AI-politik og AI-strategi for danske virksomheder

I de fleste danske virksomheder bruger medarbejderne allerede AI. Sælgeren får hjælp til tilbudsmails, controlleren beder en chatassistent om at forklare en formel, HR-medarbejderen får et udkast til en jobannonce. Spørgsmålet er sjældent, om AI bruges – men om ledelsen ved hvordan, med hvilke værktøjer og med hvilke data. Når svaret er nej, har virksomheden et problem, der både er juridisk og forretningsmæssigt: fortrolige oplysninger kan ende de forkerte steder, og gevinsten forbliver spredt og tilfældig.

Løsningen er to dokumenter, der hænger sammen: en AI-politik, der sætter rammerne for sikker brug, og en AI-strategi, der peger på, hvor AI skal skabe værdi. Denne guide gennemgår, hvad de to skal indeholde, hvordan man håndterer skygge-AI, hvad GDPR og EU AI Act kræver – herunder kravet om AI-kompetencer – og hvordan en dansk SMV kommer fra ingenting til en fungerende ramme på få uger.

Hvorfor danske virksomheder har brug for en AI-politik nu

Tre forhold gør AI-politikken aktuel i 2026. For det første er AI blevet hverdagsværktøj: AI-funktioner er bygget ind i kontorpakker, CRM, ERP, regnskabsprogrammer og browsere, så medarbejderne møder AI, uanset om ledelsen har taget stilling. For det andet er regelgrundlaget blevet konkret: GDPR gælder fuldt ud, når personoplysninger lægges i et AI-værktøj, og EU AI Act stiller krav om transparens og AI-kompetencer hos de virksomheder, der bruger AI. For det tredje spørger kunder, revisorer og samarbejdspartnere i stigende grad ind til, hvordan virksomheden bruger AI – i leverandørvurderinger, udbud og databehandleraftaler.

En AI-politik er ikke bureaukrati for bureaukratiets skyld. Den er den enkleste måde at give medarbejderne tryghed til at bruge AI – fordi de ved, hvad der er tilladt – og ledelsen dokumentation for, at virksomheden har styr på det.

Skygge-AI: det problem, politikken skal løse

Skygge-AI er AI-brug, der foregår uden for virksomhedens kendskab og kontrol – typisk gratis forbrugerversioner af chatassistenter på private konti, browserudvidelser eller AI-funktioner, ingen har bedt om at få slået til. Det er sjældent ondsindet; det er medarbejdere, der vil løse deres opgaver hurtigere.

Risikoen ligger i dataene. Indsætter en medarbejder en kundekontrakt, en lønliste eller en patientjournal i en gratis tjeneste, kan oplysningerne blive gemt hos en leverandør uden databehandleraftale, potentielt uden for EU/EØS og i nogle tilfælde brugt til at træne leverandørens modeller. Det kan være et brud på GDPR, på fortrolighedsaftaler med kunder og på virksomhedens egne forretningshemmeligheder.

Hvad en AI-politik skal indeholde

En god AI-politik er kort, konkret og skrevet til medarbejderne – ikke til juristerne. For de fleste danske SMV'er kan den holdes på to til fire sider, med detaljer om specifikke værktøjer i et bilag, der opdateres oftere. Her er de elementer, den bør dække:

Dataklassificering: politikkens vigtigste del

Hvis medarbejderne kun husker én ting fra politikken, skal det være, hvilke data der må bruges hvor. En enkel trafiklysmodel virker godt i praksis:

• Grøn – offentlige og ufølsomme data: Markedsføringstekster, offentligt tilgængelig information, generelle spørgsmål. Må bruges i alle godkendte værktøjer.
• Gul – interne forretningsdata: Interne notater, ikke-personhenførbare tal, udkast til processer. Må kun bruges i godkendte erhvervsværktøjer med databehandleraftale.
• Rød – fortrolige og følsomme data: Personoplysninger, særligt følsomme oplysninger som helbred, kundekontrakter under NDA, forretningshemmeligheder, adgangskoder. Må kun bruges i værktøjer, der er specifikt godkendt til formålet – eller slet ikke.

Menneskelig kontrol og ansvar for output

AI-modeller kan formulere sig overbevisende og samtidig tage fejl – såkaldte hallucinationer. Politikken bør derfor slå fast, at den medarbejder, der bruger AI-output, står inde for det, som om de selv havde skrevet det. Det gælder især tal, juridiske formuleringer, kildehenvisninger og alt, der sendes til kunder eller myndigheder. AI er en assistent; ansvaret flytter ikke.

