Från behovet till avtalet, sett från köparens bord.
Att upphandla AI är att köpa ett system som läser, föreslår och ibland utför arbete i er verksamhet, och att innan avtalet bestämma var uppgifterna behandlas, vem som godkänner och hur ni tar er ur avtalet. Här går vi igenom vägen från behov till avtal för kommuner, regioner och offentligt ägda bolag, med en kravmall att kopiera in i ert förfrågningsunderlag.
Boka 30 minuterTill kravmallen
Människan beslutarSka
Lösningen får inte skicka, registrera, besluta eller ändra något hos Beställaren innan en behörig person hos Beställaren har godkänt just den åtgärden. Godkännandet ska vara inbyggt i lösningen och inte bara en rutin.
PersonuppgiftsbiträdesavtalSka
Leverantören ska teckna personuppgiftsbiträdesavtal med Beställaren enligt artikel 28 i dataskyddsförordningen (EU) 2016/679 innan någon personuppgift behandlas.
Sekretess vid utkontrakteringSka
Leverantören ska beskriva vilka av Beställarens uppgifter som Leverantören, dess underbiträden och AI-modellens leverantör kan ta del av och i vilket syfte, så att Beställaren kan bedöma om uppgifterna får lämnas ut enligt 10 kap. 2 a § offentlighets- och sekretesslagen (2009:400).
Loggen utan LeverantörenSka
Beställaren ska kunna ta ut och granska loggen utan Leverantörens medverkan, och det ska gå att se om loggen har ändrats i efterhand.
Uppgifterna vid avslutSka
När avtalet upphör ska Leverantören inom [antal] dagar lämna ut alla Beställarens uppgifter, loggen inräknad, i ett öppet och maskinläsbart format.
Kraven är skrivna. Ni väljer vilka som gäller.
Tre saker skiljer den från en vanlig upphandling av programvara.
AI-modellen under lösningen uppdateras eller byts ut, ibland flera gånger om året. Samma fråga kan få ett annat svar i höst än i våras. Kraven behöver därför gälla hur byten går till, inte bara hur lösningen fungerar den dag den levereras.
Bakom leverantören finns ofta en AI-leverantör och en molntjänst. Varje led som behandlar personuppgifter åt er är ett underbiträde som ska stå i förteckningen och omfattas av avtalet.
AI-förordningen lägger skyldigheter både på den som tar fram systemet och på er som använder det. Vem som är vad ska stå i avtalet, inte redas ut efteråt.
Ordningen spelar roll. Den som skriver kraven före dialogen skriver ofta fel krav.
Vilka ärenden det gäller, hur många i månaden, i vilka system och vad som ska bli bättre. Ett behov som går att mäta går också att följa upp.
En tidig dialog, i möten eller skriftligt, visar vad som går att köpa och vad det kräver av er. Ge alla leverantörer samma information.
Kontraktets uppskattade värde avgör om ni får direktupphandla, måste annonsera eller kan avropa från ett ramavtal ni har rätt att använda.
Ett krav som inte kan kontrolleras i anbudet eller under avtalet skyddar ingen. Kravmallen längre ned är skriven för att gå att pröva.
Låt lösningen läsa och föreslå under en avgränsad tid innan den får utföra något, och mät mot behovet från första steget.
Personuppgifter, sekretess, loggar och avslut skrivs in före undertecknandet. Efteråt är förhandlingsläget ett annat.
Värdet avgör vägen. Beloppen gäller från 1 januari 2026 och är utan moms.
Under 700 000 kronor enligt lagen om offentlig upphandling får ni direktupphandla, utan annons. Över 100 000 kronor ska direktupphandlingen dokumenteras löpande.
Över direktupphandlingsgränsen annonseras upphandlingen i regel. Från 2 451 816 kronor, eller 1 589 140 kronor för statliga myndigheter, gäller EU:s tröskelvärden för varor och tjänster och reglerna som följer med dem.
Det finns inget ramavtal enbart för AI. Statens inköpscentral anger att ramavtalen inom Programvaror och tjänster kan användas för AI-relaterade tjänster, och Adda har AI och maskininlärning som ett område i Programvaror och molntjänster 2023.
Värdet är allt ni uppskattar att betala under hela kontraktet, optioner och förlängningar inräknade. För en AI-tjänst med månadsavgift är det alltså avgiften gånger hela avtalstiden, plus det ni betalar för själva införandet.
Offentligt ägda bolag omfattas av lagen om offentlig upphandling när de räknas som offentligt styrda organ, vilket bedöms bolag för bolag. Den som upphandlar inom försörjningssektorerna följer i stället lagen om upphandling inom försörjningssektorerna, där direktupphandlingsgränsen är 1 200 000 kronor.
