ETIK & JURIDIK

ROLLSPECIFIKT EXEMPEL

Exempel: vad juridiken kräver av ett beslutsunderlag

När en chef jämför tre handlingsalternativ inför ett ledningsmöte är huvudfrågan inte om AI kan skriva texten, utan vilka uppgifter, beslut och ansvar som får hanteras. Dokumentera dataklass, vem som granskar och vilket underlag som måste verifieras.

ANPASSA EFTER LOKALA REGLER OCH DATASKYDD

NULÄGE

EU AI Act — vad gäller och när?

EU AI Act trädde i kraft i augusti 2024 och tillämpas stegvis. Förbudsreglerna mot de mest riskfyllda AI-systemen och kravet på AI-kompetens gäller sedan den 2 februari 2025 — dessa är bindande i dag. Enligt förordningens ursprungliga tidslinje skulle flera ytterligare regler börja tillämpas den 2 augusti 2026, men den 29 juni 2026 beslutade EU formellt om AI Omnibus-paketet. Därmed gäller kraven på fristående högrisksystem, bland annat inom anställning, från den 2 december 2027 och på produktinbyggda högrisksystem från den 2 augusti 2028. Kommissionens riktlinjer om högrisksystem är däremot fortfarande vägledning, inte bindande lagtext. Kontrollera EUR-Lex och EU-kommissionens genomförandesidor för aktuell lydelse. Organisationer bör kartlägga sin AI-användning nu och kontrollera tidslinjen före inköp eller driftsättning.

Förordningen omfattar leverantörer, tillhandahållare och andra aktörer enligt särskilda territoriella villkor — inte bokstavligen varje privat användning. En organisation som driftsätter ett högrisksystem i sin verksamhet kan få särskilda skyldigheter som deployer.

Dela gärna vår anpassade guide med dina medarbetare: EU AI Act på jobbet — vad du behöver veta som anställd.

EU AI ACT GÄLLER ANVÄNDARE — INTE BARA UTVECKLARE
KONTROLLERA VILKA SYSTEM NI ANVÄNDER

HÖGRISK

Vilka AI-system klassas som högrisk?

EU AI Act listar kategorier av system som klassificeras som högrisk och därmed kräver mer noggrann hantering. För de flesta organisationer är dessa mest relevanta:

• AI i rekrytering och HR-beslut. System som används för att sortera, ranka eller bedöma jobbsökande, eller som påverkar anställnings-, befordrings- eller uppsägningsbeslut.
• AI i kreditbedömning. System som bedömer kreditvärdighet eller räntenivå för enskilda låntagare.
• AI i utbildning och examination. System som bedömer elever, styr tillgång till utbildning eller påverkar utbildningskarriärer.
• AI i säkerhetskritiska system. Säkerhetskomponenter i viss kritisk infrastruktur och AI-baserade säkerhetskomponenter i reglerade produkter kan klassas som högrisk när förordningens villkor är uppfyllda.

Generativa AI-verktyg som Claude och ChatGPT klassas i regel inte som högrisk i sig — men om du bygger ett beslutssystem ovanpå dem kan klassningen ändras. Ta juridisk rådgivning om du är osäker.

HÖGRISKSYSTEM MEDFÖR ROLLSPECIFIKA KRAV
KONTROLLERA KLASSNING, DOKUMENTATION OCH REGISTRERING

JURIDIK

SKYLDIGHETER

Vad krävs av dig som använder ett högrisksystem?

Som användare (i lagens mening: den som driftsätter ett AI-system i en verksamhet) av ett högrisksystem har du skyldigheter:

• Tekniska och organisatoriska åtgärder. Du ska säkerställa att systemet används enligt leverantörens anvisningar och att du har rutiner för tillsyn.
• Mänsklig tillsyn. Personal som utövar tillsyn ska kunna förstå systemets begränsningar, upptäcka avvikelser och vid behov bortse från, åsidosätta eller stoppa resultatet. AI-förordningens krav på mänsklig tillsyn är inte ett generellt förbud mot alla automatiserade beslut.
• Loggning och dokumentation. Bevara automatiskt genererade loggar som organisationen har kontroll över enligt den lagringstid som gäller, och dokumentera hur systemet har använts och på vilket underlag beslut fattades.
• Transparens mot individer. Informations-, förklarings- och granskningsrättigheter beror på systemet, beslutets effekt och vilken regel som är tillämplig, bland annat AI-förordningen och GDPR. Dokumentera bedömningen i sitt sammanhang.

MÄNSKLIG TILLSYN ÄR KÄRNAN I EU AI ACT
DOKUMENTERA HUR OCH NÄR AI ANVÄNDS I BESLUT

KRAV

GDPR-KOPPLING

AI och GDPR — den dubbla ramen

EU AI Act och GDPR kompletterar varandra — och en organisation som hanterar personuppgifter i AI-system berörs av båda.

