Agenter på jobbet: vad svensk lag och EU-reglerna kräver

Först: detta är inte juridisk rådgivning

Texten är en orientering. Reglerna tillämpas stegvis, tolkningar utvecklas och det som gäller er beror på vad ni gör. Kontrollera aktuellt läge hos Integritetsskyddsmyndigheten, som samordnar tillsynen av AI-förordningen i Sverige, och prata med en jurist innan ni tar beslut som rör anställda eller kunder.

Dataskydd gäller alltid

GDPR är den regel som oftast blir aktuell, och den gäller oavsett vad AI-förordningen säger. En agent som läser mejl, transkriberar möten, sammanfattar kundärenden eller söker i personalregistret behandlar personuppgifter.

Det betyder i praktiken:

Rättslig grund. Ni behöver kunna svara på varför behandlingen är tillåten. För anställdas uppgifter är det ofta anställningsavtalet eller berättigat intresse. Samtycke fungerar dåligt i anställningsförhållanden eftersom det sällan är frivilligt.

Biträdesavtal. Om personuppgifter skickas till en leverantör av modeller eller agenttjänster är leverantören normalt personuppgiftsbiträde, och ni behöver ett biträdesavtal. De stora leverantörerna har standardavtal. Läs vad de säger om lagring och träning på era data.

Tredjelandsöverföring. Om data behandlas utanför EU/EES krävs en överföringsmekanism. Flera leverantörer erbjuder i dag behandling inom EU. Kontrollera att det gäller den tjänst och region ni faktiskt använder.

Minimering. Ge agenten tillgång till det den behöver för uppgiften, inte hela inkorgen eller hela databasen. Det är både bra dataskydd och bra säkerhet.

Konsekvensbedömning. Systematisk övervakning, stor omfattning eller känsliga uppgifter kan kräva en DPIA innan ni börjar. Ett agentflöde som läser alla anställdas mejl hamnar troligen där.

AI-förordningen

EU:s AI-förordning trädde i kraft 2024 och tillämpas stegvis. Förbuden och kraven på AI-kunnighet har gällt sedan februari 2025, reglerna för generella modeller sedan augusti 2025, och huvuddelen av kraven är tänkta att gälla från augusti 2026. Tidplanen för högrisksystem har varit föremål för politisk diskussion, så kontrollera aktuell status.

För de flesta svenska företag som använder, snarare än bygger, AI-system är tre saker relevanta:

AI-kunnighet. Ni ska se till att personer som använder AI-system i verksamheten har tillräcklig kunskap. Det betyder inte certifiering, men det betyder att någon behöver kunna förklara vad verktyget gör, vad det inte kan och vilka risker som finns. Dokumentera vad ni gjort.

Transparens. Om människor interagerar med ett AI-system, till exempel en chattbot mot kunder, ska de informeras. Om ni publicerar AI-genererad text, bild eller ljud finns krav på märkning i vissa fall. En agent som svarar kunder ska inte låtsas vara en människa.

Högrisk. Om AI används för att sålla arbetssökande, fatta beslut om anställda, bedöma kreditvärdighet eller liknande, hamnar systemet i högriskkategorin. Då följer skyldigheter även för er som användare: följ leverantörens instruktioner, se till att en människa har verklig tillsyn, spara loggar, informera anställda och fackliga företrädare innan systemet tas i bruk. Vår skill för klassificering hjälper er ta reda på var ni hamnar.

Arbetsrätt och medbestämmande

Att införa agenter som påverkar hur anställda arbetar, övervakas eller bedöms är ofta en sådan förändring som ska förhandlas enligt medbestämmandelagen innan beslut fattas. Det gäller inte varje nytt verktyg, men det gäller sådant som väsentligt förändrar arbetet. Tala med facket tidigt. Det är billigare än att göra det sent.

Övervakning av anställda via agenter som läser deras kommunikation eller mäter deras arbete är dessutom ett område där IMY är aktiva. Var restriktiva.

Sekretess och avtal

Innan en agent får läsa ett dokument: vem har ni lovat att inte visa det för? Kundavtal, sekretessavtal och offentlighets- och sekretesslagen för offentlig sektor kan begränsa vad som får skickas till en extern modell. Det gäller även om leverantören lovar att inte träna på era data.

Ansvar

När en agent gör fel är det fortfarande ni som är ansvariga mot kunder, anställda och myndigheter. Det är inget nytt i lagen, men det ändrar hur ni bör bygga: mänsklig bekräftelse före oåterkalleliga åtgärder, loggar som visar vad agenten gjorde och varför, och en tydlig ägare för varje agent i drift.

En praktisk checklista

Innan en agent tas i drift mot riktiga data:

Vilka personuppgifter når den, och varför?
Vilken leverantör behandlar data, var, och finns biträdesavtal?
Vad får den göra utan bekräftelse, och vad kräver en människa?
Vem äger agenten och följer upp att den gör rätt?
Behöver anställda eller facket informeras eller förhandlas med?
Är det ett högrisksystem enligt AI-förordningen?
Hur informeras kunder om att de möter en AI?
Var loggas vad den gjorde, och hur länge?