En intern AI-politik er organisationens fælles regler for, hvordan medarbejdere må bruge AI-værktøjer, data og automatisering i arbejdet. Den afklarer ansvar, risikoniveauer, datagrænser, menneskelig kontrol og dokumentation, så AI kan bruges ensartet uden at overlade kritiske beslutninger til uafklarede værktøjer.
En intern AI-politik fastlægger, hvordan medarbejdere må bruge AI-værktøjer, data og automatisering på en ensartet og kontrollerbar måde. Den skaber overblik over ansvar, risikoniveauer, datagrænser, menneskelig kontrol, EU AI Act, shadow AI og den løbende vedligeholdelse af organisationens regler.
Hvad dækker en intern AI-politik?
En intern AI-politik dækker de beslutninger, som medarbejdere ellers ville træffe forskelligt fra afdeling til afdeling: hvilke AI-systemer må bruges, hvilke data må indgå, hvem godkender nye brugssituationer, og hvornår skal et output kontrolleres af et menneske. Politikken gør ikke teknologien sikker i sig selv, men den gør brugen synlig og styrbar.
Politikken bør både omfatte generative AI-værktøjer, AI-funktioner i kontorsoftware, analyseværktøjer, automatiserede beslutningsstøtter og interne AI-systemer. Den skal også dække situationer, hvor en leverandør bruger AI som en del af en tjeneste, selv om medarbejderen ikke selv skriver direkte til et AI-værktøj.
Hvorfor bør en organisation have en AI-politik?
Formålet er at skabe en fælles ramme, før brugen bliver spredt og svær at kontrollere. AI kan hjælpe med analyse, tekstudkast, kodning, sagsforberedelse, kundeservice, undervisning og dokumenthåndtering, men samme værktøj kan give forskellige risici afhængigt af data, kontekst og beslutningens betydning.
Uden en fælles politik kan medarbejdere dele fortrolige oplysninger med eksterne tjenester, bruge AI-output uden kontrol eller vælge værktøjer, som organisationen ikke kender. En politik gør det lettere at arbejde med AI governance, fordi ansvar, godkendelse og opfølgning bliver placeret i faste processer.
Hvem skal eje og godkende politikken?
En intern AI-politik bør have en tydelig ejer. Det kan være ledelsen, en digitaliseringsfunktion, informationssikkerhed, compliance, HR eller en tværfaglig AI-gruppe. Ejerskabet bør ikke placeres alene hos den afdeling, der køber værktøjerne, fordi politikken også berører data, arbejdsgange, medarbejderkompetencer og risikovurdering.
En brugbar model er at skelne mellem tre roller: politikansvarlig, systemansvarlig og bruger. Den politikansvarlige vedligeholder reglerne, systemansvarlige vurderer konkrete værktøjer og brugssituationer, og brugeren følger de godkendte rammer i det daglige. Når rollerne er skilt ad, bliver det nemmere at opdage uklarheder og placere opgaver uden at gøre alle ansvarlige for alt.
Hvilke værktøjer og data skal omfattes?
Politikken bør beskrive værktøjstyper i stedet for kun at liste produktnavne. Produktlister bliver hurtigt forældede, mens kategorier som offentlige chatværktøjer, betalte erhvervsløsninger, indlejrede AI-funktioner, interne modeller og automatiserede agenter er mere stabile. Navngivne værktøjer kan stadig stå i et bilag eller et separat register, som kan opdateres hurtigere.
Datareglerne bør være mere præcise end en generel advarsel. En intern AI-politik kan for eksempel skelne mellem offentligt materiale, interne arbejdsnoter, fortrolige forretningsoplysninger, personoplysninger, særlige kategorier af personoplysninger, kundedata, kildekode og materiale med ophavsretlige bindinger. Jo mere følsomme data er, desto stærkere krav bør der være til godkendelse, adgang og logning.
Hvordan opdeles AI-brug efter risiko?
