Sammanfattning: Innan ni skriver nästa AI-policy behöver ni veta hur AI faktiskt används i organisationen. En AI-inventering – ett register över system, användningsfall, ägare, data och risk – är grunden för både riskhantering, GDPR-efterlevnad och riskklassificering enligt AI Act. Börja med att synliggöra shadow AI, skilj på verktyg och användningsfall och koppla inventeringen till de register och processer ni redan har.

”Vi använder Microsoft Copilot.” Bra. Men använder organisationen också:

ChatGPT i webbläsaren?
Gemini i Google Workspace?
Claude eller andra assistenter i enskilda team?
AI-funktioner i CRM-, HR- och ekonomisystem?
mötestranskribering och automatiska sammanfattningar?
AI-stöd i rekrytering och urval?
AI-baserade utvecklingsverktyg?
AI som leverantörer aktiverat i befintliga SaaS-tjänster – utan att någon bett om det?

Många organisationer svarar på AI-frågan genom att skriva en AI-policy. Det är inte fel – men det är fel ordning. En policy som skrivs innan man vet hur AI faktiskt används blir antingen för generell för att styra något, eller för restriktiv för att någon ska följa den.

Börja i stället med en inventering.

FI ställer just den typen av frågor

Den 3 september 2026 startade Finansinspektionen en kartläggning av hur finansiella företag använder AI och hanterar teknikens möjligheter, risker och utmaningar. Den görs som en enkät till bland annat banker, kreditinstitut, försäkringsföretag, fondbolag, betalningsinstitut och värdepappersbolag, och ska också visa hur företagen anser sig påverkas av EU:s AI-förordning. Frågorna handlar inte om policyer utan om faktisk användning – och den som inte har en inventering kan inte svara.

Det gäller inte bara finanssektorn. Samma frågor kommer – från styrelser, kunder, revisorer, tillsynsmyndigheter och dataskyddsombud – oavsett bransch. Och svaret ”vi har en AI-policy” är inte ett svar på frågan ”hur använder ni AI?”.

Vad bör finnas i ett AI-register?

Ett användbart AI-register behöver inte vara komplicerat, men det behöver fånga rätt saker per användningsfall:

System eller tjänst – vilket verktyg eller vilken AI-funktion det gäller, inklusive AI inbäddad i befintliga system.
Användningsområde – vad AI:n används till i praktiken och i vilken process.
Ägare – vem i verksamheten som ansvarar för användningen.
Leverantör – vem som tillhandahåller modellen eller tjänsten, var den driftas och vilka underleverantörer som finns.
Data – vilken information som matas in, och om den används för att träna modellen.
Personuppgifter – om och vilka personuppgifter som behandlas, rättslig grund och om en konsekvensbedömning behövs.
Informationsklassning – vilken klassning informationen har och om verktyget är godkänt för den nivån.
Integrationer – vilka system AI:n är kopplad till och vilka data den kan nå.
Mänsklig kontroll – om AI:n ger förslag, fattar beslut eller agerar självständigt, och hur en människa granskar resultatet.
Påverkan – vem som påverkas av resultatet: anställda, kunder, sökande, patienter, medborgare.
Regulatorisk bedömning – riskklass enligt AI Act, GDPR-status och eventuella sektorskrav.

Registret behöver inte vara perfekt från första dagen. Ett enkelt kalkylblad med rätt kolumner slår en avancerad plattform som ingen fyller i.

Skilj på verktyg och användningsfall

Ett vanligt misstag är att inventera verktyg – ”vi använder Copilot” – och sluta där. Risken sitter i användningsfallet.

Copilot som sammanfattar ett internt möte är en sak. Copilot som drar slutsatser om enskilda kunders kreditvärdighet eller sorterar jobbansökningar är något helt annat – även om det är samma verktyg. Samma modell kan vara låg risk i ett användningsfall och hög risk i ett annat.

Därför bör inventeringen ha användningsfallet, inte verktyget, som minsta enhet.

