När några på kontoret har börjat använda Claude är det lätt att alla gör på sitt eget sätt. En använder ett privat konto, en annan klistrar in kundlistor, en tredje skickar AI-text till kunder utan att läsa den. Det behövs inte många regler för att undvika det, men de behöver stå nedskrivna. Här är vad riktlinjerna bör handla om, och en mall ni kan kopiera och anpassa.
Varför skriva ner det?
Riktlinjer handlar mindre om att förbjuda saker och mer om att alla ska veta vad som gäller. Den som är osäker låter ofta bli att använda verktyget, eller gör det i smyg. En sida med tydliga svar gör det lättare att använda Claude, inte svårare.
Håll dem korta. En sida som alla har läst är bättre än tio sidor som ingen har öppnat.
Bestäm vilka verktyg som gäller
Det viktigaste beslutet är vilket konto medarbetarna ska använda. Claude finns i planer för privatpersoner (Free, Pro och Max) och för organisationer (Team och Enterprise), och villkoren skiljer sig åt.
- Team och Enterprise omfattas av Anthropics kommersiella villkor. Anthropic använder som standard inte det ni skriver eller får tillbaka för att träna sina modeller. Undantaget är om någon ger återkoppling med tummen upp eller ner, då kan den konversationen användas. En ägare kan stänga av det under Organization settings > Data and Privacy med inställningen Rate chats. Organisationen är personuppgiftsansvarig och Anthropic är personuppgiftsbiträde, och ett personuppgiftsbiträdesavtal (DPA) ingår automatiskt i villkoren. Ni får också en administratörsvy där ni styr medlemmar och kopplingar.
- Free, Pro och Max är konsumentplaner. Där väljer varje användare själv om chattarna får användas för träning, under Settings > Privacy. Företaget har ingen insyn och ingen central kontroll.
Är ni osäkra på vilken plan som passar finns en jämförelse i Claude vs ChatGPT: vilken ska företaget välja?
Vad får man skriva in?
Även med ett företagskonto behöver ni bestämma vilken information som får användas. Det enklaste är att dela in den i tre nivåer: fritt, med försiktighet och aldrig.
- Fritt: Sådant som inte innehåller personuppgifter, som egna texter, utkast, allmänna frågor och offentlig information som inte handlar om enskilda personer. Tänk på att GDPR gäller även för personuppgifter som är offentliga, till exempel i domar eller allmänna handlingar.
- Med försiktighet: Kunddata och personuppgifter. Ta bara med det som behövs för uppgiften, och bara i företagets konto.
- Aldrig: Lösenord, API-nycklar och annat som ger åtkomst till system. Samma sak gäller känsliga personuppgifter som uppgifter om hälsa, och även uppgifter om brott och personnummer, om ni inte först har utrett att lagen tillåter det. Ett internt beslut räcker inte. Läs mer i Claude och GDPR.
Klistra in hela kundregistret och be Claude hitta vilka kunder som borde kontaktas.
Ta bort namn och kontaktuppgifter först, eller använd bara de kolumner som behövs för frågan.
GDPR i korthet
GDPR gäller som vanligt när personuppgifter hamnar i ett AI-verktyg. Det betyder ingen ny regel, men några gamla blir aktuella:
- Det ska finnas ett avtal med den som behandlar personuppgifterna åt er. För Team och Enterprise är det Anthropics DPA.
- Ta inte med fler personuppgifter än uppgiften kräver.
- Anthropic lagrar data i USA, och det räknas som en överföring till ett land utanför EU. Överföringen regleras av EU:s standardavtalsklausuler, som ingår i Anthropics DPA, och ni behöver göra en överföringsbedömning. Nämn den i er integritetspolicy, så att kunder och anställda vet om den.
- För in Claude i ert register över behandling, som GDPR kräver i artikel 30. Skriv att Anthropic är personuppgiftsbiträde och att uppgifter förs över till USA. Undantaget för företag med färre än 250 anställda gäller inte när behandlingen sker mer än tillfälligt, så de flesta företag behöver ett sådant register.
Har ni ett dataskyddsombud, låt hen läsa riktlinjerna innan de börjar gälla.
Människan ansvarar för resultatet
Claude kan ha fel, och det låter lika säkert när den har fel som när den har rätt. Skriv därför in att den som använder Claude ansvarar för resultatet, precis som om man hade skrivit det själv. Siffror, namn, citat och juridiska påståenden ska alltid kontrolleras innan de lämnar huset.
