Kommuner, regioner och myndigheter följer samma förordning som företagen, med några skyldigheter som är skrivna särskilt för offentliga organ.
AI-förordningen gäller kommunen när den använder AI i sin verksamhet, och kommunen är då tillhandahållare. Förbuden och kravet på AI-kunnighet gäller redan. Från den 2 december 2027 ska en kommun eller myndighet som använder ett system med hög risk i bilaga III följa artikel 26, göra en konsekvensbedömning avseende grundläggande rättigheter och registrera användningen i EU:s databas.
Sidan samlar det som är särskilt för offentliga organ, läst i förordningen (EU) 2024/1689 och ändringsförordningen (EU) 2026/1744. Den är ingen juridisk rådgivning. Risknivåerna, rollerna och hela tidsplanen står på sidan om AI-förordningen.
Förbuden och kunnigheten gäller redan, och högriskkraven har ett datum.
Det avgörs av vad systemet är avsett att användas till. Flera av områdena i bilaga III ligger mitt i kommunens, regionens och myndighetens uppdrag.
System som ska användas av offentliga myndigheter eller för deras räkning för att utvärdera rätten till förmåner och tjänster i form av offentligt stöd, och för att bevilja, minska, upphäva eller återkalla dem.
System för rekrytering och urval, till exempel för att filtrera ansökningar och utvärdera kandidater, och system som fattar beslut om villkor, befordran eller uppsägning.
System för antagning, för att utvärdera läranderesultat, för att bedöma vilken utbildningsnivå en person ska få och för att upptäcka förbjudet beteende under prov.
System som utvärderar och klassificerar nödsamtal eller prioriterar utsändning av larmtjänster, inbegripet polis, brandkår och ambulans, och patientsortering i akutsjukvården.
Ordagrant räknar bilaga III punkt 5 a upp AI-system som är avsedda att användas av offentliga myndigheter eller för offentliga myndigheters räkning för att utvärdera fysiska personers rätt till väsentliga förmåner och tjänster i form av offentligt stöd, inbegripet hälso- och sjukvårdstjänster, samt för att bevilja, minska, upphäva eller återkalla sådana förmåner och tjänster.
Klassificeringen i artikel 6 börjar tillämpas för bilaga III den 2 december 2027, enligt ändringsförordningen (EU) 2026/1744. Samma datum börjar undantaget tillämpas för system som bara gör en snäv processuell eller förberedande uppgift, och undantaget står förklarat på sidan om AI i ärendehanteringen.
Att föreslå registrering av en inkommen handling eller bevaka en frist finns inte bland områdena i bilaga III. Var gränsen går bedöms för varje användning, och den bedömningen gör kommunen.
Artikel 26 lägger skyldigheter på tillhandahållaren, alltså kommunen eller myndigheten. För system i bilaga III börjar den tillämpas den 2 december 2027.
Tekniska och organisatoriska åtgärder så att systemet används så som leverantörens bruksanvisning anger.
Fysiska personer med nödvändig kompetens, utbildning och auktoritet, och med det stöd de behöver, ska ha uppgiften att utöva kontrollen.
Driften ska övervakas. Kan systemet utgöra en risk ska leverantören och marknadskontrollmyndigheten informeras och användningen tillfälligt avbrytas.
Loggar som systemet skapar och som kommunen har kontroll över ska sparas i minst sex månader, om inte annan unionsrätt eller nationell rätt säger något annat.
Innan ett system med hög risk används på en arbetsplats ska arbetsgivaren informera arbetstagarrepresentanterna och de anställda som berörs.
Fattar systemet beslut, eller hjälper till att fatta beslut, som rör fysiska personer ska de personerna få veta att systemet används.
Enligt 26.4 ska den som har kontroll över indata se till att de är relevanta och tillräckligt representativa för systemets ändamål. För en kommun är det oftast uppgifterna i ärendet.
Artikel 26.8 är skriven för offentliga myndigheter och för unionens institutioner, organ och byråer. Från den 2 december 2027 ska de fullgöra registreringen enligt artikel 49. Finner myndigheten att systemet den tänker använda inte är registrerat i EU:s databas får den inte använda det, och ska informera leverantören eller distributören. Det är en fråga att ställa redan i upphandlingen, och kravmallen för att upphandla AI tar upp vad kommunen kan kräva av leverantören.