AI Act gör riskklassificeringen viktigare

EU:s AI-förordning (AI Act) tillämpas stegvis. Förbuden mot vissa AI-metoder gäller sedan februari 2025, och sedan den 2 augusti 2026 gäller transparenskraven i artikel 50 – till exempel att människor ska informeras när de interagerar med ett AI-system, att deepfakes ska märkas ut och att AI-genererat innehåll ska märkas maskinläsbart. Den så kallade digitala omnibusen (förordning (EU) 2026/1744, i kraft sedan den 27 juli 2026) ändrade inte det, med ett undantag: system som redan fanns på marknaden före den 2 augusti 2026 har till den 2 december 2026 att införa den maskinläsbara märkningen. Kraven på högrisksystem sköts däremot fram – till den 2 december 2027 för system enligt bilaga III och den 2 augusti 2028 för AI i produkter enligt bilaga I.

För att veta vilka krav som träffar er måste ni först veta vilka system ni har, vad de används till och vem som påverkas. Utan inventering är riskklassificeringen en gissning – och en AI-policy som hänvisar till AI Act utan att veta vilka användningsfall som berörs är bara ord.

Koppla inventeringen till sådant ni redan gör

AI-inventeringen bör inte bli ett nytt register på en ö. Den hänger ihop med sådant som de flesta organisationer redan har:

registerförteckningen över personuppgiftsbehandlingar
systemförteckning eller CMDB
leverantörsregister och tredjepartsriskhantering
informationsklassning
riskregistret
DPIA-processen
change- och inköpsprocessen
kontinuitetsplaner
utbildnings- och medvetenhetsprogram

Fyra exempel på hur kopplingen ser ut i praktiken:

Ett AI-verktyg som behandlar personuppgifter ska finnas i registerförteckningen och kan behöva en konsekvensbedömning (DPIA).
En AI-leverantör är en tredjepartsleverantör och ska bedömas som en sådan i er tredjepartshantering.
AI-funktioner som aktiveras i ett befintligt system är en förändring och ska passera change-processen.
Ett AI-system som stödjer en kritisk process påverkar kontinuitetsplaneringen och den operativa motståndskraften.

Shadow AI är kanske det största startproblemet

Den AI-användning som ingen beslutat om är svårast att inventera – och ofta den som innebär störst risk. Anställda klistrar in kunddata i publika chattbotar, laddar upp dokument för sammanfattning eller låter en AI-tjänst läsa hela inkorgen. Inte av illvilja, utan för att det är effektivt och för att inget godkänt alternativ finns.

Att förbjuda hjälper sällan. En praktisk modell bygger i stället på fem delar:

ett godkänt alternativ som är tillräckligt bra för att faktiskt användas
en enkel väg att anmäla ett nytt användningsfall och få det bedömt
tydliga regler för vilken information som får användas i vilka verktyg
teknisk insyn – till exempel via loggar, DLP och SaaS-övervakning – i vad som faktiskt används
en kultur där det är okej att berätta att man använder AI

Målet är inte att hitta syndabockar utan att få hela bilden. Först då kan ni styra.

Så kan Kristensson i Skåne stödja

Vi hjälper organisationer att gå från AI-policy på papper till fungerande AI-styrning. Beroende på behov kan vi bidra med:

AI-inventering och uppbyggnad av AI-register
klassificering av användningsfall efter risk
AI Act-readiness och riskklassificering
bedömning av informationssäkerhetsrisker i AI-användning
dataskydd och DPIA för AI-behandlingar
leverantörsbedömning av AI-tjänster
AI-policy som bygger på verklig användning
styrmodell med roller, ansvar och beslutsvägar
utbildning av ledning och medarbetare
löpande uppföljning när användningen förändras

Skriv gärna AI-policyn. Men skriv den efter inventeringen – inte i stället för den.

Vill ni få kontroll på er AI-användning? Läs mer om vårt erbjudande inom AI Act och AI-styrning eller kontakta oss för ett förutsättningslöst samtal.

Källor: Förordning (EU) 2024/1689 (AI-förordningen), artikel 50 om transparensskyldigheter, tillämplig från den 2 augusti 2026; förordning (EU) 2026/1744 (digitala omnibusen om AI) om ändrade tillämpningsdatum; Finansinspektionen, ”FI kartlägger användningen av AI inom finanssektorn”, nyhet den 3 september 2026; Dataskyddsförordningen (GDPR) artikel 30 om registerförteckning och artikel 35 om konsekvensbedömning.

Den här texten är allmän information och utgör inte juridisk rådgivning i ett enskilt ärende.