De viktigaste GDPR-skyldigheterna när AI är inblandat:

• Rättslig grund krävs. Behandling av personuppgifter i ett AI-system kräver rättslig grund precis som all annan behandling. Vilken grund som kan användas beror på ändamål och arbetsrättslig kontext; samtycke är ofta olämpligt i anställningsförhållanden.
• Rätt att inte bli föremål för helautomatiserade beslut. Artikel 22 i GDPR begränsar beslut som enbart grundas på automatiserad behandling och har rättsliga följder eller på liknande sätt påverkar individen betydligt. Regeln har villkor och undantag som måste prövas; ett symboliskt mänskligt godkännande räcker inte som verklig tillsyn.
• Personuppgiftsbiträdesavtal. Om leverantören är personuppgiftsbiträde krävs ett biträdesavtal. Fastställ först rollerna. Avtalet ersätter inte rättslig grund, nödvändighet, information, dataminimering, säkerhet eller övriga krav.
• Konsekvensbedömning (DPIA). En konsekvensbedömning krävs när behandlingen sannolikt leder till hög risk för människors rättigheter och friheter. Ny teknik, känsliga uppgifter, omfattning och systematisk övervakning är relevanta faktorer.

PERSONUPPGIFTER I AI = GDPR-SKYLDIGHETER
DATASKYDDSOMBUDET ÄR DIN FÖRSTA KONTAKT

GDPR

ETIK

Utöver juridiken — etiska överväganden

Lagstiftningen sätter minimikraven. Men som chef och ledare bär du också ett etiskt ansvar som sträcker sig längre än vad lagen kräver.

• Bias och diskriminering. AI kan reproducera och förstärka systematiska orättvisor. Granskning av AI-stödda beslut med diskrimineringsperspektiv är god praxis — oavsett om lagen kräver det.
• Transparens mot medarbetare. Om AI används för att analysera medarbetarprestationer, kommunikation eller närvaro — ha en öppen dialog om det. Dolda system urholkar förtroende.
• Miljöpåverkan. Träning och körning av stora AI-modeller är energikrävande. Det är ett legitimt hållbarhetsperspektiv att väga in i val av verktyg och användningsfrekvens.
• Beroende och deskilling. Om ett team slutar tänka för att AI alltid svarar riskerar man att tappa förmågan att lösa problem när AI inte finns tillgängligt. Medveten balans är en ledarskapsfråga.

JURIDIK SÄTTER GOLVET
ETIK BESTÄMMER TAKET

ETIK

PRAKTIK

Vad du bör göra nu

1. Inventera era AI-system. Vilka system används i verksamheten — köpta, inbyggda i befintliga verktyg, eller byggda internt? Lista dem och bedöm om något kan klassas som högrisk.
2. Kontakta IT och dataskyddsombudet. Finns personuppgiftsbiträdesavtal för alla verktyg som hanterar personuppgifter? Har EU AI Act-relevansen bedömts?
3. Säkerställ mänsklig tillsyn i kritiska processer. Identifiera var AI bidrar till beslut om individer och säkerställ att det alltid finns en människa som granskar och godkänner.
4. Dokumentera. Bygg in rutiner för att dokumentera när och hur AI används i processer med konsekvenser för individer.
5. Håll dig uppdaterad. EU AI Act genomförs stegvis och tolkas kontinuerligt. Bevaka utvecklingen — eller utse någon i organisationen att göra det.

INVENTERING → BEDÖMNING → DOKUMENTATION → TILLSYN

ÅTGÄRDER

KÄLLOR OCH FÖRDJUPNING

Primärkällor för regler som påverkar AI för chefer och ledare

• EUR-Lex — bindande lydelse av förordning (EU) 2024/1689 ↗ (öppnas i ny flik)
• EU-kommissionen — AI Act (transparenskrav, högrisksystem, krav på användare) ↗ (öppnas i ny flik)
• EU-kommissionen — utkast till riktlinjer om högrisksystem; vägledning, inte bindande lagtext ↗ (öppnas i ny flik)
• Europeiska unionens råd — slutligt godkännande av AI Omnibus, 29 juni 2026 ↗ (öppnas i ny flik)
• Integritetsskyddsmyndigheten (IMY) — GDPR vid användning av generativ AI ↗ (öppnas i ny flik) (pdf)
• Riksdagen — lag (1976:580) om medbestämmande i arbetslivet, bland annat 11–13 §§ ↗ (öppnas i ny flik)
• Arbetsmiljöverket — användning av artificiell intelligens, riskbedömning och delaktighet ↗ (öppnas i ny flik)

VANLIGA FRÅGOR

Etik och juridik

Vilken medarbetardata får jag mata in i AI?

Använd i första hand fiktiva eller verkligt anonymiserade uppgifter. Ett biträdesavtal räcker inte: behandling av medarbetardata kräver bland annat tydligt ändamål, rättslig grund, nödvändighet, dataminimering, behörighetsstyrning och säkerhet. Känsliga uppgifter har ytterligare krav, och en konsekvensbedömning kan behövas vid hög risk.

Får jag använda AI för att fatta beslut om personal?

Nej, inte som ensam grund. AI kan strukturera underlag och visa alternativ, men beslut om anställning, lön, varning eller uppsägning ska alltid vila på din egen dokumenterade bedömning.

Hur informerar jag teamet om att jag använder AI?

Var öppen med vilka verktyg du använder, till vad och vilken data som matats in. Det bygger förtroende och hjälper teamet följa samma principer.