IMY:s vägledning om molntjänster i offentlig sektor: kartlägg era tjänster nu

Integritetsskyddsmyndigheten (IMY) tar fram en vägledning som ska hjälpa offentlig sektor att använda molntjänster på ett säkert sätt. Som en del av arbetet har myndigheten ställt frågor till 19 kommuner, regioner och statliga myndigheter om deras användning av molntjänster, enligt IMY:s nyhet. IMY beräknar att vägledningen blir färdig under vintern, och ni kan redan nu kartlägga vilka molntjänster ni använder, vilka personuppgifter som ligger där och vem som är biträde.

Kort sagt

• IMY arbetar med en vägledning om molntjänster i offentlig sektor, beräknad att bli färdig under vintern, och har frågat kommuner, regioner och myndigheter om hur de använder molntjänster.
• En förteckning över era molntjänster med personuppgifter, ansvar och biträden går att ta fram redan nu, oavsett vad vägledningen säger.
• AI-funktioner i molntjänsterna hör hemma i samma förteckning, eftersom de också kan omfattas av AI-förordningen.

Vad har IMY gjort och vad står i nyheten?

Nyheten publicerades den 20 oktober 2026. I den skriver IMY att myndigheten tar fram en vägledning om molntjänster i offentlig sektor, och att den har ställt frågor till kommuner, regioner och statliga myndigheter om hur de använder molntjänster.

Vad frågorna handlar om

Enligt IMY:s nyhet hämtar myndigheten in uppgifter om bland annat informationsklassning, molntjänstleverantörer i tredjeland och exitstrategier, och svaren ska vara underlag för vägledningen. IMY beräknar att vägledningen blir färdig under vintern. Exakt vad den kommer att rekommendera får den färdiga texten visa, och därför gissar vi inte om det. Ni behöver ändå inte vänta för att börja, eftersom mycket av underlaget hänger ihop med det dataskyddsarbete ni redan bedriver. Berörda är kommuner, regioner och statliga myndigheter, och i förlängningen de leverantörer som levererar molntjänster till dem.

Varför börjar arbetet med en kartläggning av molntjänsterna?

Molntjänster kan komma in i en organisation på många vägar. Det kan vara ett upphandlat verksamhetssystem, licenser i kontorspaketet eller ett verktyg som en enskild förvaltning har tecknat på egen hand. Det som ingen har registrerat centralt är också det som är svårast att bedöma, och en vägledning går inte att följa för tjänster ni inte vet att ni har.

En förteckning över molntjänster kan byggas ihop med ert register över behandlingar av personuppgifter, så att varje tjänst kopplas till de behandlingar som sker i den. Då slipper ni hålla två listor som glider isär, och det blir tydligt vilka behandlingar som saknar en tjänst och vilka tjänster som saknar en behandling. Frågan ägs gärna gemensamt av it, informationssäkerhet och dataskyddsombudet, med en namngiven person som håller listan aktuell.

Vilka frågor bör ni kunna svara på om varje molntjänst?

För varje tjänst i förteckningen bör ni kunna besvara följande:

• Vilka personuppgifter behandlas, för vilket ändamål och vilken informationsklass de har.
• Vem som är personuppgiftsansvarig, vem som är biträde och om det finns ett biträdesavtal.
• Var uppgifterna lagras och behandlas, och vilka underbiträden som används.
• Om uppgifter förs över till tredjeland, och vilket skyddsverktyg som används för överföringen.
• Hur uppgifterna förhåller sig till sekretess och, där det är aktuellt, säkerhetsskydd.
• Hur ni tar er ur tjänsten med era uppgifter i behåll, alltså vilken exitstrategi ni har.

Reglerna om biträdesavtal, underbiträden och överföring till tredjeland finns i dataskyddsförordningen. Bakgrunden till ansvar och biträden går vi igenom i vår guide om GDPR och AI: guide för företag och kommuner.

För uppgifter hos myndigheter gäller dessutom offentlighets- och sekretesslagen (2009:400) och, för verksamhet som omfattas, säkerhetsskyddslagen (2018:585). Hur en viss molntjänst ska bedömas mot de lagarna avgör varje myndighet själv. Visar genomgången luckor i avtalen kan vår kravmall för upphandling av AI vara ett stöd när ni ställer krav nästa gång.