Ansvar og ejerskab: hvem ejer AI i virksomheden?

En politik uden ejer forfalder. I en dansk SMV er det sjældent realistisk med en dedikeret AI-funktion, men der bør være én navngiven ansvarlig – ofte IT-ansvarlig, økonomichef eller COO – der ejer politikken, vedligeholder listen over godkendte værktøjer og er kontaktperson ved tvivl og hændelser. I større virksomheder kan det være en lille AI-styregruppe på tværs af IT, jura/compliance, HR og forretningen.

Bestyrelsen har også en rolle. AI er både en strategisk mulighed og en risiko, og begge dele hører hjemme på bestyrelsens dagsorden. En kort årlig gennemgang af virksomhedens AI-brug, risici og gevinster er god governance – og en naturlig del af bestyrelsens tilsynsansvar.

GDPR, EU AI Act og ophavsret

AI-politikken er virksomhedens praktiske svar på flere regelsæt. Her er de vigtigste.

GDPR

Når personoplysninger behandles i et AI-værktøj, gælder GDPR fuldt ud. Det kræver et lovligt behandlingsgrundlag, formålsbegrænsning (data indsamlet til ét formål må ikke frit genbruges til et andet), dataminimering, en databehandleraftale med leverandøren og et gyldigt grundlag for overførsel, hvis data behandles uden for EU/EØS. Ved nye, mere indgribende anvendelser – fx AI, der analyserer medarbejdere eller kunder i stor skala – kan en konsekvensanalyse (DPIA) være påkrævet. Datatilsynet har udgivet vejledning om brug af AI, som er værd at læse som supplement.

EU AI Act

For langt de fleste danske virksomheder er de anvendte AI-systemer i den laveste risikokategori: skrivehjælp, opsummering, analyse og kundeservice. Der er dog tre forhold, politikken skal adressere. For det første gælder forbuddene mod visse praksisser allerede. For det andet gælder transparenskrav: personer skal vide, når de interagerer med en AI, fx en chatbot. For det tredje indeholder forordningen en bestemmelse om AI-kendskab (AI literacy), der har gældt siden 2. februar 2025: virksomheder, der bruger AI, skal sørge for, at de medarbejdere, der arbejder med det, har en passende forståelse. Digital Omnibus-forhandlingerne har drejet på formuleringen, men princippet består – og en rollebaseret introduktion er under alle omstændigheder god praksis.

Billedet skifter markant, hvis AI bruges til højrisiko-formål – fx screening af jobansøgere, vurdering af medarbejderes præstation eller kreditvurdering af privatpersoner. Her gælder tungere krav om menneskeligt tilsyn, dokumentation og logning. Politikken bør derfor kræve, at sådanne anvendelser altid godkendes særskilt.

Ophavsret og fortrolighed

AI-genereret indhold rejser spørgsmål om ophavsret, både om materiale, man lægger ind, og om det, der kommer ud. Politikken bør slå fast, at medarbejdere ikke må lægge tredjeparts beskyttet materiale ind uden ret til det, og at AI-genereret indhold til markedsføring og produkter gennemgås, før det bruges kommercielt. Tjek desuden fortrolighedsklausuler i kundekontrakter: nogle kunder kræver udtrykkeligt, at deres data ikke behandles i AI-værktøjer uden samtykke.

Inddragelse af medarbejderne

En AI-politik, der dikteres oppefra, bliver mødt med skepsis – især hvis medarbejderne frygter, at AI handler om at skære stillinger. Det betaler sig at inddrage medarbejderne tidligt: spørg, hvordan de allerede bruger AI, hvad de har brug for, og hvor de ser risici. Det giver både en mere realistisk politik og større opbakning.

I virksomheder med samarbejdsudvalg er indførelse af ny teknologi, der påvirker arbejdets indhold og organisering, typisk et emne for information og drøftelse efter samarbejdsaftalen. Og bruges AI til at overvåge eller vurdere medarbejdere, gælder der yderligere krav om information – både efter GDPR og efter de kollektive aftaler, der måtte være på området.

Fra politik til strategi: hvor skal AI skabe værdi?

Politikken handler om at undgå skade. Strategien handler om at skabe gevinst. En AI-strategi for en dansk SMV behøver ikke være et tykt dokument – men den bør besvare fire spørgsmål.