En enkel risikopdeling gør politikken lettere at bruge i praksis. Risiko afhænger ikke kun af værktøjet, men også af hvad medarbejderen gør med det. Et tekstforslag til en intern mødeagenda er normalt en anden risikotype end et AI-baseret beslutningsgrundlag om en borger, kunde, medarbejder eller elev.
| Risikotype | Typisk brug | Kontrolkrav |
|---|---|---|
| Lav risiko | Sproglig hjælp, ideudkast, opsummering af ikke-fortroligt materiale og intern strukturering | Brugeren kontrollerer fakta, tone og relevans før deling |
| Middel risiko | Analyse af interne data, kundevendt tekst, kodeforslag eller beslutningsstøtte uden automatisk afgørelse | Godkendt værktøj, dokumenteret datagrundlag og faglig kontrol |
| Høj risiko | Automatisering med væsentlig betydning for personer, rettigheder, adgang, sikkerhed eller økonomi | Forudgående risikovurdering, ledelsesgodkendelse, logning og menneskelig beslutning |
Skemaet skal tilpasses organisationens virkelighed. Det afgørende er, at medarbejdere kan se, hvornår de selv må gå videre, hvornår de skal bruge en godkendt løsning, og hvornår en brugssituation skal løftes til en formel vurdering.
Hvilke regler bør gælde for persondata og fortrolige oplysninger?
Persondata og fortrolige oplysninger kræver særskilte regler, fordi AI-værktøjer ofte behandler input, output, logdata og brugeradfærd på måder, som ikke er synlige i selve brugerfladen. En intern politik bør derfor sige, hvilke datatyper der aldrig må indtastes i åbne eksterne værktøjer, og hvilke datatyper der kun må bruges i godkendte miljøer.
For personoplysninger bør politikken hænge sammen med organisationens databeskyttelsesarbejde. Det gælder især formål, behandlingsgrundlag, dataminimering, adgangskontrol, sletning og leverandørstyring. Artiklen om GDPR for AI-træningsdata uddyber, hvorfor datakilde, træning, viderebehandling og dokumentation ikke kan behandles som et teknisk efterspørgsmål alene.
Hvordan skal medarbejdere kontrollere AI-output?
AI-output bør behandles som et forslag, ikke som en autoritativ konklusion. En intern AI-politik bør kræve, at brugeren kontrollerer faktuelle oplysninger, faglige vurderinger, kildegrundlag, beregninger, kode, oversættelser og citater, før output bruges i en arbejdsgang. Jo større konsekvens output har, desto mere dokumenteret bør kontrollen være.
Kontrollen kan deles i fire spørgsmål: Er input egnet til værktøjet, er output fagligt korrekt, er materialet lovligt og etisk forsvarligt at bruge, og er det tydeligt for modtageren, hvornår AI har haft en væsentlig rolle? Spørgsmålene hjælper medarbejderen med at finde fejl, men de hjælper også organisationen med at forklare, hvordan AI indgår i arbejdet.
Hvornår kræver AI-brug menneskelig godkendelse?
Menneskelig godkendelse er særlig relevant, når AI bruges i beslutningsstøtte, kundekommunikation, ansættelse, uddannelse, sundhed, økonomi, sikkerhed, offentlig sagsbehandling eller andre sammenhænge med betydning for personer. Politikken bør sige, at AI ikke må være eneste grundlag for væsentlige beslutninger, medmindre brugen er særskilt vurderet og godkendt.
Godkendelse bør ikke kun være en underskrift til sidst. Den bør placeres de steder, hvor risikoen opstår: ved valg af værktøj, ved valg af data, ved opsætning af automatisering, ved ændring af arbejdsgange og ved brug af output. På den måde bliver menneskelig kontrol en del af processen og ikke en løs efterkontrol.
Hvordan håndteres shadow AI?
Shadow AI opstår, når medarbejdere bruger AI-værktøjer uden formel godkendelse eller uden at organisationen kender databehandlingen. En intern AI-politik bør ikke kun forbyde ukendt brug, men også forklare, hvordan medarbejdere får et værktøj vurderet, og hvilke sikre alternativer de kan bruge i mellemtiden.