Ramavtalen kan bara användas av den som är avropsberättigad, och för kommuner och regioner krävs en bekräftelse för de statliga ramavtalen för it och telekom. Hos Statens inköpscentral pågår en förstudie om AI, men den 30 september 2026 fanns inget ramavtal för området.
Välj för varje krav om det ska uppfyllas, värderas eller inte vara med. Kopiera sedan mallen eller skriv ut sidan.
Uppgift och avgränsning
Leverantören ska beskriva vilka uppgifter lösningen utför, i vilka av Beställarens system den arbetar och vilka uppgifter den inte utför.
Människan beslutar
Lösningen får inte skicka, registrera, besluta eller ändra något hos Beställaren innan en behörig person hos Beställaren har godkänt just den åtgärden. Godkännandet ska vara inbyggt i lösningen och inte bara en rutin.
Prov i egna ärenden
Före driftsättning ska Leverantören genomföra ett prov under [antal] veckor i Beställarens egna ärenden, där lösningen bara läser och föreslår och inte kan utföra något.
Mätbart resultat
Leverantören ska föreslå hur resultatet mäts, till exempel hur stor andel av förslagen som godkänns utan ändring, och redovisa utfallet skriftligt efter provet.
Personuppgiftsbiträdesavtal
Leverantören ska teckna personuppgiftsbiträdesavtal med Beställaren enligt artikel 28 i dataskyddsförordningen (EU) 2016/679 innan någon personuppgift behandlas.
Var uppgifterna behandlas
Leverantören ska ange i vilka länder Beställarens uppgifter lagras och behandlas, AI-modellens leverantör inräknad. Behandling utanför EU och EES får bara ske efter Beställarens skriftliga godkännande.
Underbiträden
Leverantören ska lämna en fullständig förteckning över underbiträden, AI-modellens leverantör inräknad, och meddela Beställaren skriftligt minst [antal] dagar innan ett underbiträde byts eller läggs till.
Sekretess vid utkontraktering
Leverantören ska beskriva vilka av Beställarens uppgifter som Leverantören, dess underbiträden och AI-modellens leverantör kan ta del av och i vilket syfte, så att Beställaren kan bedöma om uppgifterna får lämnas ut enligt 10 kap. 2 a § offentlighets- och sekretesslagen (2009:400).
Ingen träning på Beställarens uppgifter
Beställarens uppgifter får inte användas för att träna eller förbättra AI-modeller, varken Leverantörens eller någon annans.
Behörigheter
Lösningen ska följa Beställarens behörigheter. En användare ska aldrig kunna få del av en uppgift i ett svar eller förslag som hen inte har behörighet att läsa.
Loggning
Lösningen ska logga varje förslag, vilket underlag förslaget byggde på, vem som godkände det och när.
Loggen utan Leverantören
Beställaren ska kunna ta ut och granska loggen utan Leverantörens medverkan, och det ska gå att se om loggen har ändrats i efterhand.
Allmänna handlingar
Leverantören ska beskriva vilka uppgifter lösningen skapar och sparar, så att Beställaren kan bedöma vad som är allmän handling och hur det ska registreras, bevaras och gallras.
Källor i förslagen
Förslag som bygger på dokument ska visa vilket dokument och vilket avsnitt de bygger på.
Roller enligt AI-förordningen
Leverantören ska ange vilken roll den har enligt AI-förordningen (EU) 2024/1689 och vilka skyldigheter som därmed ligger på Beställaren som tillhandahållare.
Bedömning av risknivå
Leverantören ska redovisa sin bedömning av om lösningen, i den användning som upphandlas, är ett AI-system med hög risk enligt AI-förordningen, och vad bedömningen bygger på.
Bruksanvisning och utbildning
Leverantören ska leverera en bruksanvisning på svenska och utbilda de medarbetare som ska använda lösningen, som stöd för Beställarens åtgärder för AI-kunnighet enligt artikel 4 i AI-förordningen.
Öppet med att AI har använts
Lösningen ska kunna märka texter och svar som den har tagit fram, så att Beställaren kan vara öppen med att AI har använts mot medarbetare och allmänhet.
Byte av AI-modell
Leverantören ska ange vilken AI-modell lösningen använder och meddela Beställaren minst [antal] dagar innan modellen byts. Beställaren ska kunna pröva den nya modellen i sina egna ärenden före bytet.
Support
Leverantören ska ange vem som svarar när något inte fungerar och inom hur många arbetsdagar.
Kostnaden för AI-användningen
Leverantören ska redovisa hur den löpande kostnaden för AI-användningen beräknas och tillämpa ett tak som inte överskrids utan Beställarens skriftliga godkännande.
