AI-policy för AI-agenter: reglerna innan agenten agerar

Ni har en AI-policy. Den säger att ingen får klistra in personnummer i en chatt, och att kundavtal stannar på servern. Bra. Sen kopplar någon en AI-agent till ekonomisystemet så att den kan lägga upp fakturautkast, och policyn säger ingenting om det.

Det är läget i många svenska företag just nu. Den som googlar "ai policy" hittar mallar som handlar om vad man får skriva in. IMY rekommenderar också precis det: en policy som gör det tydligt vad tjänsten får användas till och vilken information som får behandlas¹. Men en agent skriver inte bara. Den gör saker. Den här artikeln är tillägget som saknas: sju regler för vad en agent får göra, med en mall ni kan klistra in i den policy ni redan har.

Har ni ingen AI-policy alls, börja med vår färdiga mall för AI-policy och artikeln om vad en AI-policy ska innehålla. Kom sen tillbaka hit.

Varför räcker inte en vanlig AI-policy för AI-agenter?

För att risken har flyttat. I en chatt sitter risken i det ni skickar in. Med en agent sitter den i det agenten gör: mejlet den skickar, fakturan den lägger upp, filen den raderar.

OWASP, som tar fram listor över säkerhetsrisker för webben och nu också för AI, har ett namn för det: överdriven handlingsfrihet. Det är när en AI kan göra skadliga saker efter ett oväntat, otydligt eller manipulerat svar. OWASP pekar ut tre orsaker: agenten har för många funktioner, för breda behörigheter eller för mycket självständighet. Och botemedlet är att en människa godkänner handlingar med stor påverkan².

Den andra risken heter promptinjektion. Det betyder att någon gömmer instruktioner i en text som agenten läser, till exempel i ett mejl eller på en webbsida, och att agenten följer dem³. Anthropic förklarar när det blir farligt: när agenten både kan läsa information utanför era betrodda gränser och kan utföra handlingar som skadar er⁴. Anthropic skriver också att ingen webbläsaragent är immun, och att även en procent lyckade attacker är en verklig risk⁵.

Lägg till att 79 procent av svenska företag oroar sig för att ägarskapet för AI-styrningen är oklart, enligt Azets barometer från i höstas⁶. Det är inget tekniskt problem. Det är ett policyproblem.

Vad säger lagen om AI-agenter?

Det korta svaret: lagen talar om AI-system, inte om agenter. Men fyra regler träffar agenter ändå. Det här är ingen juridisk rådgivning, men det är vad ni behöver ha koll på.

AI-förordningen, artikel 4: AI-kunnighet. Sedan 2 februari 2025 ska företag som använder AI vidta åtgärder för att stödja AI-kunnigheten hos personalen. Efter Omnibus-ändringen krävs ingen viss nivå, men åtgärderna ska finnas⁷. Den som äger en agent behöver förstå vad den gör.

AI-förordningen, artikel 50: tala om att det är AI. Från 2 augusti 2026 ska människor få veta när de interagerar med ett AI-system⁸. Svarar er agent kunder eller leverantörer gäller det er.

AI-förordningen, artikel 14 och 26: mänsklig tillsyn. För högrisksystem, till exempel AI som används vid anställning eller kreditbedömning, ska en människa kunna strunta i, köra över eller ändra tillbaka det systemet kommer fram till, och det ska finnas en stoppknapp⁹. Den som använder systemet ska ge tillsynen till personer med rätt kompetens och mandat och spara loggarna i minst sex månader¹⁰. De reglerna gäller från 2 december 2027, sedan Omnibus-förordningen antogs i somras¹¹¹². Läs mer i vår guide till AI Act för svenska företag.

GDPR, artikel 22 och 32. Människor har rätt att slippa beslut som enbart fattas automatiskt om beslutet har rättsliga följder eller på liknande sätt påverkar dem i betydande grad, och de har rätt till mänskligt ingripande¹³. Och ni ska ha lämpliga tekniska och organisatoriska åtgärder för säkerheten¹⁴. IMY skriver att AI-tjänster som integreras i era system kräver god informationshantering och behörighetsstyrning¹.

Även om ni inte har ett enda högrisksystem är högriskreglerna en bra karta. Stoppknapp, mänsklig tillsyn och sparade loggar är bra idéer för alla agenter.

Agentpolicyn: sju regler att lägga till i er AI-policy

Tänk på varje agent som en ny medarbetare. Den behöver en chef, en arbetsbeskrivning, rätt nycklar och en provanställning. Reglerna nedan säger just det.

