AI-policy för HR: vad den faktiskt behöver innehålla

Vad ska en AI-policy för HR innehålla?

En AI-policy för HR behöver minst sju delar:

• Syftet med dokumentet

• Vilka AI-verktyg som är godkända

• Vilka som inte är det

• Dataklassificering (vad som får respektive inte får matas in i ett verktyg)

• Ansvarsfördelning mellan HR, chef, IT och dataskyddsombud,

• De fem beslutspunkterna nedan

• En rutin för uppföljning och uppdatering.

Det som skiljer en fungerande policy från ett dokument som ingen läser är inte formatet. Det är istället att de fem frågorna är besvarade besluten faktiskt är tagna, av rätt personer, och skrivna så att en chef kan slå upp dem mitt i ett ärende.

Vilka fem frågor måste organisationen ta ställning till?

En mall kan ge struktur. Den kan inte tala om var er organisation drar gränsen mellan människa och AI, eftersom den gränsen beror på er riskaptit, ert kollektivavtal och er kultur. Här är fem frågor som kräver ett faktiskt ställningstagande.

1. Var går gränsen i rekrytering och urval?
   I-system som används för att söka fram, ranka eller filtrera kandidater klassas som högrisksystem enligt EU:s AI-förordning, och kraven på mänsklig kontroll och information till berörda har gällt sedan den 2 augusti 2026 (Europaparlamentet och rådet, 2024). Organisationen måste själv bestämma var i processen AI får sortera och var en rekryterare måste se varje kandidat innan ett nej skickas.

2. Var går gränsen i medarbetarbedömning och feedback?
   Prestationsutvärdering med AI berörs av samma högriskkategori. Beslutet organisationen måste ta: får AI sammanställa underlag till ett medarbetarsamtal, och i så fall, vem läser igenom det innan chefen använder det [internlenke: sida om medarbetarsamtal och prestationshantering]? Känsloigenkänning av medarbetare är förbjuden i normalfallet, med undantag för medicinska eller säkerhetsrelaterade skäl (Europaparlamentet och rådet, 2024).

3. Vad gäller i rehabiliterings- och disciplinärenden?
   Det här är den känsligaste gränsen, och den som oftast saknas i nedladdade mallar. Se egen sektion nedan.

4. Vilka uppgifter får lämna ett slutet system?
   Personuppgifter som skrivs in i ett öppet AI-verktyg kan användas för att träna modellen och går i praktiken inte att få bort igen. Integritetsskyddsmyndigheten rekommenderar ett enkelt test: skulle du publicera samma uppgift öppet på internet? Om inte, hör den inte hemma i ett öppet verktyg (Integritetsskyddsmyndigheten [IMY], u.å.). Organisationen måste själv lista vilka system som räknas som slutna och godkända för persondata, och vilka som inte gör det.

5. Hur dokumenteras den mänskliga granskningen?
   Ett beslut om att en människa ska granska AI:ns förslag är värdelöst om ingen kan visa att det hände. Policyn behöver ange var granskningen loggas, av vem och hur länge underlaget sparas.

Är en AI-policy ett lagkrav?

Nej, ingen enskild paragraf kräver ett dokument med rubriken AI-policy. Flera av de underliggande skyldigheterna är däremot lagkrav.

Artikel 4 i AI-förordningen kräver att den som använder AI-system ser till att personalen har tillräcklig AI-kunnighet, en skyldighet som gällt sedan den 2 februari 2025. Arbetsmiljölagstiftningen kräver en riskbedömning innan ett nytt arbetssätt införs (Arbetsmiljöverket, 2001). Dataskyddsförordningen gäller så fort personuppgifter behandlas. En skriven policy är det praktiska sättet att visa att de kraven är uppfyllda, snarare än ett krav i sig.

Vilka personuppgifter får inte läggas in i ett öppet AI-verktyg?

Uppgifter som identifierar en person (personnummer, adress, lösenord), ekonomisk information, hälsouppgifter, samt kompletta ansökningshandlingar med personuppgifter.

Policyn bör lista vilka verktyg i organisationen som räknas som slutna, det vill säga inte används för att träna en extern modell, och vara tydlig med att öppna, publika AI-tjänster hanteras enligt samma regel som att lägga ut informationen offentligt.

Hur ofta behöver policyn uppdateras, och vem äger den?

En AI-policy som inte uppdateras är sämre än ingen alls.

Den skapar en falsk trygghet, den ger chefer fel svar när de mest behöver rätt, och den blir ett dokument som visar att organisationen kände till frågan men inte agerade när reglerna ändrades. AI-förordningen har redan trätt i kraft i fyra steg (februari 2025, augusti 2025, augusti 2026, och ytterligare skärpningar väntar augusti 2027), vilket i praktiken betyder att en policy skriven före augusti 2026 redan är föråldrad på den punkt som gäller rekrytering och personalhantering.

Ägarskapet bör ligga hos HR, i nära samarbete med dataskyddsombud, jurist och IT, eftersom besluten rör anställningsvillkor, personuppgifter och systemval samtidigt. En rimlig lägsta takt är en översyn två gånger per år, plus en extra genomgång varje gång ett nytt AI-verktyg införs eller regelverket ändras.

Hur förankras policyn så att den faktiskt följs?

En policy som bara ligger på intranätet blir inte efterlevd. Den behöver tre saker: en utbildningsinsats som visar de fem besluten i praktiken (inte bara i teorin), en chef som kan svara på frågor i stunden, och en enkel kanal för att rapportera gränsfall innan de blir problem. 

FQA