Hva bør en AI-policy inneholde? Mal for bedrifter

De ansatte bruker trolig AI allerede, enten bedriften har sagt noe om det eller ikke. I 2026 hadde 69 prosent av nordmenn mellom 16 og 79 år brukt et generativt KI-verktøy de siste tre månedene. Av dem hadde 65 prosent brukt det til jobb eller karriere (SSB, 2026).

Uten regler gjør hver og en det på sin måte, ofte med private kontoer. En AI-policy gjør det trygt å bruke AI, og den gjør det lettere å si ja.

Jeg heter Ivar André Knutsen og setter opp AI og automatisering for bedrifter i Vestfold og Telemark. Malen lenger ned er den jeg ville startet med i en bedrift som ikke har noe i dag.

Hvorfor trenger bedriften en AI-policy?

Fordi det er lett å trå feil når ingen har sagt hva som gjelder. Veilederen «KI-assistenter i arbeidslivet» fra regjeringen sier at man ikke trenger å ha alt på plass før man begynner å teste AI. Men man bør som minimum ha noen enkle retningslinjer, særlig for å unngå at sensitiv informasjon blir delt (Regjeringen, 2025).

Policyen gjør også noe for de ansatte. Folk bruker ikke noe de er usikre på om er lov. Står det svart på hvitt hva som er greit, tør flere å prøve.

Hva bør en AI-policy inneholde?

Sju deler holder for de fleste bedrifter:

1. Formål. Hva bedriften vil bruke AI til, og at den som bruker AI, har ansvaret for resultatet.
2. Verktøy dere bruker. Hvilke verktøy som er godkjent, og at det skal skje med bedriftens konto.
3. Hva AI kan brukes til. Konkrete eksempler, så folk ser at det er lov.
4. Hva som aldri skal inn. Personopplysninger, passord og fortrolig informasjon i verktøy som ikke er satt opp for det.
5. Kontroll før noe går ut. Et menneske leser og sjekker alt som går til kunder.
6. Åpenhet. Hva dere sier til kunder og ansatte om bruken av AI.
7. Ansvar og oppdatering. Hvem som eier policyen, hvem folk spør, og når den gås gjennom.

Veilederen foreslår tre kjøreregler som passer rett inn i del 2 og 4: ikke del sensitiv informasjon, bruk bare verktøyene virksomheten anbefaler, og del bare det som trengs for oppgaven. Anonymiser eller bruk oppdiktede eksempler der det går. Den minner også om å sjekke svarene før de brukes videre.

Mal: AI-policy dere kan kopiere

Kopier teksten, bytt ut det som står i klammer, og gå gjennom den med de ansatte før den gjelder.

AI-policy for [Bedrift AS]. Gjelder fra [dato]. Ansvarlig: [navn].

1. Formål. Vi bruker AI for å spare tid på [oppgaver, for eksempel e-post, tilbud og referater]. Den som bruker AI, har ansvaret for det som kommer ut.
2. Verktøy. Vi bruker [verktøy] med bedriftens konto. Andre AI-verktøy, også gratisversjoner og private kontoer, bruker vi ikke til jobb uten at [navn] har sagt ja.
3. Dette kan du bruke AI til. Utkast til e-post, tilbud og andre tekster. Oppsummere egne notater og møter. Rette språk og oversette. Idéer og første utkast.
4. Dette skal aldri inn. Personopplysninger om kunder og ansatte, som fødselsnummer, helse eller lønn. Passord og innlogging. Avtaler, tall og annet vi har fått i fortrolighet. Er du usikker, spør [navn] først.
5. Et menneske har siste ord. Alt som går til kunder, leses av den som sender det. Navn, tall, priser, datoer og lovhenvisninger sjekker vi alltid.
6. Åpenhet. Snakker en kunde med en AI, for eksempel på telefon eller i en chat, sier vi fra om det. Vi bruker ikke AI til å følge med på hvor mye den enkelte ansatte gjør.
7. Ansvar. [Navn] holder policyen oppdatert og går gjennom den hvert halvår, og når vi tar i bruk et nytt verktøy. Feil og nesten-feil meldes til [navn]. Nye ansatte får policyen første uke.