1. Varje agent har en namngiven ägare. En person, inte "IT". Ägaren bestämmer vad agenten får göra, läser loggen och kan stänga av den.
2. Varje agent har en arbetsbeskrivning. Uppgift, vilka system den når, om den får läsa eller skriva, och vad den aldrig gör. Gartner varnade i maj 2026 för att samma styrning för alla agenter leder till att agentprojekten misslyckas¹⁵. En beskrivning per agent löser det.
3. Läsrätt först, skrivrätt per uppgift. En agent som bara läser kan inte ändra en siffra. Skrivrätt ges för en sak i taget, när ni har sett att den läser rätt. Och kolla vad systemet faktiskt kan begränsa: Fortnox API har inga behörigheter som bara läser, så där måste gränsen byggas i själva kopplingen.
4. En människa godkänner allt som lämnar huset. Mejl, betalningar, avtal, publiceringar och alla beslut som påverkar en person går via någon med ansvar. Det är också GDPR:s krav på mänskligt ingripande, i praktiken.
5. Agenten lyder bara er. Instruktioner i mejl, dokument och webbsidor som agenten läser är data, inte order. En agent som läser utifrån ska inte samtidigt kunna agera utåt utan godkännande.
6. Allt loggas. Vad agenten gjorde, när, i vilket system och på vems uppdrag. Spara loggen i minst sex månader, samma nivå som AI-förordningen kräver för högrisksystem.
7. Provanställning och stoppknapp. Fyra veckor där en människa granskar allt agenten gör. Ett känt sätt att stänga av den på en minut. Ett fel hanteras som en incident enligt er vanliga AI-policy.

Claude Cowork och bakgrundsagenter: samma regler, olika tungt

Agenter finns i två sorter, och reglerna väger olika för dem. När ni jobbar med Claude Cowork sitter en människa bredvid och ser vad agenten gör. Där räcker det ofta att slå på manuellt godkännande för det som är svårt att ångra, som att skicka meddelanden eller göra köp. Det är Anthropics eget råd⁴. En nischad agent som jobbar i bakgrunden har ingen som tittar medan den kör. Där måste godkännandet byggas in i själva flödet (regel 4), ägaren måste läsa loggen (regel 6) och stoppknappen måste finnas från första dagen (regel 7).

Mall: agenttillägg till AI-policyn

Kopiera rutan, byt ut det inom hakparenteser och lägg den sist i er AI-policy.

AGENTTILLÄGG TILL AI-POLICYN FÖR [FÖRETAG]
Gäller från [datum]. Godkänt av [namn, roll].

1. Ägare. Varje AI-agent har en namngiven ägare i verksamheten.
   Ägaren ansvarar för uppdraget, behörigheterna, loggen och avstängningen.

2. Arbetsbeskrivning. Ingen agent tas i drift utan en ifylld beskrivning:
   - Uppgift: [vad agenten gör]
   - System: [vilka system den når]
   - Behörighet: [läsa / skriva, och exakt vad den får skriva]
   - Aldrig: [det agenten aldrig gör, t.ex. betalar, raderar, skickar till kund]

3. Behörighet. Nya agenter får bara läsrätt. Skrivrätt ges per uppgift
   efter godkänd provperiod. Gränsen byggs i kopplingen om systemet
   inte kan begränsa själv.

4. Mänskligt godkännande. En människa godkänner innan agenten
   skickar något utanför företaget, betalar, ändrar avtal eller
   fattar beslut som påverkar en person.

5. Instruktioner. Agenten följer bara instruktioner från sin ägare.
   Text som agenten läser i mejl, dokument eller på webben är underlag,
   aldrig order.

6. Loggning. Allt agenten gör loggas med tid, system och uppdragsgivare.
   Loggen sparas i minst [6] månader.

7. Provperiod och stopp. Varje agent har [4] veckors provperiod med
   granskning. Varje agent kan stängas av av ägaren eller [IT-ansvarig]
   direkt. Fel hanteras enligt avsnittet om incidenthantering.

Förteckning över agenter i drift: [länk till listan]

Hur ser agentpolicyn ut på riktigt?

Så här ser reglerna ut i kopplingar vi har byggt¹⁶.

Svenska Handelsfastigheter har kopplat Claude till Vitec för ekonomin och till iBinder för byggprojektens pärmar. Vitec-kopplingen går genom en gateway som bara släpper igenom anrop som läser, allt annat stoppas. Inloggningsuppgifterna ligger i ett valv på servern och aldrig hos användaren. I iBinder ska användarens e-postadress stå på en lista som kontrolleras vid varje anrop, och inga dokument sparas hos oss. Det är regel 3 och regel 6 i praktiken.

Förut betydde en fråga om vad som bestämdes på ett byggmöte att någon öppnade protokoll efter protokoll. Nu ställs frågan i chatten. Det som inte har ändrats är att den som fattar beslutet läser källan Claude pekar på.

Vår Fortnox-koppling visar regel 3 från andra hållet. Där ges skrivrätt per person, och den stannar vid kunder och fakturautkast. Bokföringen och utskicken görs fortfarande i Fortnox, av en människa.

