Utgångspunkt
Börja med verksamhetsproblemet – inte verktyget
Ett AI-initiativ bör börja med ett konkret problem, en tydlig målgrupp och en effekt som går att följa upp. Om utgångspunkten i stället är att organisationen ”måste göra något med AI” blir resultatet ofta spridda pilotprojekt utan mottagare, ansvar eller beslut om fortsatt användning.
Ledningens uppgift är inte att välja modell eller skriva tekniska krav. Den ska avgöra vilka problem som är värda att lösa, vilken risk organisationen accepterar, vem som äger resultatet och hur nyttan ska verifieras.
1. AI som ledningsfråga
AI påverkar arbetssätt, ansvar, kompetens, data och ibland människors rättigheter. Därför kan frågan inte delegeras enbart till IT eller en innovationsfunktion. Ledningen behöver sätta riktning, besluta principer och följa upp användningen på samma sätt som andra verksamhetskritiska förändringar.
En användbar styrmodell skiljer mellan tillåten vardagsanvändning, kontrollerade experiment och AI-system som påverkar beslut eller kärnprocesser. Ju större påverkan, desto tydligare krav behövs på dokumentation, riskbedömning, mänsklig kontroll och uppföljning.
Ledningens kontrollfrågor
- Beslutad ambition och AI-policy
- Tydlig ägare för varje användningsfall
- Register över verktyg, piloter och AI-system
- Riskklassning före införande
- Regelbunden rapportering till ledningen
2. Juridik och regelefterlevnad
AI-förordningen använder en riskbaserad modell. Organisationens skyldigheter beror bland annat på systemets användning och på om organisationen är leverantör eller tillhandahållare. Reglerna införs stegvis. Klassificering och ansvar behöver därför bedömas för varje användningsfall och följas när regelverket utvecklas.
GDPR gäller när personuppgifter behandlas. Då behöver verksamheten bland annat klargöra ändamål, rättslig grund, roller, informationsskyldighet, lagring och säkerhet. En konsekvensbedömning kan behövas vid hög risk. Upphovsrätt, sekretess, förvaltningsrätt, arbetsrätt och upphandlingsregler kan också bli relevanta.
Denna kunskapssida är orienterande och ersätter inte juridisk bedömning i ett konkret införande.
Ledningens kontrollfrågor
- Klassificera användningsfallet enligt AI-förordningen
- Bedöm personuppgifter och rättslig grund
- Dokumentera mänsklig kontroll och möjlighet att ingripa
- Bedöm sekretess, upphovsrätt och arbetsrätt
- Säkra avtal, personuppgiftsbiträden och eventuell tredjelandsöverföring
3. Informationssäkerhet och data
Ett AI-system kan exponera skyddsvärd information genom indata, loggar, integrationer eller leverantörens vidare användning. Därför ska informationsklassning och säkerhetsbedömning göras innan verksamhetsdata används.
Datakvalitet är samtidigt en ledningsfråga. Bristfälliga eller snedvridna data kan ge till synes övertygande men felaktiga resultat. Organisationen behöver veta vilka data som används, vem som äger dem, hur kvalitet verifieras och hur fel upptäcks.
Ledningens kontrollfrågor
- Informationsklassning före användning
- Godkända verktyg och tydliga behörigheter
- Kontroll över loggning, lagring och modellträning
- Test mot manipulation, felaktiga svar och informationsläckage
- Incidenthantering och möjlighet att stänga av lösningen
4. Så genomförs ett AI-projekt
Ett AI-projekt bör behandlas som verksamhetsutveckling med teknik – inte som en teknisk demonstration. Projektet behöver en verksamhetsägare, ett mätbart nuläge och ett tydligt beslut efter piloten.
En pilot är lyckad först när den visar om lösningen bör införas, ändras eller avslutas. Teknisk funktion räcker inte; kvalitet, tidsbesparing, risk, användbarhet och kostnad behöver vägas samman.
Rekommenderad arbetsgång
- Definiera problem, användare och önskad effekt
- Kartlägg process, data och nuvarande kostnad
- Gör juridisk, etisk och säkerhetsmässig riskbedömning
- Välj ett avgränsat användningsfall och besluta mätetal
- Bygg eller anskaffa en kontrollerad pilot
- Testa kvalitet, mänsklig kontroll och negativa scenarier
- Utvärdera nytta, totalkostnad och organisatorisk påverkan
- Fatta ett uttryckligt beslut: inför, ändra eller avsluta
5. Mänsklig kontroll och ledningens ansvar
Mänsklig kontroll betyder mer än att en person formellt klickar på en knapp. Den ansvariga måste förstå underlaget, kunna ifrågasätta resultatet och ha mandat, tid och information för att välja en annan åtgärd.
För offentlig förvaltning rekommenderar Digg att generativ AI inte används för helt självständiga beslut som direkt påverkar människor. Beslut behöver kunna förklaras och kontrolleras. Även i företag bör graden av mänsklig kontroll öka med konsekvensen av ett fel.
Ledningens kontrollfrågor
- Namngiven ansvarig person eller funktion
- Tydliga situationer när AI-resultat inte får användas
- Kompetens att upptäcka fel och snedvridning
- Spårbarhet från underlag till beslut
- Regelbunden kvalitetskontroll efter införandet
6. Anskaffning och leverantörsstyrning
AI-tjänster förändras snabbt och bygger ofta på flera underleverantörer. Avtalet behöver därför reglera dataanvändning, säkerhet, ändringar, transparens, servicenivåer, kostnadsutveckling, incidenter och möjligheten att lämna tjänsten.
Verksamheten får inte lämna över sitt ansvar till leverantören. Den behöver egen beställarkompetens, dokumenterade krav och förmåga att kontrollera att lösningen fortsätter fungera som avsett.
Ledningens kontrollfrågor
- Kända underleverantörer och behandlingsplatser
- Regler för kunddata och modellträning
- Rätt till information, revision och incidentbesked
- Kontroll över versionsändringar och prestanda
- Exitplan, dataexport och hantering av leverantörsberoende
7. AI i offentlig verksamhet
Kommuner, regioner och myndigheter behöver förena innovation med rättssäkerhet, offentlighet, likabehandling, dataskydd och politiskt ansvar. Det gör styrningen mer krävande, inte mindre.
Digg och IMY rekommenderar bland annat AI-policy, förberedelser inför AI-förordningen, tydlig mänsklig kontroll, riskbedömning, informationssäkerhet och medvetna anskaffningsbeslut. Riktlinjerna bör byggas in i ordinarie ledningssystem och inte hanteras som ett fristående teknikspår.
Ledningens kontrollfrågor
- Koppling till nämndens eller myndighetens uppdrag
- Rättssäkerhet och likabehandling i konsekvensanalysen
- Hantering av allmänna handlingar och sekretess
- Samverkan mellan verksamhet, juridik, säkerhet och IT
- Transparens mot invånare, medarbetare och beslutsfattare
Myndighetskällor
Juridik och myndighetsvägledning utvecklas. Kontrollera alltid aktuella krav i primärkällorna inför beslut.
- Digg och IMY: Riktlinjer för generativ AI i offentlig förvaltning
- IMY: Vägledning om GDPR och AI
- Europeiska kommissionen: AI-förordningen och tillämpning
- EUR-Lex: Förordning (EU) 2024/1689
Senast redaktionellt kontrollerad: 26 juli 2026. Sidan utgör inte juridisk rådgivning.
Behöver ni en strukturerad start?
Använd självdiagnosen för att identifiera styrningsluckor eller kontakta Peter för att diskutera ett kontrollerat första steg.