IMY sätter AI i offentlig sektor under lupp – känsliga data står i centrum

I IMY:s plan för vägledning och tillsyn, senast uppdaterad den 14 oktober 2026, är AI i offentlig sektor ett av tre prioriterade områden under 2026. Integritetsskyddsmyndigheten vill följa upp hur tekniken används och stödja offentliga verksamheter i att skydda personuppgifter. Myndigheten pekar särskilt på att invånare ofta har svårt att välja bort kontakten med offentlig sektor och att AI-system kan hantera känsliga personuppgifter.

Prioriteringen gäller vägledning och tillsyn som område; sidans uppdateringsdatum innebär inte att ett nytt, allmänt tillsynsärende öppnades den dagen. I en analys av prioriteringen beskriver juristen Robert Dahlström varför myndigheter, kommuner och regioner behöver ha kontroll över både uppgifterna som används och betydelsen av AI-systemens resultat för enskilda.

Varför offentlig AI-användning får särskild uppmärksamhet

En person som behöver vård, kommunal omsorg eller ett myndighetsbeslut kan sällan välja en annan aktör för att slippa en viss personuppgiftsbehandling. När AI förs in i sådana verksamheter blir valet av uppgifter, ändamål och skyddsåtgärder därför särskilt betydelsefullt. Den enskildes begränsade valmöjlighet gör det också viktigt att verksamheten kan förklara vad tekniken används till och vem som ansvarar för behandlingen.

Uppgifter som samlats in för att ge vård eller handlägga ett ärende får inte automatiskt användas för ett nytt ändamål i ett AI-system. Verksamheten behöver bedöma vad som faktiskt tillförs systemet, om uppgifterna är nödvändiga och vilket rättsligt stöd som finns för behandlingen. Om känsliga personuppgifter förekommer krävs dessutom en bedömning av de särskilda regler och skydd som gäller för dem.

Riskbilden beror också på vad systemet gör. Ett verktyg som hjälper personal att formulera allmän information har en annan betydelse för den enskilde än ett verktyg som sammanfattar ett patientsamtal eller påverkar underlaget i ett ärende. I det senare fallet behöver verksamheten kunna upptäcka fel innan ett resultat används vidare och veta hur felaktiga uppgifter rättas.

Ett öppnat ärende visar vad tillsynen kan omfatta

Det finns ett konkret tillsynsärende inom det prioriterade området. En genomgång av granskningen i primärvården beskriver hur IMY i maj 2026 inledde tillsyn av Region Gävleborgs AI-baserade transkribering. Frågorna omfattar tekniska och organisatoriska säkerhetsåtgärder, rutiner för att upptäcka och rätta transkriberingsfel samt hur oavsiktliga förändringar av modellen över tid undviks.

När ett vårdsamtal omvandlas till text behöver både ljudet och den framställda texten hanteras med hänsyn till innehållet. Ett fel kan dessutom få följder om texten används som underlag i vården. Det gör ansvarsfördelningen konkret: någon måste kunna kontrollera resultatet, hantera avvikelser och följa upp hur systemet fungerar när det används.

Regionärendet är en avgränsad granskning av en viss användning. Årets bredare prioritering pekar ut ett område för myndighetens arbete, men anger inte att varje myndighet, kommun eller region har ett öppnat tillsynsärende. För andra verksamheter är den relevanta frågan vilka personuppgifter deras egna AI-system behandlar och vilken betydelse resultaten kan få.

Kontrollerna bakom en integritetssäker användning

För en offentlig verksamhet behöver bedömningen göras för det faktiska arbetsmomentet, inte för AI som teknik i allmänhet. Kontrollerna nedan samlar de frågor som blir särskilt viktiga när systemet behandlar personuppgifter eller producerar ett resultat som personal använder i arbetet. Svaren kan skilja sig mellan ett internt skrivstöd och ett system som bearbetar uppgifter om en patient eller en person i ett myndighetsärende.

• Rättslig grund och ändamål. Verksamheten behöver ange varför personuppgifterna behandlas, vilket rättsligt stöd som gäller och om AI-användningen ryms inom ändamålet. Det behöver också vara klart vem som är personuppgiftsansvarig och vilken roll en leverantör har. Att uppgifterna redan finns i verksamheten räcker inte som skäl för att föra dem till ett nytt system.
• Känsliga uppgifter och sekretess. Bedömningen behöver omfatta uppgifter som matas in, uppgifter som systemet bearbetar och uppgifter som kan komma ut i resultatet. Verksamheten måste veta om särskilda regler för känsliga personuppgifter eller sekretess begränsar användningen. Även ett tillfälligt arbetsutkast kan innehålla information som kräver skydd.
• Säkerhet. Åtkomsten till uppgifterna behöver begränsas efter arbetsuppgift, och verksamheten behöver förstå var informationen behandlas och lagras. Skyddsåtgärderna bör utgå från uppgifternas känslighet och från följderna om de röjs, ändras eller blir felaktiga. Om en extern tjänst används behöver även leverantörens behandling ingå i bedömningen.
• Mänsklig kontroll. Det behöver framgå vem som granskar ett AI-genererat resultat innan det används i ett ärende eller förs vidare till andra system. Kontrollens omfattning beror på vad resultatet ska användas till. Den ansvariga personen måste ha möjlighet att upptäcka fel och göra en egen bedömning när resultatet kan påverka en enskild.
• Dokumentation och uppföljning. Beslut om ändamål, ansvar, risker och skyddsåtgärder behöver gå att följa i efterhand. Verksamheten behöver också veta vem som tar emot felrapporter och hur förändringar i verktyget bedöms. Det är särskilt relevant när en modell eller tjänst kan ändras efter att den tagits i bruk.

Prioriteringen gör dessa frågor aktuella även för verksamheter som ännu inte har kontaktats i ett tillsynsärende. För den enskilde märks skillnaden först när skyddet fungerar i den tjänst som personen faktiskt behöver använda: uppgifterna stannar inom sitt avsedda ändamål, och ett AI-genererat fel kan fångas upp innan det påverkar handläggningen eller vården.

Läs också:

• Europas kreatörer pressar EU om AI – upphovsrätt och ersättning står i centrum
• Ta bort appar från Google-kontot – åtkomst och lagrad data är olika saker
• Kontantmetoden eller faktureringsmetoden: tre miljoner sätter gränsen