Före första användningen av ett system med hög risk ska ett offentligrättsligt organ bedöma hur användningen kan påverka människors rättigheter.
Artikel 27.1 gäller tillhandahållare som är offentligrättsliga organ eller privata enheter som tillhandahåller offentliga tjänster, och system med hög risk enligt bilaga III. Kritisk infrastruktur i punkt 2 är undantagen. Skälen till förordningen ger exempel på offentliga tjänster som privata aktörer kan utföra: utbildning, hälso- och sjukvård, sociala tjänster, bostäder och rättsskipning. Det kan alltså också gälla ett kommunalt bostadsbolag eller en privat utförare på kommunens uppdrag.
Skyldigheten gäller den första användningen, och i liknande fall får tidigare bedömningar användas (27.2). När bedömningen är gjord ska resultatet anmälas till marknadskontrollmyndigheten med den mall som AI-byrån tar fram (27.3).
Ändringsförordningen gav artikel 27.4 en ny lydelse. När artikeln börjar tillämpas får bedömningen hänvisa till de relevanta delarna av en konsekvensbedömning avseende dataskydd, eller ta in dem. Hur en sådan bedömning görs enligt dataskyddsförordningen står på sidan om GDPR och AI.
Artikel 27 ligger i kapitel III avsnitt 3 och börjar därför tillämpas för system i bilaga III den 2 december 2027.
Leverantören registrerar systemet. En offentlig myndighet registrerar dessutom sin egen användning.
Enligt artikel 49.3 ska tillhandahållare som är offentliga myndigheter, eller personer som agerar på deras vägnar, registrera sig, välja systemet och registrera dess användning i EU-databasen innan ett system med hög risk i bilaga III tas i bruk eller används. Artikel 49 har gällt sedan 2 augusti 2026. Vilka system som är högrisk enligt bilaga III avgörs dock av artikel 6.2, som börjar tillämpas den 2 december 2027, och i praktiken gäller registreringen därför från det datumet. Kritisk infrastruktur i punkt 2 är undantagen och registreras på nationell nivå (49.5).
För brottsbekämpning, migration, asyl och gränskontroll görs registreringen i en säker del av databasen som inte är offentlig (49.4). För en kommun gäller i regel den vanliga registreringen.
För system med hög risk som är avsedda att användas av offentliga myndigheter och som släpptes ut på marknaden eller togs i bruk innan kapitel III började tillämpas för dem, för bilaga III den 2 december 2027, gäller artikel 111.2 i ny lydelse: leverantörer och tillhandahållare ska ha vidtagit de åtgärder som krävs för att uppfylla kraven senast den 2 augusti 2030.
Förbuden i artikel 5 gäller sedan 2 februari 2025 för alla, också offentliga organ. Några av dem är skrivna för det myndigheter gör.
| Led | Förbjudet | Där det rör det offentliga |
|---|---|---|
| 5.1 c | Social poängsättning som leder till skadlig eller ogynnsam behandling i andra sammanhang, eller som är omotiverad eller oproportionerlig | Bedömning av invånare utifrån socialt beteende eller personliga egenskaper |
| 5.1 d | Att bedöma risken för att en person begår brott uteslutande på grundval av profilering eller personlighetsdrag | Riskbedömningar av enskilda |
| 5.1 f | Att uttyda en persons känslor på arbetsplatsen eller vid utbildningsinstitutioner, utom av medicinska skäl eller säkerhetsskäl | Kommunen som arbetsgivare och som huvudman för skolan |
| 5.1 h | Biometrisk fjärridentifiering i realtid på allmänt tillgängliga platser för brottsbekämpande ändamål, med snäva undantag | Brottsbekämpande myndigheter |
I Sverige regleras brottsbekämpningens användning av ansiktsigenkänning i realtid i lagen (2026:806) om användning av AI-system för ansiktsigenkänning i realtid för brottsbekämpande ändamål.
Från den 2 december 2026 kommer två nya förbud att gälla, enligt artikel 5.1 ba och bb. De rör AI-system som skapar eller manipulerar sexuellt material av identifierbara personer utan deras samtycke och material som avses i direktivet om sexuella övergrepp mot barn.
Kravet på AI-kunnighet gäller oavsett risk, för varje AI-system som kommunen använder.