Bestäm också när ni berättar att ni har använt AI. Ett rimligt förslag är att det inte behövs för interna utkast, men att det ska framgå när en kund eller myndighet kan förväntas tro att en människa har skrivit eller bedömt något på egen hand.
En del av det är dessutom krav i lag. Sedan den 2 augusti 2026 säger AI-förordningen, i artikel 50.4, att den som använder AI ska tala om när bilder, ljud eller video har skapats eller ändrats med AI så att de ser äkta ut, så kallade deepfakes. Samma sak gäller AI-genererad text som publiceras för att informera allmänheten i frågor av allmänt intresse, om ingen människa har granskat texten och tagit ansvar för den.
Godkänn kopplingar innan de slås på
En koppling ger Claude tillgång till ett annat system, som kalendern eller CRM:et. På Team-planen är det organisationens ägare, alltså rollerna Owner och Primary Owner och inte Admin, som slår på kopplingar för organisationen, både färdiga och egna. Ägaren kan också begränsa vad en koppling får göra, till exempel kräva godkännande eller blockera verktyg som skriver eller raderar. Skriv in vem som godkänner nya kopplingar och att kopplingar som kan skriva eller radera kräver ett särskilt beslut. Läs mer i MCP förklarat utan jargong.
Mallen
Här är mallen ifylld för ett påhittat företag, Exempelbolaget AB. Kopiera den, byt namn, datum och ansvariga mot era egna och stryk det som inte passar.
Riktlinjer för AI på Exempelbolaget AB
- Gäller från
- 1 november 2026
- Ansvarig
- Anna Berg, kontorschef
- Nästa översyn
- 1 maj 2027
Verktyg
- Vi använder Claude via företagets Team-konto.
- Privata AI-konton används inte för arbetsmaterial.
- Andra AI-verktyg får användas efter godkännande av Anna Berg.
Information
- Fritt: egna texter, allmänna frågor och offentlig information utan personuppgifter.
- Med försiktighet: kunddata och personuppgifter. Bara det som behövs, och bara i företagets konto.
- Aldrig: lösenord, API-nycklar och åtkomstuppgifter.
- Aldrig utan att lagstödet är utrett: känsliga personuppgifter, som hälsa, och uppgifter om brott och personnummer.
Ansvar
- Den som använder AI ansvarar för resultatet.
- Siffror, namn, citat och juridiska påståenden kontrolleras alltid innan något skickas ut.
Öppenhet
- Vi berättar att vi har använt AI när mottagaren annars kan tro att en människa har gjort arbetet på egen hand.
- AI-skapade bilder, ljud och video som kan uppfattas som äkta märks alltid som AI-genererade.
Kopplingar
- Nya kopplingar godkänns av Anna Berg innan de slås på.
- Kopplingar som kan skriva eller radera kräver särskilt beslut.
Frågor och incidenter
- Frågor går till kanalen #ai-frågor i Teams.
- Har något hamnat fel, säg till Anna Berg samma dag.
Kunskap är också ett krav
EU:s AI-förordning innehåller en artikel om AI-kunnighet, artikel 4. Den ändrades genom förordning (EU) 2026/1744, som trädde i kraft den 27 juli 2026. Enligt den nya lydelsen ska företag som använder AI-system i sin verksamhet vidta åtgärder för att främja AI-kunnigheten hos sin personal och hos andra som använder systemen för företagets räkning, till exempel konsulter. Det räcker alltså inte att bara dela ut ett konto, ni behöver också hjälpa personalen att förstå verktyget.
I praktiken är riktlinjerna en bra start, tillsammans med en genomgång där teamet provar verktyget på riktiga uppgifter. Spara gärna en anteckning om vad ni har gjort.
Någon måste äga dem
Riktlinjer utan ägare blir inaktuella. Verktygen ändras ofta, och det som stämde i våras kanske inte stämmer i dag. Utse en person som ansvarar för dokumentet, och sätt ett datum för nästa översyn, till exempel varje halvår. Gå också igenom dem när ni byter plan, lägger till ett nytt verktyg eller när något har gått fel.
Sammanfattning
Bestäm vilket konto som gäller, vilken information som får användas och att en människa alltid ansvarar för resultatet. Skriv ner det på en sida, utse en ägare och gå igenom riktlinjerna minst en gång i halvåret.