Extern granskning
Leverantören ska redovisa om lösningen har granskats av en extern part, av vem och när. Finns ingen sådan granskning ska Leverantören säga det.
Uppgifterna vid avslut
När avtalet upphör ska Leverantören inom [antal] dagar lämna ut alla Beställarens uppgifter, loggen inräknad, i ett öppet och maskinläsbart format.
Radering
När uppgifterna är utlämnade ska Leverantören radera dem hos sig och hos sina underbiträden och intyga raderingen skriftligt.
Instruktioner och regler
Instruktioner, regler och anpassningar som har tagits fram för Beställaren ska Beställaren få behålla och kunna använda med en annan leverantör.
Överlämning
Leverantören ska medverka vid överlämning till en ny leverantör under [antal] månader efter avtalets slut, på de villkor som anges i avtalet.
Ska är ett krav som anbudet måste uppfylla. Värderas betyder att kravet ingår i utvärderingen och ger mervärde. Text inom hakparentes fyller ni i själva. Inget av det ni väljer sparas eller skickas, och mallen börjar om när sidan laddas på nytt.
Är ni ett privat bolag som ska välja leverantör passar de tio kraven för att välja AI-byrå bättre. Vad en offert bör innehålla har vi skrivit om i vad ni ska be om i AI-offerten, och EU:s modellklausuler för upphandling av AI finns på svenska och går att använda bredvid mallen.
En pilot är också ett inköp, med samma regler som allt annat.
Räkna hela värdet. Piloten får direktupphandlas om hela dess värde ligger under 700 000 kronor. Står en option om fortsatt drift med i samma upphandling räknas den in i värdet.
Skriv in vägen vidare från början. Vill ni kunna gå från pilot till drift utan en ny upphandling ska möjligheten stå i den första upphandlingen, som en option som klart, exakt och entydigt beskriver när den kan användas och vad den omfattar.
Samma villkor som i drift. Personuppgiftsbiträdesavtal, sekretess, loggar och rätten att få ut uppgifterna gäller redan i piloten. En pilot på lösare villkor lär er inte hur det blir sedan.
Bestäm i förväg vad den ska visa. Till exempel hur stor andel av förslagen som godkänns utan ändring, hur lång tid ett ärende tar och vem som gör bedömningen. Låt lösningen bara läsa och föreslå under piloten.
Sex villkor som är svåra att få till efter undertecknandet.
När leverantören behandlar personuppgifter åt er ska det regleras i ett avtal enligt artikel 28 i dataskyddsförordningen. AI-leverantören och andra underbiträden ska synas i förteckningen.
Sedan 1 juli 2023 hindrar sekretess inte att en uppgift lämnas till en leverantör som endast tekniskt bearbetar eller lagrar den åt er, om det inte är olämpligt (10 kap. 2 a § offentlighets- och sekretesslagen). Om en AI-tjänst ryms i regeln är er bedömning, så kräv underlaget för den.
Ni ska kunna se vad som föreslogs, på vilket underlag, vem som godkände och när, utan att fråga leverantören. Kräv också en beskrivning av vad lösningen sparar, så att ni kan avgöra vad som är allmän handling.
Alla uppgifter, loggen inräknad, ska lämnas ut i ett öppet format inom en bestämd tid och sedan raderas. Instruktioner och regler som tagits fram åt er ska ni få behålla.
Förordningen skiljer mellan leverantören, som tar fram systemet, och tillhandahållaren, som använder det under eget överinseende. Oftast är ni tillhandahållare. Låt leverantören skriva sin bedömning av roll och risknivå i anbudet.
Kräv besked i god tid innan modellen under lösningen byts, och rätt att pröva den nya i era egna ärenden före bytet.
Vad AI-förordningen kräver och från när står på sidan om AI-förordningen. Hur AI kan användas i kommuner, regioner och offentligt ägda bolag har vi samlat under AI i offentlig sektor.
Den är ett underlag att utgå från, inte ett färdigt förfrågningsunderlag.
Den är ingen juridisk rådgivning. Läs den med er upphandlingsjurist och ert dataskyddsombud innan den går ut.
Den väljer inte förfarande åt er. Kontraktets värde och vilka ramavtal ni får avropa från avgör det.
Den bedömer inte risknivån. Om ett system räknas som ett AI-system med hög risk enligt AI-förordningen beror på vad det används till hos er.
Den gör ingen sekretessbedömning. Vilka uppgifter som kan lämnas till en leverantör avgör ni utifrån era uppgifter och omständigheterna.
Mallen är er, så våra svar står inte i den. Här är den korta versionen.
