IMY:s granskning av AI-system för arbetsbeslut: vad dataskyddet kräver av er

Integritetsskyddsmyndigheten har inlett en granskning av ett AI-system som Arbetsförmedlingen använder för att bedöma vilka insatser en arbetssökande kan få, enligt IMY:s nyhet. För er som använder AI-stöd i beslut om enskilda innebär det att dataskyddet i sådana system nu granskas av tillsynsmyndigheten. Ni behöver kunna visa vem som beslutade, på vilket underlag och vilken roll systemet hade.

Kort sagt

• IMY granskar ett AI-system som påverkar vilka insatser en arbetssökande kan få.
• Dataskyddsförordningen begränsar beslut som fattas helt automatiserat, och AI-förordningen ställer egna krav på högrisksystem.
• Kartlägg vilka beslut AI påverkar, dokumentera det mänskliga godkännandet och bygg en logg som går att visa upp.

Vad granskar IMY hos Arbetsförmedlingen?

Vad gör AI-systemet enligt IMY?

Enligt IMY används systemet för att bedöma vilka insatser en arbetssökande kan få för att komma i arbete eller börja studera. Det är en bedömning som påverkar den enskildes möjligheter, och just därför har den dataskyddsrättslig betydelse.

Vad säger granskningen inte ännu?

Granskningen är inledd. Den säger ännu ingenting om huruvida något är fel, och det vore fel av oss att gissa hur den slutar. Det som går att säga är att AI-stöd i beslut om enskilda nu är ett område där tillsynsmyndigheten ställer frågor.

Varför angår granskningen fler än Arbetsförmedlingen?

Samma mönster kan finnas i ärenden om insatser, bidrag och tillstånd hos myndigheter och kommuner: ett system läser underlag om en person och lämnar en bedömning eller ett förslag som en handläggare sedan agerar på. Det kan också gälla privata aktörer som utför offentliga uppgifter. Den som har ett liknande flöde gör klokt i att ställa sig samma frågor som IMY nu ställer, innan någon annan gör det. Hur detta ser ut för kommuner och regioner beskriver vi på sidan om AI i offentlig sektor.

Vad kräver dataskyddsreglerna av AI som påverkar enskilda?

Automatiserade beslut enligt dataskyddsförordningen

Enligt artikel 22 i dataskyddsförordningen har den registrerade rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inklusive profilering, om beslutet har rättsliga följder eller på liknande sätt i betydande grad påverkar personen. Undantagen är snäva, och när de gäller ska det finnas skyddsåtgärder, bland annat rätten till mänskligt ingripande och att kunna bestrida beslutet.

Krav på transparens och mänsklig prövning

Samma förordning kräver att den enskilde får meningsfull information om logiken bakom ett automatiserat beslut, enligt dataskyddsförordningen. I praktiken avgörs mycket av hur verklig den mänskliga prövningen är. En handläggare som bara bekräftar systemets förslag, utan befogenhet eller underlag att gå emot det, ger ett svagt skydd. Fördjupningen finns på sidan om GDPR och AI för myndigheter och företag.

Hur skärper AI-förordningen kraven för högrisksystem?

AI-förordningen är ett eget regelverk vid sidan av dataskyddsförordningen. Enligt bilaga III till förordning (EU) 2024/1689 kan system som offentliga myndigheter använder för att bedöma enskildas rätt till offentliga förmåner och tjänster klassas som högrisk. För sådana system kräver förordningen bland annat riskhantering, teknisk dokumentation, automatisk loggning och utformning för mänsklig tillsyn. Den som använder systemet har egna skyldigheter, och offentliga organ ska dessutom bedöma konsekvenserna för grundläggande rättigheter. Översikten över riskklasser finns på sidan om AI-förordningen och AI-agenter.

Hur förbereder ni er inför en liknande granskning?

Kartlägg vilka beslut AI faktiskt påverkar

Börja med en lista över varje flöde där AI läser, sorterar eller bedömer något om en enskild person. Skriv för varje flöde vad systemet lämnar ifrån sig, vem som tar emot det och vilket beslut som följer. Skillnaden mellan ett system som föreslår och ett system som i praktiken avgör kan bli synlig först när det står på papper.

Dokumentera mänskligt godkännande och ansvar

Ett exempel är vår modul för bygglovsärenden, som är planerad. Den klassar ansökan enligt plan- och bygglagen, pekar ut bilagor som saknas, föreslår diarienummer och skickar ärendet till rätt handläggare. Modulen för diarieföring, som finns som demo, föreslår nämnd, handläggare och diarienummer för en inkommen handling, och en människa registrerar. Medborgardialogen, också planerad, sorterar inkomna yttranden efter ämne och inställning och sammanfattar de vanligaste invändningarna till nämndens underlag. I alla tre lämnar modulen ett förslag eller ett underlag. Så kan ett sådant flöde byggas: beslutsansvaret ligger kvar hos en namngiven person, och gränsen för vad modulen får göra skrivs ned innan den används.

Bygg spårbarhet som går att visa upp

Den som granskar vill kunna följa ett ärende bakåt: vad systemet föreslog, på vilket underlag, vem som godkände och när. Allt ALEX gör skrivs in i en signerad logg med extern tidsstämpel som er revisor kan kontrollera själv. Hur en sådan kedja är uppbyggd visar vårt exempel på en revisionslogg för AI.

Vad betyder det för er i praktiken?

Innan ni skalar upp AI i beslutsflöden är det värt att gå igenom två uppsättningar frågor.

Frågor att ställa internt:

• Vilka beslut om enskilda påverkas av AI, och finns de dokumenterade?
• Har handläggaren befogenhet, tid och underlag att gå emot systemets förslag?
• Kan vi förklara för en enskild hur bedömningen gick till?
• Är konsekvensbedömningen enligt dataskyddsförordningen gjord och aktuell?

Frågor att ställa leverantören:

• Hur loggas förslag, underlag och godkännanden, och kan loggen kontrolleras utan er?
• Var behandlas uppgifterna, och vilka underbiträden används?
• Hur klassar ni systemet enligt AI-förordningen, och vilken dokumentation följer med?

Vill ni se hur ett system byggs med godkännande och logg från början, beskriver vi det på sidan bygg AI-system som tål granskning.

Hur går ni vidare nu?

Gör kartläggningen först, även om den blir kort. Den visar var ni står och vilka frågor ni bör ta med er jurist eller dataskyddsombud. Vad som styr kostnaden för ett sådant flöde i allmänhet står på sidan om vad en AI-agent kostar. Vill ni gå igenom ett av era flöden med oss, hör av er via kontakt. Vi svarar senast nästa arbetsdag.

Källor

• IMY: IMY granskar Arbetsförmedlingens AI-system för arbetssökande (hämtad 6 november 2026)
• Dataskyddsförordningen (EU) 2016/679, EUR-Lex (hämtad 6 november 2026)
• AI-förordningen (EU) 2024/1689, EUR-Lex (hämtad 6 november 2026)