Era medarbetare använder redan AI. Just nu, i det här ögonblicket, klistrar någon in ett kunddokument i ChatGPT för att få hjälp att formulera ett mejl. Någon annan har kopplat på en AI-assistent för att ta anteckningar i ett möte där känslig information om er organisation diskuteras. Ingen av dem gör fel avsiktligt, de försöker bara göra sitt jobb bättre och effektivare.
Frågan är inte OM AI används i er organisation. Frågan är om ni har koll på HUR AI används, och vilken information AI-verktygen får tillgång till.
Det är precis det AI Governance handlar om: att ha koll! Och det är därför vi på AddComply startar den här artikelserien – för att ge dig en praktisk och konkret väg dit.
Vad är AI Governance?
AI Governance är hur er organisation styr, kontrollerar och tar ansvar för sin användning av AI. Inte som ett teoretiskt policydokument i en mapp som ingen tittar på, utan som ett levande system med; strategi, regler, kartläggning, juridisk regelefterlevnad, utbildning och ansvar, som hänger ihop.
Området AI Governance växer snabbt. Nya roller som t.ex. AI-ansvarig och AI-strateg dyker upp på LinkedIn varje vecka. Det är ett tecken på att organisationer på allvar börjat inse att AI-användning behöver samma typ av styrning som andra områden i organisationen som t.ex. ekonomi, säkerhet och HR redan har.
Och riskerna med att inte ha AI Governance på plats är tydliga. Ett AI-relaterat misstag såsom ett dataläckage, ett diskriminerande beslut eller ett system som bryter mot lagen kan skada ert rykte på ett sätt som tar lång tid att reparera. Och samtidigt, om ni gör det på rätt sätt så får ni ut betydligt mer värde av er AI-satsning, för då vågar medarbetarna faktiskt använda den.
Så hur bygger man upp AI Governance i praktiken? Vi har brutit ner det i sju konkreta steg.
Vill du gå igenom de sju stegen live?
- Vi kör samma sjustegsguide som ett kostnadsfritt 45-minuters webinar tillsammans med Emeli Olaison och Peter Öhling Ekenstierna, med konkreta exempel och tid för dina frågor i chatten. Tillfällen på både svenska och engelska. Se kommande tillfällen →
The 7 steps of AI Governance: a practical guide:
Steg 1: Sätt riktningen i er AI-strategi
Allt börjar med en enkel fråga: Vart vill vi med vår AI-satsning?
En AI-strategi handlar om att koppla ihop AI med era faktiska affärsmål. Vilka mål i organisationen kan ni nå snabbare, billigare eller bättre med hjälp av AI? Utan en tydlig riktning blir AI-användningen spretig och varje avdelning testar sitt eget verktyg, utan att någon vet vad som är syftet och vad man faktiskt försöker uppnå.
Vi ser gång på gång att organisationer som tar fram en tydlig AI-strategi får en helt annan förankring internt. Det blir plötsligt tydligt varför AI är viktigt, inte bara att det är trendigt.
Det är dock viktigt att AI-strategin inte blir ett tekniskt sidoprojekt för IT-avdelningen eller någon AI-ansvarig. Styrelsen och ledningsgruppen måste äga frågan eftersom AI är en affärskritisk fråga som påverkar allt från konkurrenskraft och riskexponering till varumärke och medarbetarnas förtroende. När ledningen driver frågan aktivt och styrelsen efterfrågar uppföljning, visar man att frågan är viktig och resultatet blir ofta faktisk handling och förändring. Utan det ägarskapet, förankring och uppföljning riskerar även den bäst genomtänkta strategin att bli ett dokument som samlar damm.
Steg 2: Ge tydliga spelregler i en AI-policy
Nästa steg är att omsätta strategin till konkreta spelregler. En AI-policy ska ge medarbetarna klar, praktisk vägledning: vad får man göra, vad får man inte göra, och vart vänder man sig med frågor?
Utan en tydlig policy blir medarbetarna antingen passiva och vågar inte testa AI (och ni missar värdet) eller så gissar medarbetarna och använder AI utan tanke på vilka konsekvenserna kan bli (och ni tar risken). Inget av dessa alternativ är bra, det är numera en hygienfaktor att som organisation ha en tydlig och praktisk AI-policy som gör att medarbetarna känner sig trygga i sin AI-användning.
Steg 3: Kartlägg system med AI-funktionalitet
Det här är steget de flesta underskattar. Var börjar man? Med att skapa en lista!
Gå igenom all mjukvara ni använder både on-prem och molntjänster och ta reda på vilka som faktiskt innehåller AI-funktionalitet. Det är fler än ni tror. Många system har fått AI-funktioner tillagda utan att någon internt fattade beslut om det.
Leta också efter skugg-AI. Vilket är de AI-verktyg medarbetare använder på eget bevåg, utan att det är godkänt eller ens känt av ledningen.