1. Hvor er de største gevinster?

Kortlæg de processer, hvor medarbejderne bruger mest tid på gentaget arbejde med tekst, data eller dokumenter: tilbud, fakturahåndtering, kundeservice, rapportering, referater, kontraktgennemgang. Det er typisk her, AI giver den hurtigste og mest målbare effekt.

2. Hvilke use cases skal prioriteres?

Vurdér hver mulig anvendelse på to akser: værdi (sparet tid, bedre kvalitet, ny indtægt) og kompleksitet og risiko (data, integrationer, regulering). Start med de anvendelser, der har høj værdi og lav kompleksitet – ofte AI-funktioner i værktøjer, I allerede har.

3. Hvad kræver det af kompetencer og data?

De fleste AI-gevinster kræver hverken datavidenskabsfolk eller egne modeller. De kræver medarbejdere, der kan bruge værktøjerne godt, og data, der er ordentligt organiseret. Strategien bør derfor afsætte tid til træning og til oprydning i de datakilder, AI skal arbejde med – dokumentarkiver, CRM, ERP.

4. Hvordan måler vi effekten?

Fastlæg på forhånd, hvad succes betyder for hver prioriteret anvendelse: sparede timer, kortere svartid, færre fejl, højere kundetilfredshed. Uden målepunkter bliver AI-indsatsen en tro snarere end en investering – og det bliver svært at prioritere, hvad der skal skaleres.

Hvad koster det?

Selve politikken koster primært tid: typisk nogle få arbejdsdage for den ansvarlige, plus input fra IT, ledelse og evt. en ekstern rådgiver til den juridiske gennemgang. De løbende omkostninger ligger i værktøjerne. Erhvervsversioner af AI-assistenter – fx Microsoft 365 Copilot, Google Gemini for Workspace, ChatGPT Business/Enterprise eller Claude for Work – prissættes typisk per bruger per måned, ofte som tillæg til eksisterende licenser. Priser og pakker ændrer sig hurtigt, så tjek altid aktuelle vilkår.

Den relevante sammenligning er ikke licensprisen, men alternativet: at medarbejderne bruger gratis forbrugerværktøjer uden databehandleraftale. Prisen for et enkelt databrud – i bøder, tabt kundetillid og oprydning – overstiger hurtigt mange års licenser.

Seks skridt til at komme i gang

1. Kortlæg den nuværende AI-brug

Spørg medarbejderne åbent – gerne anonymt – hvilke AI-værktøjer de bruger, til hvad, og med hvilke data. Svaret er næsten altid mere end ledelsen forventer. Det er udgangspunktet for både politik og AI-register.

2. Udpeg en ansvarlig

Placér ejerskabet hos én navngiven person, der vedligeholder politikken, listen over godkendte værktøjer og AI-registret.

3. Vælg og godkend erhvervsværktøjer

Stil mindst ét godkendt AI-værktøj til rådighed i en erhvervsversion med databehandleraftale og uden træning på jeres data. Uden et godkendt alternativ vil skygge-AI fortsætte.

4. Skriv en kort politik med dataklassificering

Hold den på to til fire sider. Brug trafiklysmodellen for data, slå krav om menneskelig kontrol fast, og beskriv processen for at få nye værktøjer godkendt.

5. Giv en rollebaseret introduktion

Sørg for, at alle, der bruger AI, får en kort introduktion til mulighederne, risiciene og politikken – tilpasset deres rolle. Dokumentér det, så I kan vise efterlevelse af kravet om AI-kendskab.

6. Prioritér tre use cases og mål effekten

Vælg tre konkrete anvendelser med høj værdi og lav kompleksitet, sæt målepunkter, og evaluér efter tre måneder. Revidér politikken mindst én gang om året – eller når et nyt værktøj eller ny regulering ændrer billedet.

De fem hyppigste fejl – og hvordan du undgår dem

1. At forbyde i stedet for at regulere: Forbud skubber AI-brugen under radaren. Stil et godkendt alternativ til rådighed og sæt klare regler for data.
2. At skrive for juristerne: En 20-siders politik bliver ikke læst. Skriv kort og konkret til medarbejderne, og læg detaljer i bilag.
3. At glemme dataklassificeringen: Den vigtigste regel er, hvilke data der må bruges hvor. Uden den er politikken uden tænder.
4. At lade politikken stå alene: Uden strategi bliver AI kun et risikoemne. Kobl politikken til konkrete use cases, så den også skaber værdi.
5. At springe træningen over: Kravet om AI-kendskab i EU AI Act er ikke kun formalia – medarbejdere, der forstår AI's begrænsninger, laver færre fejl.