KI-policy for små bedrifter: hva må faktisk stå i den?
En KI-policy for en bedrift med under 50 ansatte trenger ikke være lang. Her er de syv punktene som må med, og de vanligste feilene.
Én til to sider holder. Den må si hvilke verktøy som er tillatt, hva som aldri legges inn i dem, hvor et menneske må ta beslutningen, hvordan AI-bruk merkes, og hvem man spør. Formålet er ikke å imponere noen – det er at ansatte vet hva de kan gjøre, og at dere kan vise at dere har tenkt gjennom det.
Hvorfor dere trenger en
To grunner, og den ene er viktigere enn folk tror.
Regelverket. KI-forordningen stiller krav om at ansatte som bruker AI, har tilstrekkelig kompetanse, tilpasset rollen. En skriftlig retningslinje er det enkleste stedet å starte, og det enkleste å vise fram.
Det som skjer i praksis. Ansatte bruker allerede AI. Kundedata limes inn i chatboter. Utkast til oppsigelser skrives av en språkmodell. Ingen har sagt at det ikke er lov, fordi ingen har sagt noe i det hele tatt.
Uten retningslinjer er standardsvaret «alt er tillatt til noen sier noe annet». Det er sjelden det dere ønsker.
De syv punktene
1. Hvilke verktøy er godkjent Vær konkret. «Vi bruker verktøy X til tekst og verktøy Y i regnskapssystemet.» Skal noen ta i bruk noe nytt, skal det avklares først. Uten en liste får dere skygge-AI: femten ulike verktøy ingen har oversikt over.
2. Hva som aldri legges inn Det viktigste punktet. Typisk:
- Personopplysninger om ansatte og kunder
- Helseopplysninger
- Fødselsnumre
- Lønnsopplysninger
- Kontraktsvilkår og priser fra kunder
- Alt som er merket konfidensielt
3. Hvor mennesket må bestemme Skriv det rett ut: ansettelser, oppsigelser, advarsler, lønnsfastsettelse og andre beslutninger som gjelder enkeltpersoner, avgjøres av et menneske. AI kan forberede underlag. Den kan ikke konkludere.
4. Åpenhet Når skal det opplyses at AI er brukt? Overfor kandidater i en rekrutteringsprosess, overfor kunder der det har betydning, og internt der en AI-generert vurdering inngår i et underlag.
5. Kvalitetskontroll Alt som går ut av bedriften, skal leses av et menneske. Språkmodeller finner på fakta, tall og kilder – med stor selvtillit. Den som sender, er ansvarlig for innholdet.
6. Hvem man spør Ett navn. Er dere usikre, spør dere denne personen. Uten et navn blir usikkerhet til at folk gjør som de vil.
7. Opplæring og oppdatering Hvem har fått opplæring, når, og når skal retningslinjen gjennomgås på nytt. Sett en dato – ellers er dokumentet utdatert om et år uten at noen merker det.
Det som ikke trenger å stå der
- Lange forklaringer av hva kunstig intelligens er
- Sitater fra forordningen
- Etiske prinsipper ingen kan omsette til handling
En retningslinje folk ikke leser, er verre enn ingen – den gir en falsk følelse av kontroll.
Merk forskjellen på vanlig bruk og høyrisiko
Dette er skillet som avgjør hvor strenge dere må være.
| Bruk | Krav |
|---|---|
| Skrive utkast, oppsummere, oversette, rydde i tekst | Vanlige krav. Kvalitetskontroll og forsiktighet med data |
| Sortere eller rangere jobbsøkere, vurdere ansattes prestasjoner | Behandles som høyrisiko. Dokumentasjon, menneskelig kontroll, åpenhet |
De aller fleste småbedrifter er i øverste rad. Er dere i nederste, gjelder et vesentlig tyngre regelsett – og da bør retningslinjen si det tydelig.
Før du publiserer den
Drøft den med de ansatte. Innfører dere systemer som påvirker de ansatte, skal det tas opp med tillitsvalgte eller de ansatte. Det er også praktisk klokt: folk følger regler de har fått si noe om.
Registrer at den er gjennomgått. En retningslinje ingen har bekreftet at de har lest, er vanskelig å bygge noe på.
Vanlige spørsmål
Én til to sider for en bedrift med under femti ansatte. Blir den lengre, blir den ikke lest.
Ja, og da er den kort. Det viktigste punktet for dere er hva som ikke skal limes inn.
Daglig leder, med innspill fra dem som faktisk bruker verktøyene. Det trengs ingen jurist for en enkel retningslinje – men bruker dere AI i rekruttering, bør noen med kompetanse se på det.
Minst årlig. Verktøyene endrer seg raskere enn det.
EUs forordning om kunstig intelligens (2024/1689) · Datatilsynet · Digitaliseringsdirektoratet. Sist oppdatert 8. september 2026. Artikkelen er generell informasjon, ikke juridisk rådgivning.
Retningslinjer teller først når noen har lest dem
Å publisere en retningslinje er halve jobben. Den andre halvparten er å vite hvem som faktisk har gjennomgått den.
I NiftyHR ligger retningslinjer og opplæring sammen med ansattoversikten, med bekreftelse fra hver enkelt.
Alle nye kunder får 30 dager med full Plus-tilgang gratis. Prøv løsningen i praksis før dere bestemmer dere.