När listan är klar, gå igenom användarvillkoren fr respektive system. Hur används datan ni och era kollegor matar in? Tränar leverantören sin egen modell på er data? Var lagras er data? Det här är frågor ni behöver få koll på innan det är för sent.
Steg 4: Bli juridiskt trygga med regelefterlevnad enligt AI-förordningen
När ni vet vilka AI-system ni faktiskt har är det dags att bli compliant med EU:s AI-förordning (EU AI Act).
Först behöver ni ta reda på om ni är leverantör (provider) eller tillhandahållare (deployer) för respektive AI-system. Det avgör vilka skyldigheter som gäller er. Därefter klassificerar ni varje AI-system enligt förordningens risknivåer och säkerställer att kraven för respektive nivå är uppfyllda.
För högrisksystem, exempelvis inom HR eller kritisk infrastruktur, innebär det ofta en stor mängd krav såsom t.ex. riskhanteringssystem, kvalitetsledningssystem, teknisk dokumentation och registrering i EU:s databas. Här gäller det att ta reda på till vilket datum ni måste vara compliant och börja i god tid.
Kontrollera samtidigt att inget av era system faller under de förbjudna användningsområdena i artikel 5. De har varit förbjudna sedan 2 februari 2025.
Steg 5: Klassificera er data så ni vet vilken information som får delas
Innan medarbetarna matar in information i ett AI-system behöver ni bestämma: vilken information får användas var?
Klassificera er data efter typ och känslighetsgrad, och koppla det till respektive AI-system. Utan den kopplingen är det upp till varje enskild medarbetare att gissa sig till vad som är okej att dela vilket inte är tillräckligt för en organisation som vill använda AI på ett ansvarsfullt sätt.
Steg 6: Utbilda medarbetarna för kunskap är er bästa riskhantering
Ett policydokument som ingen läst gör ingen nytta. AI-kunnighet (AI Literacy) är nyckeln till ansvarsfull användning av AI och regleras i AI-förordningens artikel 4. Utbildningen behöver ske på flera nivåer:
- Generell utbildning om AI, AI-juridik och riskerna med AI med konkreta do’s and don’ts.
- Systemspecifik utbildning anpassad efter vilket verktyg och vilken användarnivå medarbetaren har.
Målet är att medarbetarna själva ska kunna fatta informerade beslut i sin vardag och inte behöva känna sig osäker varje gång. Det är först då ni kan få ut den fulla effekten av er AI-användning.
Steg 7: Bygg ett AI-team med mandat att agera
Sist men inte minst: någon behöver äga AI Governance-frågan. Ett AI-team (stort eller litet, beroende på er storlek) bör ansvara för att:
- Godkänna nya AI-verktyg och granska avtalsvillkor
- Löpande granska användarvillkoren för befintliga AI-system eftersom leverantörer ändrar villkor över tid och det som var okej vid godkännandet kanske inte är det längre
- Säkerställa regelefterlevnad löpande
- Utbilda medarbetare och äga utbildningsprogrammet
- Ta emot och hantera incidentrapporter
- Ha mandat att pausa användningen av ett AI-system vid behov
- Följa upp AI-strategin och uppdatera AI-policyn löpande
AI-användning påverkar både hela organisationen och den enskilda medarbetaren när nya roller som växer fram, andra roller försvinner och nya kompetenser behöver bygga upp. Detta gör att alla de frågor som den här artikeln berör förtjänar ett tydligt ägarskap som ett AI-team där olika kompetenser såsom IT, ledning, HR, juridik och verksamhet kan samverka för bästa möjliga resultat i organisationen.
Sju steg, ett verktyg för AI Governance
Att göra allt det här manuellt i Word-dokument, kalkylblad och mejltrådar är fullt möjligt. Men utan ett tydlig helhetsbild och smidige arbetsflöde riskerar det att rinna ut i sanden.
Det är därför vi på AddComply byggde AI Governance Starter: för att samla strategi, policy, systemkartläggning, riskklassificering och utbildning på ett ställe, som gör det enkelt att komma igång och få koll! Klicka här för att läsa mer om vår AI Governance Starter.
I nästa artikel i serien går vi djupare in på steg 1: hur ni faktiskt formulerar en AI-strategi som er styrelse och ledningsgrupp äger. Håll utkik.
Key takeaways:
- Sätt riktningen i er AI-strategi.
- Ge tydliga spelregler i en AI-policy.
- Kartlägg system med AI-funktionalitet.
- Bli juridiskt trygga med regelefterlevnad enligt AI-förordningen.
- Klassificera er data så ni vet vilken information som får delas.
- Utbilda medarbetarna för kunskap är er bästa riskhantering.
- Bygg ett AI-team med mandat att agera.