Punkt 6 er et valg, ikke et lovkrav jeg har sjekket for dere. Jeg tar det med fordi Datatilsynet peker på at mange ansatte er bekymret for at AI kan brukes til overvåking og kontroll. I personvernundersøkelsen var 66 prosent negative til at personopplysninger brukes for å måle produktivitet (Datatilsynet, 2025).

Hva sier loven om AI på jobben?

EUs KI-forordning er ennå ikke gjennomført i Norge. Regjeringen sa i august 2026 at KI-loven skal på ny høring høsten 2026, og at målet er å legge den fram for Stortinget våren 2027 (Regjeringen, 2026).

Det betyr likevel ikke at alt er lov i mellomtida. Regjeringen skriver at det ikke er «fritt fram» på KI-området, og at personvernregelverket, straffeloven og åndsverkloven gjelder også når KI brukes.

For de fleste bedrifter er personvernet det viktigste. Skal AI brukes på kundeopplysninger, trenger dere en bedriftsversjon og en databehandleravtale. Det har jeg forklart i Er det trygt å bruke AI i bedriften? Om KI-loven vil kreve opplæring av de ansatte, står det mer om på AI-kurs for bedrifter.

Dette er ikke juridisk rådgivning. Er dere usikre på noe konkret, spør en advokat.

Hvem bør lage AI-policyen?

Ledelsen eier den. Veilederen skriver at styret og den øverste ledelsen har et særlig ansvar for å sette mål for hvordan KI skal brukes, og for at bruken følger lover og regler.

Skriv den likevel sammen med noen som bruker AI i jobben. De vet hvilke oppgaver det gjelder, og hvor det er lett å gå feil.

Ta med de ansatte før den gjelder. Veilederen viser til at arbeidsmiljøloven gir den enkelte rett til å medvirke i egen arbeidssituasjon. Har bedriften minst 50 ansatte, har kapittel 8 i loven regler for hvordan arbeidsgiver skal drøfte spørsmål som har betydning for de ansattes arbeidsforhold, med de tillitsvalgte.

Hvordan får dere folk til å følge den?

En policy i en mappe gjør lite. Dette hjelper:

• Gå gjennom den på et personalmøte. En halvtime med eksempler fra deres egen hverdag.
• Vis hva som er lov. Folk husker bedre et eksempel på en god bruk enn en liste med forbud.
• Gi én person ansvaret. En de ansatte kan spørre uten å føle seg dumme.
• Oppdater den. Hvert halvår, og hver gang dere tar i bruk noe nytt.

Lær dem også hvordan AI brukes på egne oppgaver. Det henger sammen: den som vet hva som virker, følger reglene lettere. Jeg har skrevet om det i Slik får du de ansatte til å bruke AI i hverdagen og Hvordan bruke AI på jobben?

Kort oppsummert

• En AI-policy bør ha sju deler: formål, verktøy, hva AI kan brukes til, hva som aldri skal inn, kontroll før noe går ut, åpenhet og ansvar.
• Hold den på én side, og gå gjennom den med de ansatte før den gjelder.
• Bruk bedriftens konto, og hold personopplysninger og fortrolig informasjon ute av verktøy som ikke er satt opp for det.
• KI-forordningen er ikke gjennomført i Norge ennå, men personvernreglene gjelder allerede.
• Ledelsen eier policyen. Én person holder den oppdatert.

Vil dere ha hjelp til å fylle ut malen? På AI-kurs for bedrifter går vi gjennom hva dere aldri bør dele, og ledergruppen får med seg husregler de ansatte kan følge. Skal AI kobles til e-posten eller kundeopplysningene, setter jeg det opp med riktige avtaler som én løsning til fastpris, eller som AI-partner. Book en kaffeprat, 30 minutter hos dere i Vestfold eller Telemark eller på video.