En moden politik gør det nemt at registrere nye behov. Hvis medarbejdere bruger uofficielle værktøjer, er det ofte et tegn på, at de mangler et godkendt værktøj, en hurtig vurderingsproces eller klare regler. Begrebet shadow AI er derfor både et sikkerhedstema og et signal om, hvor organisationens officielle løsninger ikke dækker praksis.
Hvordan hænger politikken sammen med EU AI Act?
EU AI Act gør ikke en intern AI-politik til et færdigt compliance-dokument, men den øger behovet for styring, kompetencer og dokumentation. Forordningen anvendes trinvist: dele af reglerne har været gældende siden 2. februar 2025, flere dele siden 2. august 2025, og hovedanvendelsen er fastsat til 2. august 2026. Artikel 4 handler om AI literacy hos relevante personer.
En politik bør derfor beskrive, hvordan organisationen identificerer AI-systemer, vurderer risikoniveau, dokumenterer ansvar og træner medarbejdere. For en bredere forklaring af forordningens opbygning kan EU AI Act ses som den regulatoriske ramme, mens den interne politik er organisationens praktiske oversættelse til hverdagen.
Hvordan bliver politikken til en arbejdsgang?
En AI-politik virker bedst, når den kan følges uden at læseren skal fortolke lange principper i hvert enkelt tilfælde. Den bør derfor omsættes til korte arbejdsgange: registrer brugssituationen, vælg risikoniveau, tjek dataklasse, vælg godkendt værktøj, gennemfør nødvendig kontrol, dokumentér væsentlige beslutninger og meld fejl eller hændelser.
Arbejdsgangen bør have et tydeligt stop-punkt. Hvis en medarbejder ikke kan placere en opgave i en godkendt kategori, hvis der indgår følsomme oplysninger, eller hvis AI skal påvirke en væsentlig beslutning, skal brugen standses og vurderes. Den type stopregel er mere praktisk end en lang liste over alle tænkelige forbud.
Hvordan vedligeholdes politikken over tid?
AI-politikken bør opdateres, når organisationen tager nye værktøjer i brug, når leverandørvilkår ændres, når en arbejdsgang automatiseres, når der sker en hændelse, eller når eksterne regler ændrer sig. Det er sjældent nok at revidere politikken én gang om året, hvis AI indgår i centrale arbejdsgange.
En enkel vedligeholdelsesmodel kan bestå af et værktøjsregister, et register over godkendte brugssituationer, en hændelseslog og en fast revisionsrytme. Her kan risikostyring i AI-implementeringer bruges som praktisk ramme, fordi risiko ændrer sig, når data, brugere, integrationer eller formål ændres.
Hvordan kan en enkel tjekliste se ud?
En tjekliste gør politikken brugbar i dagligdagen. Den skal ikke erstatte den fulde politik, men den kan hjælpe medarbejdere med at afgøre, om en opgave ligger inden for de godkendte rammer. Den bør være kort nok til at blive brugt og præcis nok til at stoppe risikabel brug.
- Er værktøjet godkendt til denne type opgave?
- Er datatypen tilladt i det valgte værktøj?
- Er output kontrolleret af en person med relevant faglig viden?
- Kan beslutningen forklares uden at henvise til AI som eneste begrundelse?
- Er brugen dokumenteret, hvis den påvirker personer, økonomi, sikkerhed eller myndighedslignende afgørelser?
Hvis svaret er nej eller uklart på et af punkterne, bør opgaven flyttes til en godkendelsesproces. Det gør politikken handlingsorienteret: den hjælper medarbejdere med at bruge AI, men den sætter også klare grænser for data, ansvar og beslutninger.
Hvilke kilder ligger til grund?
De vigtigste referencepunkter er EU AI Act, ISO/IEC 42001 om AI-ledelsessystemer, NISTs profil for generativ AI-risikostyring og OWASPs Top 10 for LLM- og generativ AI-risici. De bruges til afgrænsning af ansvar, risikostyring, uddannelse, datagrænser og sikkerhedskontroller.