Sedan 2 februari 2025 gäller artikel 4, och sedan 27 juli 2026 i ny lydelse. Kommunen ska vidta åtgärder för att främja AI-kunnigheten hos personalen och andra som arbetar med systemen för dess räkning. Åtgärderna anpassas efter deras tekniska kunskaper, erfarenhet och utbildning, efter sammanhanget och med hänsyn till de personer som systemen ska användas på. I en kommun är det ofta invånarna.
Någon viss nivå behöver inte garanteras hos varje person. Vad personalen får använda AI till, och vem som godkänner verktygen, hör hemma i en AI-policy för kommun och företag.
Vad kravet innebär i praktiken står i inlägget om AI-kunnighet enligt artikel 4, och hur en utbildning för förvaltningen kan läggas upp står på sidan om AI-utbildning för offentlig sektor. Förordningens krav i ordning finns i checklistan för AI-förordningen.
Publicerar kommunen AI-genererad text för att informera allmänheten om frågor av allmänt intresse gäller sedan 2 augusti 2026 upplysningsplikten i artikel 50.4, utom när en människa har granskat texten och någon bär det redaktionella ansvaret.
Enligt artikel 113 i lydelsen från ändringsförordningen (EU) 2026/1744, och artikel 111.2.
| Datum | Vad | Källa |
|---|---|---|
| 2 februari 2025 | Förbuden i artikel 5 och kravet på AI-kunnighet i artikel 4 | Artikel 113 a |
| 27 juli 2026 | Ändringsförordningen i kraft, artikel 4 i ny lydelse | (EU) 2026/1744 |
| 2 augusti 2026 | Förordningen tillämpas i huvudsak, bland annat öppenhetskraven i artikel 50 | Artikel 113 |
| 2 december 2026 | Två nya förbud, artikel 5.1 ba och bb | Artikel 113 a i ny lydelse |
| 2 december 2027 | Hög risk i bilaga III: klassificeringen, artikel 26 med registreringen och konsekvensbedömningen i artikel 27 | Artikel 113 c i ny lydelse |
| 2 augusti 2030 | System för offentliga myndigheter som redan fanns i bruk ska uppfylla kraven | Artikel 111.2 i ny lydelse |
Förordningen är direkt tillämplig. Myndighetsrollerna finns i ett regeringsuppdrag som gäller året ut.
Enligt regeringsbeslutet den 4 juni 2026 (Fi2026/01365) är Post- och telestyrelsen marknadskontrollmyndighet för system med hög risk inom punkterna 2 till 4, 5 a och 5 d i bilaga III, och för förbuden i artikel 5 när systemen används inom samma områden. Offentligt stöd, rekrytering, skolan och larm hamnar alltså hos PTS. PTS är också gemensam kontaktpunkt.
Integritetsskyddsmyndigheten har bland annat förbuden i artikel 5 i övrigt och högrisksystemen inom biometri, brottsbekämpning, migration och rättskipning. Finansinspektionen, Läkemedelsverket och Swedac har andra delar. Uppdraget gäller till och med 31 december 2026.
Utredningen SOU 2025:101, Anpassningar till AI-förordningen, föreslog en svensk lag med kompletterande bestämmelser. När vi sökte i riksdagens dokument den 17 oktober 2026 fanns ingen sådan lag och ingen proposition om den. Vilken myndighet som tar emot kommunernas konsekvensbedömningar när artikel 27 börjar tillämpas är därför inte bestämt i dag.
Artikel 99.8 låter varje medlemsstat bestämma i vilken utsträckning sanktionsavgifter får tas ut av offentliga myndigheter och organ. SOU 2025:101 föreslår att en sanktionsavgift mot en myndighet ska kunna bli högst 20 miljoner kronor vid överträdelser av förbuden i artikel 5. Någon sådan svensk regel fanns inte heller i lag vid samma sökning.
ALEX är Kapacitis AI-medarbetare, och här är det som är byggt och det som är demo i dag.
Inget skickas, bokförs eller ändras innan rätt person har läst och sagt ja. Det är byggt.
Allt ALEX gör skrivs in i en signerad logg med extern tidsstämpel, och er revisor kan kontrollera den själv. Det är byggt.
Inga lösenord att glömma. Varje roll ser bara det den ska se. Det är byggt.
