Hvordan skriver og implementerer vi en institusjonell AI-policy?

Automatisk maskinoversettelse av denne engelske siden, ennå ikke korrekturlest av en morsmålstalare.

Utkastet har sirkulert siden våren, og hver operative setning sier «kan». Eller en leverandør vil ha en stedlig lisens signert før kvartalet er over, og ingen på møtet kan si hva institusjonen har avtalt om studentdata. Eller et detektorflagg har blitt en klage, og policyen som skulle avgjøre saken, viser seg å ikke si noe om hvilket bevis en påstand kan hvile på.

Det en komité kan forsvare, er smalere enn de fleste utkast prøver på, og publisering er den minste delen av arbeidet. Fire ting gjør et dokument til en fungerende regel: en navngitt øverste eier, en planlagt revisjon, en oversettelsesvei inn i emnene med noen som er ansvarlig for den, og en gradert vurderingsutforming som belønner atferden du ber om. Legg til en omfangssetning som sier hvilke forpliktelser dokumentet bærer og hvilke som hører til en annen policy, fordi ett dokument som sluker databeskyttelse, forskningsetikk, klinisk regulering og akademisk oppførsel, blir langt, ulest og uhåndhevbart.

Kortversjonen

1. Erklær hva dokumentet styrer. Hvis det er et risikostyringsinstrument, si det, og legg undervisningsdetaljene på instituttnivå.

2. Tell modalverbene. Hvert «kan» der du mener «skal», er en bestemmelse ingen kan håndheve.

3. Navngi en eier, et fast utvalg og en revisjonsdato før publisering, ikke etter den første klagen.

4. Skriv ned hvor FERPA, GDPR, HIPAA, IRB og forpliktelsene for forskningsintegritet ligger, og navngi kontoret som eier hver av dem.

5. Finansier ansattopplæring og studenttilgang i samme budsjettbeslutning. Én av dem alene gir en regel noen studenter ikke kan følge.

6. Spør hvor mange emner som påviselig oversetter policyen, og les svaret som en støttemåling snarere enn en samsvarsmåling.

Avgjør hva dokumentet styrer

Før ordlyden, omfanget. Manikonda og Outlaw (2026) høstet AI-policyer fra 149 R1- og R2-universiteter i USA og verifiserte 130 policyer på universitetsnivå i 34 delstater. Registeret er rådgivende snarere enn direktivt: 95 % av policyene hadde en negativ skår for klarhetsstyrke, så svakt språk («kan», «har mulighet til») dominerer over direktiver («skal», «forbudt»).

Hva disse dokumentene prioriterer, forteller deg hva forfatterne mente dokumentet var til for. Policyer på universitetsnivå dekker datasikkerhet, risikoreduksjon, anskaffelse og rettslig samsvar, med lite pedagogisk veiledning. De fakultetsvise policyene som finnes, konsentrerer seg om undervisning og AI-kompetanse. Bare åtte handelshøyskoler hadde sin egen policy, og de skilte seg fra vertsrammeverket i seks av åtte tilfeller.

Tiltaket forfatterne foreslår, er en lagdelt struktur: et risikostyringslag for hele universitetet, policyer på instituttnivå, og tverrfaglige komiteer med faglig ansatte og studenter. Vedta det, og du får en omfangssetning du kan forsvare i senatet. Dette dokumentet styrer institusjonell risiko; undervisningsbeslutningene ligger hos instituttet som setter karakter på arbeidet. Lagdeling svarer også på anklagen om vaghet uten å produsere 40 sider.

Skriv bestemmelser som binder, eller ta dem ut

Se på hva programmene publiserer når ingenting tvinger fram spørsmålet. Eldredge et al. (2026) skannet alle 48 CAHIIM-akkrediterte masterprogrammer i helseinformatikk og helseinformasjonsledelse i USA. Førti (83 %) publiserte minst ett AI-relatert dokument. Av det analytiske utvalget var 21 dokumenter (53 %) retningslinjer, 9 (23 %) informasjonsmateriale, og bare 7 (18 %) formelle policyer.