Det här är byggt och testat: ALEX, vår AI-medarbetare, skickar, bokför eller ändrar ingenting innan rätt person har läst och sagt ja. Allt den gör skrivs in i en signerad logg som er revisor kan kontrollera själv. Er data ligger på en egen server i EU, och vi listar våra underbiträden öppet, AI-leverantören inräknad. Vi skriver biträdesavtal, men bedömningen av behandlingen är er.
Ingen extern säkerhetsrevision, inga certifikat och ingen kund med ALEX i drift. ALEX är byggd och provad hos oss själva, inte hos någon kund. Diariefunktionen för offentlig sektor är på väg: den fungerar på en kopia eller mot inspelade svar och är inte färdig att lita på i skarpt läge. Bygglov, medborgardialog och detaljplan är planerade.
Hur många ärenden lösningen ska hantera, hur många system den kopplas till, hur känsliga uppgifterna är, om den körs på en egen server eller i er miljö och hur mycket AI-användning flödet kräver. Priset sätts efter en kartläggning och lämnas skriftligt. Det första samtalet kostar ingenting och är inget säljmöte. Mer om kostnaden står under vad en AI-agent kostar.
Hela svaret, med hur ni kontrollerar loggen utan oss, står på säkerhetssidan. Hur diariet är tänkt att fungera står på sidan om AI i diarieföringen.
Börja med behovet: vilka ärenden det gäller, i vilka system och vad som ska bli bättre. Håll en tidig dialog med leverantörerna, välj förfarande efter kontraktets värde, skriv krav som går att pröva, pröva lösningen i en avgränsad pilot och skriv in personuppgifter, sekretess, loggar och avslut i avtalet innan det undertecknas.
Ja, om kontraktets värde understiger direktupphandlingsgränsen, som i lagen om offentlig upphandling är 700 000 kronor och i lagen om upphandling inom försörjningssektorerna 1 200 000 kronor. Värdet är allt ni uppskattar att betala under hela kontraktet, optioner och förlängningar inräknade. Är värdet över 100 000 kronor ska direktupphandlingen dokumenteras löpande.
Vad lösningen gör och inte gör, att den inte kan utföra något utan en människas godkännande, var uppgifterna behandlas och av vilka underbiträden, vad leverantören kan ta del av, vilka loggar ni får, vilken roll leverantören har enligt AI-förordningen, hur byten av AI-modell går till och hur ni får ut era uppgifter när avtalet upphör. Kravmallen på den här sidan har 26 sådana krav i sex avsnitt, färdiga att kopiera.
Inget ramavtal är gjort enbart för AI. Statens inköpscentral skriver att alla ramavtal inom Programvaror och tjänster kan användas för att avropa AI-relaterade tjänster, och kommuner och regioner kan lämna en bekräftelse för att omfattas av de statliga ramavtalen för it och telekom. Adda har ramavtalet Programvaror och molntjänster 2023, där artificiell intelligens och maskininlärning är ett av områdena. Kontrollera alltid att er organisation är avropsberättigad.
Sedan 1 juli 2023 hindrar sekretess inte att en uppgift lämnas till en leverantör som endast tekniskt bearbetar eller tekniskt lagrar den åt er, om det inte är olämpligt med hänsyn till omständigheterna (10 kap. 2 a § offentlighets- och sekretesslagen). Den som gör det har tystnadsplikt enligt en särskild lag från 2020. Om en viss AI-tjänst ryms i regeln är er bedömning, så kräv att leverantören beskriver vad den och dess underbiträden kan ta del av.
Ja, när leverantören behandlar personuppgifter för er räkning ska det regleras i ett avtal enligt artikel 28 i dataskyddsförordningen. Kräv att underbiträdena, också den som tillhandahåller AI-modellen, står med i förteckningen och att ni får besked innan någon av dem byts.
Den som använder ett AI-system under eget överinseende kallas tillhandahållare i förordningen, och det är oftast ni. Artikel 4 säger att både leverantörer och tillhandahållare ska vidta åtgärder för att främja personalens AI-kunnighet. Fler skyldigheter beror på systemets risknivå, och kraven för system med hög risk i förordningens bilaga III gäller från 2 december 2027 efter en ändring 2026.
Ja. En pilot är ett inköp som andra, så dess värde avgör förfarandet. Vill ni kunna gå vidare från pilot till drift utan en ny upphandling ska den möjligheten stå i den första upphandlingen, som en option som klart, exakt och entydigt beskriver när den kan användas och vad den omfattar, och optionens värde räknas in från början.
Trettio minuter, digitalt eller hos er. Ni går igenom mallen, vi svarar på varje punkt, också där svaret är nej. Alexander svarar senast nästa arbetsdag.
Nyhetsbrev
En sammanfattning ungefär en gång i månaden. Vad som ändrats i regelverket, vad vi lär oss när vi bygger, och vilka leverantörsbyten som påverkar svenska bolag.