Vad händer när molntjänsten har AI inbyggd?

AI-funktioner kan komma in i en tjänst ni redan använder, genom en uppdatering eller en tilläggsmodul som någon slår på. Då förändras vad tjänsten gör med era uppgifter, även om avtalet är detsamma. Därför hör AI-funktionerna hemma i samma förteckning, med samma frågor om personuppgifter, biträden och var behandlingen sker, plus en fråga till: vad gör funktionen med dokumenten, och vem kontrollerar resultatet.

AI-delen kan också omfattas av AI-förordningen, och vilka krav som gäller beror på hur användningen klassas. Kraven och tidsplanen går vi igenom på sidan om AI-förordningen och AI-agenter: krav och tidsplan, och det som gäller just er målgrupp står i AI-förordningen i kommuner och myndigheter. En AI-policy för kommun och företag kan tas fram parallellt med kartläggningen, så att det är bestämt i förväg vem som får slå på en ny AI-funktion och hur den ska bedömas innan den används.

Hur kan en AI-medarbetare byggas för en reglerad miljö?

Samma frågor gäller när ni överväger en AI-medarbetare. Så här har vi byggt ALEX, och det beskriver vi närmare på sidan om AI-medarbetare för reglerad verksamhet.

Det första är mänskligt godkännande. Inget skickas, bokförs eller ändras innan rätt person har läst och sagt ja, och ett ja gäller en viss text och en viss person. Det andra är spårbarhet: allt ALEX gör skrivs in i en signerad logg med extern tidsstämpel som er revisor kan kontrollera själv. Det tredje är var data ligger. Varje kund får en egen server i EU, och kräver ni det körs ALEX i er egen miljö med er egen modellnyckel. Vilka underbiträden som används står öppet i integritetspolicyn, och avvägningen mellan alternativen beskriver vi i lokal AI eller AI i molnet.

ALEX arbetar i dag i Kapacitis egen verksamhet, och modulerna är demo eller planerade. Diarieföringen finns som demo: modulen för diarieföring föreslår nämnd, handläggare och diarienummer för en inkommen handling, och en människa registrerar. Dokumentsummeraren är en generell modul, inte särskilt byggd för offentlig sektor, och finns också som demo. Den sammanfattar en PDF, en webbsida eller en text i punkter och anger för varje punkt var i källan den står, så att handläggaren kan gå tillbaka till underlaget. Medborgardialog är planerad. Den är tänkt att sortera inkomna yttranden efter ämne och inställning, och eftersom yttranden innehåller personuppgifter är det just en sådan funktion som hör hemma i kartläggningen.

Vad betyder det för er i praktiken?

Ni behöver inte vänta på IMY för att komma i gång. Börja med att ta fram listan över molntjänster, också de som enskilda förvaltningar har tecknat själva, och utse en ägare för varje tjänst. Gå sedan igenom avtalen: finns biträdesavtal, vilka underbiträden används, sker någon överföring till tredjeland och hur ser vägen ut om ni vill lämna tjänsten. Markera de tjänster som har AI-funktioner, så att de också kan bedömas mot AI-förordningen.

Det lönar sig att hålla listan levande och uppdatera den när en ny tjänst tecknas eller en ny funktion slås på. Lägg in en rutin för det, så att förteckningen uppdateras samtidigt som beslutet fattas.

När IMY publicerar vägledningen har ni då ett underlag att jämföra mot, och kan justera förteckningen och rutinerna efter det som myndigheten faktiskt skriver.

Hur går ni vidare?

Vill ni gå igenom er kartläggning, eller en AI-funktion ni funderar på, kan ni kontakta oss. Alexander svarar senast nästa arbetsdag.

Källor

• IMY tar fram vägledning om molntjänster i offentlig sektor, Integritetsskyddsmyndigheten (hämtad 24 oktober 2026)
• Offentlighets- och sekretesslag (2009:400), riksdagen.se (hämtad 24 oktober 2026)
• Säkerhetsskyddslag (2018:585), riksdagen.se (hämtad 24 oktober 2026)