Emnene var smalere enn volumet antyder. Akademisk integritet var nøkkelordet som forekom oftest (n = 139), foran sitering (59), vurdering (50) og plagiering (38). Åpenhet om AI og kontraktsjuks forekom hver én gang. HIPAA forekom fem ganger, FERPA elleve, og elektroniske pasientjournaler ikke i det hele tatt. Rettferdighetsvokabularet var nærmest fraværende: inkludering (n = 9), tilgjengelighet (n = 9), likeverdig tilgang (n = 2).

Det er oppmerksomhet uten en bindende forpliktelse bak, og det er den billigste feilen å rette. Tell modalverbene dine og skriv en konsekvens der du mener en. Definer plagiering og forbudt bruk med ord en førsteklassestudent kan anvende. Skår så resultatet mot instrumentet Gutowski og Hurley (2025) bygde: fem dimensjoner med eksplisitte rubrikker, som dekker grad av forbud, grad av tillatelse, pedagogisk integrasjon, åpenhet og ansvarlighet, og dybde. De fleste institusjonene i deres sektor inntok generelt forbydende posisjoner mens de beholdt skjønn hos den enkelte underviser. Ingen enkelt tilnærming ble akseptert, og klarhet i seg selv ble behandlet som forutsetningen for forsvarlig håndheving. Anbefalingene deres er prosessuelle: omfattende retningslinjer uansett standpunkt, interessenter involvert i utformingen, proaktiv opplæring, styring utformet for å kunne tilpasse seg, og revisjonssykluser.

Avgjør hvem som eier det, og hvem som sitter i komiteen

To gjennomganger legger svakheten i kapasitet snarere enn vilje. Ashiq (2026) syntetiserte mer enn sytti britiske kilder og fant at bare et mindretall av institusjonene opprettholder offisielle styringsplaner for AI. Hull i strategisk planlegging gir policydrift og performativt samsvar. Nasjonal veiledning fra Office for Students og Jisc er blitt kritisert for å mangle spesifisitet og håndhevingskraft. Ansattes AI-opplæring og infrastrukturinvesteringer konsentreres i forskningstunge institusjoner, mens undervisningsledede institusjoner møter kapasitetsbegrensninger, noe som utvider et digitalt skille. Baroudi (2026) gjennomgikk 19 kilder og fant at 7 % av institusjonene hadde opprettet seniorlederroller for AI, mot 49 % som behandlet AI som en strategisk prioritet. Svake policerammeverk og begrenset digital infrastruktur driver det gapet, særlig i det globale sør.

Eierskap, ressurser og revisjon er der innsatsen må ligge, så avgjør leder og medlemmer før utformingen starter. Crompton et al. (2026) samlet et Delphi-panel fra 22 land og steder på seks kontinenter og produserte et konsensusrammeverk med åtte kjerneområder: akademisk integritet, etisk og ansvarlig bruk, personvern og beskyttelse, likeverdig tilgang, GenAI-kompetanse, integrasjonsstrategi, menneskelig overoppsyn og ansvarlighet, og institusjonell støtte og infrastruktur. Panelet produserte også en mekanisme i seks deler for å holde policyen oppdatert: en tverrfaglig styringskomité (støttet av mer enn halvparten av panelet), planlagte revisjonssykluser (halvparten), profesjonell utvikling, kommunikasjon med alle interessenter, evaluering av effektivitet, og overvåking av eksterne utviklingstrekk.

Les rammeverket som en dekningssjekkliste og mekanismen som en driftsmodell. Panelets egen vekting er advarselen. Etisk og ansvarlig bruk ble referert av to tredjedeler av panelet og personvern av over halvparten, mens likeverdig tilgang bare trakk en tredjedel. En konsensusprosess undervekter rettferdighet først, og komiteen din vil drive samme vei med mindre noen holder den posten.