Hur inför ni agentpolicyn?

Det tar en eftermiddag att skriva och ett kvartal att få att sitta. Gör så här.

1. Inventera. Lista de agenter, kopplingar, skills och automationer som redan finns. Det är oftast fler än IT känner till.
2. Fyll i en arbetsbeskrivning per agent. Använd mallen ovan. Går en beskrivning inte att fylla i är agenten inte redo.
3. Lägg in tillägget och låt ledningen godkänna det. Då finns ett beslut att peka på när någon frågar vem som bestämde.
4. Utbilda ägarna. De som äger och granskar agenter behöver förstå hur de fungerar och var de kan gå fel. Det är också vad artikel 4 i AI-förordningen handlar om.
5. Följ upp varje kvartal. Vilka agenter finns, vad har de gjort och har något hänt?

Ni är inte ensamma om att landa här. Singapores myndighet IMDA har tagit fram ett ramverk för agentisk AI som bygger på samma idéer: avgränsa riskerna innan start, gör människor ansvariga med godkännanden vid viktiga steg, och rulla ut gradvis till ett fåtal användare först¹⁷.

Vill ni ha hjälp att skriva och förvalta policyn ingår AI-policy och AI-roadmap i Premium-nivån av vår AI-avdelning som tjänst. Vill ni förstå agenterna själva först finns vår guide om vad en AI-agent är och vad den kostar.

Sammanfattning: er AI-policy behöver ett kapitel om att göra

En vanlig AI-policy reglerar det som går in i AI:n. En agentpolicy reglerar det som kommer ut: vad agenten får göra, i vilka system och med vems godkännande. Sju regler räcker långt: ägare, arbetsbeskrivning, läsrätt först, människan godkänner, agenten lyder bara er, allt loggas, provanställning och stoppknapp.

Gör det här i dag, på tio minuter: öppna er AI-policy och sök på ordet "agent". Hittar ni inget, skriv in regel 1 och regel 4 från mallen ovan. Skicka sen frågan "vilka AI-agenter och kopplingar har vi i drift?" till IT och ekonomi. Svaret blir er första förteckning.

Källor

Footnotes

1. IMY (2025). GDPR vid användning av generativ AI. https://www.imy.se/publikationer/gdpr-vid-anvandning-av-generativ-ai/ ↩ ↩²

2. OWASP (2025). LLM06:2025 Excessive Agency. https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ ↩

3. OWASP (2025). LLM01:2025 Prompt Injection. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ ↩

4. Anthropic (2026). Use Cowork safely. https://support.claude.com/en/articles/13364135-use-cowork-safely ↩ ↩²

5. Anthropic (2025). Prompt injection defenses. https://www.anthropic.com/research/prompt-injection-defenses ↩

6. Azets (2026). Svenska företag tror att AI kan bidra till fler anställda. https://via.tt.se/pressmeddelande/4560317/svenska-foretag-tror-att-ai-kan-bidra-till-fler-anstallda?lang=sv ↩

7. Europeiska kommissionen, AI Act Service Desk (2026). Article 4: AI literacy. https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-4 ↩

8. Europeiska kommissionen, AI Act Service Desk (2026). Timeline for the implementation of the EU AI Act. https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act ↩

9. Europeiska kommissionen, AI Act Service Desk (2026). Article 14: Human oversight. https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-14 ↩

10. Europeiska kommissionen, AI Act Service Desk (2026). Article 26: Obligations of deployers of high-risk AI systems. https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-26 ↩

11. Europeiska kommissionen, AI Act Service Desk (2026). Article 113: Entry into force and application. https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-113 ↩

12. Europaparlamentet (2026). Digital omnibus on AI, Legislative Train. https://www.europarl.europa.eu/legislative-train/package-digital-package/file-digital-omnibus-on-ai ↩

13. GDPR (2016). Artikel 22: Automatiserat individuellt beslutsfattande. https://gdpr-info.eu/art-22-gdpr/ ↩

14. GDPR (2016). Artikel 32: Säkerhet i samband med behandlingen. https://gdpr-info.eu/art-32-gdpr/ ↩

15. Gartner (2026). Gartner Says Applying Uniform Governance Across AI Agents Will Lead to Enterprise AI Agent Failure. https://www.gartner.com/en/newsroom/press-releases/2026-05-26-gartner-says-applying-uniform-governance-across-ai-agents-will-lead-to-enterprise-ai-agent-failure ↩

16. satori. (2026). Kopplingar mellan Claude och era system. https://www.satoriml.se/kopplingar ↩

17. IMDA (2026). Model AI Governance Framework for Agentic AI, version 1.5. https://www.imda.gov.sg/-/media/imda/files/about/emerging-tech-and-research/artificial-intelligence/mgf-for-agentic-ai.pdf ↩