Föreslår registrering, hittar dubbletter, bevakar frister och visar vad som får gallras enligt er egen plan. Finns i dag som demo.
ALEX fattar inga beslut om människor: den förbereder, och en människa beslutar. Ingen leverantör kan intyga att kommunen följer förordningen, och vi har inga certifikat. Loggen och ja-grinden gör det lättare att visa vad som hände och vem som bestämde. Mer om AI i kommunens vardag står på sidan om AI i offentlig sektor.
Ja. En kommun som använder ett AI-system i sin verksamhet är tillhandahållare enligt artikel 3.4, där offentliga myndigheter räknas in uttryckligen. Förbuden i artikel 5 och kravet på åtgärder för AI-kunnighet gäller redan. Kraven för hög risk börjar tillämpas den 2 december 2027 för områdena i bilaga III.
Samma grundkrav som för företagen: inga förbjudna användningar och åtgärder för personalens AI-kunnighet. Använder myndigheten ett system med hög risk i bilaga III ska den från den 2 december 2027 följa artikel 26, registrera användningen i EU:s databas enligt artikel 49.3 och göra en konsekvensbedömning avseende grundläggande rättigheter enligt artikel 27.
Före den första användningen av ett system med hög risk enligt bilaga III, med undantag för kritisk infrastruktur. Skyldigheten gäller offentligrättsliga organ och privata enheter som tillhandahåller offentliga tjänster, och artikel 27 börjar tillämpas den 2 december 2027. Resultatet ska anmälas till marknadskontrollmyndigheten.
Bara system med hög risk i bilaga III. Leverantören registrerar systemet, och en offentlig myndighet registrerar dessutom sig själv och sin användning innan systemet tas i bruk (artikel 49.3). Är systemet inte registrerat av leverantören får myndigheten inte använda det (artikel 26.8). Artikel 49 har gällt sedan 2 augusti 2026, men vilka system som är högrisk enligt bilaga III avgörs av artikel 6.2 från den 2 december 2027, och i praktiken gäller registreringen därför från det datumet.
Ja, om systemet ska användas av offentliga myndigheter eller för deras räkning för att utvärdera rätten till förmåner och tjänster i form av offentligt stöd, eller för att bevilja, minska, upphäva eller återkalla dem (bilaga III punkt 5 a). Klassificeringen börjar tillämpas den 2 december 2027, och samtidigt börjar undantaget för snäva processuella eller förberedande uppgifter att gälla. Bedömningen görs för varje användning.
Förbuden i artikel 5 gäller alla sedan 2 februari 2025. De som ligger närmast det offentliga är social poängsättning, att bedöma brottsrisk uteslutande genom profilering, att uttyda känslor på arbetsplatsen eller i skolan utom av medicinska skäl eller säkerhetsskäl, och biometrisk fjärridentifiering i realtid för brottsbekämpning utanför de snäva undantagen.
Enligt regeringsbeslutet den 4 juni 2026 är Post- och telestyrelsen marknadskontrollmyndighet för bland annat offentligt stöd, rekrytering, utbildning och larm i bilaga III, och Integritetsskyddsmyndigheten för bland annat de flesta av förbuden. Uppdraget gäller till och med 31 december 2026. En svensk lag om rollerna på sikt fanns inte i riksdagens dokument den 17 oktober 2026.
ALEX förbereder och en människa beslutar. Diariet föreslår registrering, hittar dubbletter och bevakar frister, och inget registreras innan registratorn har sagt ja. Flödet finns i dag som demo och går att se på ett möte. Allt skrivs in i en signerad logg. Var gränsen går bedömer kommunen för varje användning, och samtalet bokar ni via kontaktsidan.
Varje kund får en egen server i EU, och vilka underbiträden som används står i integritetspolicyn.
Trettio minuter. Ni visar vad AI används till i förvaltningen i dag, så går vi igenom vilka användningar som kan hamna i bilaga III och visar demon av diariet i ALEX. Bedömningen gör ni, och samtalet är ingen juridisk rådgivning. Alexander svarar senast nästa arbetsdag.
Nyhetsbrev om AI-förordningen och det vi lär oss när vi bygger ALEX.
Vi hör av oss när något i AI-förordningen ändras som påverkar er. Avregistrera när som helst via länken i mejlet.