To medlemsbeslutninger er verdt å ta med vilje. Hingle og Johri (2026) lot studenter være med å utforme en GenAI-emnepolicy gjennom veiledet undersøkelse. Prioriteringene som kom fram, var opplæring for studenter og undervisere, standardiserte åpenhetsprosedyrer, sterkere institusjonell støtte snarere enn avhengighet av den enkelte underviser, og en rolle i beslutninger om reglene som styrer deres egen læring. Det taler for studentmedlemskap snarere enn en høringsrunde. Baroudi fant at bemyndiggjørende og distribuerende ledelsesstiler var assosiert med høyere faglig engasjement og åpenhet for endring, og dokumenterte endringsledelse-maskineri (Valentes smittemodell, Rieber og Willivers femtrinnsrammeverk) som støtten for adopsjon.

Tan et al. (2026) tilbyr et organisatorisk rammeverk med seks dimensjoner, hvis påstander forfatterne eksplisitt overlater til framtidig empirisk validering. Bruk det til å strukturere hva dokumentet dekker, og hold det unna setningen der du hevder at noe virker.

Legg de rettslige forpliktelsene der de kan håndheves

Samsvar med grunnleggende lov er ikke etisk datastyring. Varadaraju og Vijayakumar (2026) argumenterer for at styring av læringsanalyse i høyere utdanning har holdt seg samsvarsførst, sentrert om å oppfylle FERPA og GDPR, og foreslår LEAGUE-rammeverket: Lawfulness, Equity, Agency, Governance, Utility og Ethics by Design, demonstrert mot en case-studie av tidlig varsling. Delphi-panelet rangerte uavhengig personvern og databeskyttelse som kritisk for over halvparten av medlemmene. OECD Digital Education Outlook (2026) gjør et muliggjørende miljø for pålitelig GenAI til sin tredje politiske søyle, med personvern, sikkerhet, skjevhetstesting og åpenhet.

Helseinformatikkkorpuset viser hvordan omfangsdisiplin ser ut når den virker. De programmene nevnte så vidt HIPAA, FERPA eller IRB-veiledning og nevnte aldri elektroniske pasientjournaler, fordi de forpliktelsene ligger i bredere samsvarspolicy som allerede har en eier, en prosedyre og en sanksjon. Navngi hvor hver forpliktelse ligger, navngi kontoret som holder den, og krev at studentene oppfyller den i emnearbeidet snarere enn i en fotnote.

Det avsnittet avgjør også et anskaffelsesspørsmål. Hvis skjevhetstesting og åpenhet er vilkår i søylen snarere enn ambisjoner, hører de hjemme i kjøpsvilkårene, og policyen er stedet å si det.

Lukk gapet mellom policyen og emnene

Dette er beslutningen de fleste policyer feiler på, og den er målbar fra begge ender.

Fakultetsundersøkelsen først. AAC&U/Elon-undersøkelsen av 1 057 amerikanske faglig ansatte (Watson og Rainie, 2026) fant at 87 % hadde laget sine egne policyer for studenter om bruk av generativ AI, mens 48 % sa at institusjonen deres hadde skrevne retningslinjer og 35 % sa at instituttet hadde det. Om strukturer rapporterte 55 % en arbeidsgruppe eller et overoppsynsorgan, 37 % nye AI-fokuserte emner, 17 % en AI-hoved- eller -støttefagretning, 16 % nye akademiske lederkontorer, og 13 % hadde adoptert AI-kompetanse som læringsutbytte i allmenndannelsen. Utvalget er ikke vitenskapelig og forfatterne sier det ikke er generaliserbart. Asymmetrien står likevel: reglene studentene faktisk møter, er skrevet av underviseren foran dem.

