Får anställda använda AI för privata ärenden på jobbet?
Kort svar: företaget bör sätta tydliga regler. Privat AI-användning kan verka harmlös, men på en arbetsdator eller i ett företagskonto kan den snabbt blanda ihop personliga behov, arbetsdata, loggar, säkerhet och ansvar.
Ladda ner mallen
Policy-/riktlinjemall eller besluts-/undantagsformulär. Word-dokumentet är redigerbart, kompakt formaterat och har en logotyp som enkelt kan bytas ut mot er egen.
Kort svar: ja, företaget kan begränsa privat AI-användning
En arbetsgivare kan normalt bestämma vilka digitala verktyg, konton och enheter som får användas i arbetet. Därför kan företaget också säga att anställda inte får använda privata AI-konton på arbetsdatorn, inte får mata in arbetsmaterial i privata AI-tjänster och inte får använda AI för privata ärenden under arbetstid om det stör arbetet.
Men den praktiska frågan är sällan om man kan “förbjuda AI”. Den bättre frågan är hur ni skapar en regel som anställda förstår och faktiskt följer. Ett otydligt förbud leder lätt till skugg-AI: medarbetare använder verktygen ändå, men utan instruktioner, utbildning eller spårbarhet.
Vardagliga privata frågor kan vara okej om de sker utanför arbetstid, utan arbetsdata och utan företagets betalda konton.
Rekommenderas för de flesta företag: privata AI-konton stoppas, godkända företagsverktyg används för arbetsrelaterade uppgifter.
Stoppa personuppgifter, kunddata, avtal, kod, HR-ärenden och känsliga arbetsfiler i öppna AI-tjänster.
För små och medelstora företag räcker det ofta med en kort policy, en lista över godkända verktyg och exempel som visar var gränsen går. Det viktiga är att inte lämna frågan till varje medarbetares egen tolkning.
Varför privat AI-användning blir en företagsrisk
Privat AI-användning låter först som något ofarligt: någon ber ChatGPT skriva ett födelsedagstal, planera en resa eller sammanfatta en privat text. Problemet uppstår när det sker på företagets dator, i företagets webbläsarprofil, via företagets nätverk eller i ett konto som IT administrerar.
Då finns flera risker samtidigt. Prompts och filer kan hamna i fel tjänst. Arbetsrelaterade detaljer kan råka följa med i en privat fråga. Loggar kan visa aktivitet som företaget inte vill eller får hantera hur som helst. Och om medarbetaren använder ett företagsbetalt AI-konto för privata ändamål kan kostnad, säkerhet och ansvar bli otydliga.
GDPR och arbetsliv: två saker att hålla isär
GDPR blir relevant på två sätt. För det första får anställda inte mata in personuppgifter i AI-tjänster hur som helst. IMY beskriver de grundläggande GDPR-principerna: personuppgifter ska behandlas lagligt, korrekt och öppet, samlas in för specifika ändamål, begränsas till det som behövs och skyddas med lämplig säkerhet.
För det andra måste arbetsgivaren vara försiktig om man vill kontrollera eller logga anställdas AI-användning. IMY:s information om personuppgifter i arbetslivet betonar balansen mellan arbetsgivarens behov och arbetstagarens personliga integritet. En anställd befinner sig dessutom i beroendeställning, vilket gör samtycke mindre lämpligt som grund för integritetskänslig behandling.
AI Act förstärker behovet av tydlighet. EU:s AI Act är ett riskbaserat regelverk och artikel 4 handlar om AI-kunnighet: leverantörer och användare av AI-system ska vidta åtgärder så att personal och andra som använder AI för deras räkning har tillräcklig AI-kompetens. Det betyder i praktiken att en policy inte bara ska säga “gör inte fel”, utan även hjälpa medarbetare att förstå riskerna.
Trafikljusregler: gör privat AI-användning begriplig
Det enklaste sättet att kommunicera reglerna är en trafikljusmodell. Den gör att medarbetare slipper gissa och chefer slipper svara olika varje gång frågan dyker upp.
Modellen är också användbar för IT och HR. IT får en teknisk grund för vilka tjänster som ska blockeras, tillåtas eller hanteras via företagskonto. HR får ett språk för vad som är en ordningsregel, vad som är utbildning och vad som kan bli ett disciplinärt problem.
Exempel på policytext ni kan använda
En policy behöver inte vara lång. Den behöver däremot vara konkret. Här är ett exempel som kan anpassas till ett mindre företag:
Lägg märke till att texten inte försöker förbjuda varje möjlig AI-fråga. Den fokuserar på det som skapar risk: data, konton, arbetsuppgifter, sekretess och loggning.
Fem beslut ledningen bör ta
Säg ja, nej eller ja med villkor. Det värsta alternativet är tystnad.
Skilj på privata konton, gratisversioner och företagsgodkända tjänster.
Personuppgifter, kundinformation, avtal, kod och interna dokument bör vara tydligt rött.
Informera anställda om vad företaget kan se och varför.
Återkommande AI-användning i jobbet ska dokumenteras, ägas och följas upp.
Så inför ni reglerna utan att skapa rädsla
Regler för privat AI-användning fungerar bäst när de presenteras som hjälp, inte misstänksamhet. Målet är att göra det enkelt att göra rätt. Berätta vilka risker ni vill undvika, vilka verktyg som är godkända och vem medarbetare ska fråga när de är osäkra.
Det är också klokt att samordna AI-policyn med IT-policy, informationssäkerhet, dataskydd, personalhandbok och ert AI-register. Om policyn säger en sak och IT-inställningarna något annat kommer medarbetare att följa det som är enklast i stunden.
Checklista innan ni publicerar regeln
- Har ni definierat privat AI-användning?
- Har ni skilt på privat konto och företagskonto?
- Är personuppgifter och kunddata tydligt förbjudna i privata tjänster?
- Vet medarbetare vilka AI-verktyg som är godkända?
- Har ni beskrivit eventuell loggning och kontroll?
- Finns en enkel kontaktväg vid osäkerhet?
- Är regeln kopplad till AI-policy och AI-register?
- Har chefer fått samma svarsmall?
Börja gärna med en enkel 30-dagarsrutin: inventera vilka AI-verktyg som används, stäm av med HR och IT, formulera trafikljusregler, kommunicera dem i ett kort möte och lägg in de arbetsrelaterade AI-verktygen i registret.
Vill ni slippa gråzonerna?
Ladda ner en enkel AI-policy och använd den tillsammans med AI-registret för att tydliggöra godkända verktyg, förbjuden data och ansvar.