gøre politikken til en falsk tryghed. Hvis virksomheden har skrevet, at kun godkendte Ai-værktøjer må bruges, men ingen ved, hvilke værktøjer der er godkendt, har man ikke løst ret meget. Hvis politikken siger, at medarbejderne er trænet, men ingen kan vise, hvad de har fået af vejledning, mangler der igen et lag.

Og hvis politikken siger, at virksomheden bruger Ai ansvarligt, men ingen har kortlagt, hvordan HR, marketing, salg og support faktisk bruger det, så er der stadig arbejde tilbage.

Vestjysk sagt: Du bliver ikke compliant af at have en PDF i footeren.

Det interessante er, om hverdagen i virksomheden ligner det, der står i PDF’en.

Kilder og fagligt grundlag

Artiklen bygger på EU's Ai Act, den vedtagne Digital Omnibus-forordning (EU) 2026/1744, EU-Kommissionens aktuelle vejledning om artikel 4, Ai Act Service Desk om artikel 50 og Annex III samt Datatilsynets vejledning om brug af generativ Ai på arbejdspladsen.

Artiklen er praktisk virksomhedsvejledning og ikke juridisk rådgivning.