Så oversettelsestallet. Ganguly et al. (2026) analyserte 116 institusjonelle GenAI-policyer fra 131 R1-universiteter sammen med 98 emneplaner i informatikk fra 54 av de institusjonene. Institusjonene oppmuntret stort sett til GenAI-bruk (73, 63 %) mens 31 (27 %) frarådet det. På emnenivå ga 90 emneplaner (92 %) eksplisitte retningslinjer, men 49 (50 %) forbød GenAI helt, 40 (41 %) tillot delvis bruk for angitte aktiviteter, og 7 (7 %) formidlet oppmuntring. Bare 47 av de 131 institusjonene hadde både en institusjonell policy og en påviselig oversettelse på emnenivå.

Still komiteen det spørsmålet i de termene: hvor mange av emnene våre oversetter påviselig dette dokumentet? Et lavt tall er en støttesvikt, og botemiddelet er gjennomarbeidede eksempler, faglig utvikling og vurderingsstøtte publisert sammen med regelen. Det støtteøkosystemet er hvordan Qian (2026) skiller institusjoner fra hverandre, og det er forskjellen mellom en policy studentene mottar og en policy underviseren deres improviserer rundt.

Coates, Croucher og Calderon (2025) leverer instrumentet for ansvarlighetsenden: et indikatorrammeverk for akademisk integritet bygget for institusjonelle styrer gjennom forskningsgjennomganger, flerinstitusjonelle case-studier, prototyping og ekspertbekreftelse, sammen med reformer av styringsarkitekturer, mennesker og teknologier. Indikatorer lar en komité rapportere oppover uten å bestille nok en litteraturgjennomgang.

Skriv bevisstandarden før du trenger den

Der håndheving feiler, er feilen vanligvis bevismessig, og det er der institusjonell eksponering ligger.

Munoz et al. (2026) analyserte faktiske saksmapper om påstander om generative AI-krenkelser. Bevisgrunnlaget var tynnere enn policyen antyder. Atferdsspor registrert av systemet finnes bare i overvåket vurdering. Svakere prosessbevis, altså utkast, veiledningsmøter og presentasjoner, finnes bare der praksisen allerede var rutine. Naturlig rettferdighet krever at studenten får vite om påstanden og får anledning til å svare før noen avgjørelse, vanligvis i et etterforskningsmøte eller panelintervju, med det de sier innført i bevisregisteret.

Detektorutdata kan ikke bære den lasten. Hadra et al. (2026) målte nøyaktighet på 0,69 og 0,61 for to mye brukte kommersielle verktøy, begge feilet på hybrid tekst skrevet av menneske og AI, og begge bar en grensetilfelle-risiko for feilklassifisering av EFL-studenters skriving. Bassett et al. viser at ingen terskel løser avveiningen mellom å flagge ærlig arbeid og å overse skjult bruk. En avgjørelse som hviler på en skår ingen kan avhøre, er saken som genererer klagen, den formelle innsigelsen og iblant søksmålet.

Tre setninger hører hjemme i dokumentet selv: hvilket bevis en avgjørelse kan hvile på, at en detektorscår alene ikke er det beviset, og hvem som avgjør når en sak går videre. Legg prosedyren ved siden av forpliktelsene som er samlet i rettslige spørsmål og risikoer.

Si hva du vil måle før du publiserer

Ingen studie i dette korpuset måler hvorvidt en institusjons AI-policy endret studentatferd, ansattes praksis eller læringsutbytte. Det som finnes, er beskrivende. Manikonda og Outlaw finner at policyspråket er svakt og feiljustert. Ashiq dokumenterer drift. Baroudi navngir fraværet av longitudinelle og kausale bevis som et gap. Eldredge et al. advarer om at analyse av offentlige dokumenter skaper en synlighetsskjevhet, så manglende personvern- eller rettferdighetsspråk er et funn om publisert veiledning snarere enn om praksis.

To vaner følger. Fest en evalueringsplan til policyen: hva du vil måle, når, og hvem som eier funnet. Og når en kollega viser til en annen institusjons policy som bevis for at et tiltak virker, sjekk om påstanden gjelder et dokument eller et utfall. Tran, Liu og Nguyen (2026) gjennomgikk 65 fagfellevurderte artikler om AI og sosioemosjonell læring og fant at nesten tre fjerdedeler ikke nevnte policyimplikasjoner i det hele tatt. Av mindretallet som gjorde det, manglet de fleste den aktørspesifikke detaljen reell politikkutforming trenger: hvem som bør handle, på hva, hvorfor, når og hvordan.

Hva institusjoner gjør galt med dette

Publisering er målstreken. Landskapet Manikonda og Outlaw kartla, er bredt og grunt, rådgivende i tonen, og tynt på problemene som avgjør om AI-bruk går bra. Et dokument uten eier og uten revisjonsdato er en pressemelding med et policynummer.

Vag ordlyd er den trygge ordlyden. Den er tryggere for den som signerer, og det svakeste å forsvare i en klage. Gutowski og Hurley behandler klarhet som forutsetningen for forsvarlig håndheving, og 95 % av policyene i R1-registeret skårer negativt på klarhet.

Akademisk integritet er den vanskelige delen, så dekk den og resten kan vente. Integritet er den enkleste bestemmelsen å skrive, og det er derfor den dominerer nøkkelordtellingene mens rettferdighetsvokabular, tilgang og dataforpliktelser ligger nær fraværende. Bestemmelsene en integritetskodeks ikke kan nå, omfatter anskaffelse, åpenhetsprosedyre, tilgjengelighet, ansattopplæring og de vurderingsbetingelsene som gjør integritet oppnåelig.

Ett dokument kan holde hver forpliktelse. Det kan holde dem og håndheve ingen av dem. HIPAA forekom fem ganger på tvers av AI-dokumentene til 48 programmer, og elektroniske pasientjournaler aldri, fordi de forpliktelsene allerede tilhører samsvarspolicyen.

Faglig ansatte vil følge den når den er publisert. 87 % av de faglig ansatte hadde skrevet sine egne regler før institusjonen deres publiserte en. Mottiltaket er profesjonell utvikling, gjennomarbeidede eksempler og distribuerende ledelse. En påminnelses-e-post flytter ingenting.

Studenter ignorerer policy, så klarhet er bortkastet på dem. Braun og Khafizov (2026) undersøkte 1 809 studenter, 250 faglig ansatte og 62 administrativt ansatte ved ett lærerutdanningsuniversitet. Studentene rapporterte høyere AI-bruksintensitet og nytte, mens faglig og administrativt ansatte rapporterte sterkere integritetsbekymringer, og studentene rapporterte høyere opplevd policyklarhet enn de faglig ansatte gjorde. Det som flytter dem, er hvorvidt verktøyet er nyttig nok til at det er verdt å følge en regel om det.

Hva som kommer tilbake på deg

«Vi har allerede en policy for akademisk integritet.» Den er nødvendig og ikke tilstrekkelig. Det belegget støtter, er arbeidsdeling: atferdsregler blir der integritetsprosessen kan håndheve dem, og AI-policyen bærer anskaffelse og datasikkerhet, åpenhetsprosedyre, tilgjengelighet og tilgang, ansattopplæring, og de vurderingsbetingelsene som gjør integritet oppnåelig. Delphi-panelets krav om at betydelige GenAI-resultater skal gjennomgås av et menneske, og dets preferanse for prosessfokusert og muntlig vurdering, har ingen plass i en integritetskodeks.

«Faglig ansatte vil ignorere den.» Noen vil det, og grunnen er sjelden vilje. Ashiqs belegg er kapasitet. Baroudis er struktur: 7 % av institusjonene hadde opprettet seniorlederroller for AI, mot 49 % som behandlet AI som en strategisk prioritet. Ganguly et al. sitt er oversettelse: 47 av 131 institusjoner hadde både en policy og en påviselig implementering på emnenivå. Faglig ansatte blir overlatt alene med dokumentet.

«Vi kan ikke overvåke det, så policyen er dekorasjon.» Du kan ikke overvåke det, og belegget sier du ikke trenger det. Ogbo et al. (2026) modellerer studenters AI-bruk som et koordinasjonsproblem der kullnormer styrer atferden, med terskeleffekter. Reflekterende vurdering må belønnes over et kritisk nivå før ansvarlig bruk fortrenger opportunistisk praksis, belønningen må stå i forhold til innsatsen refleksjonen krever, og jevnaldrenes følsomhet bestemmer hvor raskt en norm kaskaderer. Studenter responderer på vurderingsstrukturer snarere enn på erklæringer. På Braun og Khafizovs tverrsnittsdata fra selvrapportering er opplevd nytte den sterkeste standardiserte assosiasjonen med tillit (β = 0,402) mot institusjonell policyklarhet (β = 0,223). OECD tilføyer at allmennchatboter forbedrer kvaliteten på resultatet, at fordelen forsvinner og iblant snur i eksamener når AI-tilgangen fjernes, og at metakognitivt engasjement faller når arbeid avlastes. Legg kravet i den graderte vurderingen.

«Studenter vil ikke lese den.» De responderer på den likevel, og responsen formes av hva underviseren sier i uke én. En policy bare en komité har lest, har én leser.

«Vi kan ikke finansiere støtten rammeverket ber om.» Kutt da rammeverket ned til det du kan finansiere, og si det i dokumentet. Panelet plasserte institusjonell støtte og infrastruktur som den grunnleggende muliggjøreren, og Adarkwah et al. (2026) analyserte 159 dokumenter fra 30 høyt rangerte universiteter i de ti landene som står best på IMFs AI Preparedness Index, hvorav fire ble utelukket fordi de manglet offentlig tilgjengelige policyer, slik at 26 gjenstod, og fant at mange bestemmelser er deklarative snarere enn operativt sikret. Et påbud om å bruke AI uten enheter, tilkobling, tilrettelegging eller opplæring er en forpliktelse institusjonen har pålagt seg og ikke kan støtte.

Hva du kan gjøre denne uken

1. Søk i utkastet etter tillatende modalverb («kan», «har mulighet til»), skriv om hver forekomst der du mener «skal» eller «forbudt», og definer plagiering og forbudt bruk med ord en førsteklassestudent kan anvende.

2. Navngi én øverste eier, ett fast utvalg med faglig ansatte og studentmedlemmer, og én revisjonsdato. Gi overvåkingen av eksterne utviklingstrekk til en navngitt rolle.

3. Avgjør lagdelingen: hvilke bestemmelser er universitetsomfattende, hvilke skriver instituttet, og hvilke forpliktelser tilhører FERPA, GDPR, HIPAA, IRB og policyen for forskningsintegritet.

4. Skriv bevisstandarden og detektorsetningen, og les så din egen klageprosedyre mot dem.

5. Be om oversettelsestallet, og koble enhver ny begrensning til et gjennomarbeidet eksempel og en opplæringsdato.

Hvor du kan gå videre

Emnepolicy for AI er motstykket i klasserommet, der dokumentet blir et oppgaveskriv og en uttalt setning. Forskningsgrunnlaget ligger i forskning på institusjonell styring, det globale Delphi-rammeverket og policyrevisjoner på programnivå. Administrator og endringsledelse dekker ledelses- og implementeringsdimensjonene, utdanningspolitikk og AI samler litteraturen for hele sektoren, og styring dekker hvordan myndighet og ansvarlighet fordeles. På håndhevingssiden bærer rettslige spørsmål og risikoer forpliktelsene en detektoravgjørelse må oppfylle.