Molntjänster i offentlig sektor: IMY tar fram vägledning – tre frågor att förbereda nu
AI-assistenten i kontorspaketet, chattjänsten som handläggarna fått licens till, verktyget som transkriberar nämndens möten. Många av de AI-tjänster som kommuner, regioner och myndigheter använder levereras som molntjänster från en leverantör. Den 20 oktober 2026 meddelade Integritetsskyddsmyndigheten (IMY) att den tar fram en vägledning om hur offentlig sektor kan använda molntjänster på ett säkert sätt. Vägledningen finns inte än. Men IMY har berättat vad den frågar om, och det räcker för att ni ska kunna börja förbereda er.
Vad IMY meddelade den 20 oktober
IMY skriver att myndigheten tar fram en vägledning om molntjänster för att hjälpa offentlig sektor att använda dem på ett säkert sätt. Som en del av arbetet har IMY ställt frågor till 19 kommuner, regioner och statliga myndigheter om hur de använder molntjänster. Vilka organisationer det är, eller hur de fördelar sig mellan kommuner, regioner och myndigheter, framgår inte av nyheten.
Informationen som IMY hämtar in rör enligt nyheten bland annat tre områden:
- Informationsklassning – hur organisationen bedömer vilken information som får hanteras var.
- Molntjänstleverantörer i tredjeland – leverantörer utanför EU och EES.
- Exitstrategier – hur organisationen kan lämna en tjänst eller byta leverantör.
En avdelningschef på IMY säger i nyheten att användningen av molntjänster väcker viktiga frågor om både dataskydd, suveränitet och effektivitet, och att vägledningen ska ge offentlig sektor verktyg för att hantera utmaningarna på ett systematiskt och säkert sätt.
Vägledningen är enligt IMY planerad sedan tidigare och beräknas bli färdig under vintern. Något exakt datum anger IMY inte, och nyheten säger ingenting om vad vägledningen kommer att innehålla. Den ställer alltså inga nya krav i dag.
Varför IMY tar upp frågan nu
IMY förklarar att vägledningen tas fram i ljuset av regeringens molnpolicy och AI-strategi, men också mot bakgrund av ett föränderligt geopolitiskt läge och den pågående rättsutvecklingen i USA. Vilken rättsutveckling som avses preciserar IMY inte.
Regeringens molnpolicy publicerades den 29 maj 2026. Den är ett stöd, inte bindande regler: varje organisation gör enligt policyn en självständig bedömning och ansvarar själv för sin användning av molntjänster. För kommuner och regioner är policyn uttryckligen tänkt som stöd, eftersom deras skyldigheter beslutas av riksdagen. Policyn konstaterar också att molntjänster har fått stor betydelse för utvecklingen och användningen av AI.
Samma vecka kom en påminnelse om att frågan om var beräkningskraften finns också är politisk. Den 22 oktober 2026 meddelade regeringen att Skatteverket får befogenhet att ingå avtalet med det europeiska samarbetet EuroHPC Joint Undertaking. Sverige förbinder sig att köpa beräkningskraft för en nod i Sverige som knyts till en AI-gigafabrik i Finland, sammanlagt 50 miljoner euro under en femårsperiod. Kapaciteten ska enligt regeringen kunna användas av offentlig sektor och inom forskning och innovation. För den som i dag ska välja AI-tjänst ändrar det ingenting på kort sikt, men det visar riktningen: mindre beroende av leverantörer på andra kontinenter.
Tre frågor för varje AI-tjänst i molnet
IMY:s tre områden fungerar bra som en första inventering, oavsett vad vägledningen till slut säger. Gör en rad per AI-tjänst ni använder eller planerar att använda. Räkna med tjänster som köpts in centralt, licenser som enskilda förvaltningar har tecknat och funktioner som slagits på i befintliga system.
| Fråga | Vad ni skriver in | Underlag att leta fram |
|---|---|---|
| 1. Informationsklassning | Vilken information hanterar tjänsten i praktiken: personuppgifter, känsliga personuppgifter, uppgifter som kan omfattas av sekretess? Vilken klassningsnivå är tjänsten godkänd för, och vem har beslutat det? | Informationsklassningen för de verksamhetssystem och ärendetyper som tjänsten används till; eventuell riskbedömning eller konsekvensbedömning. |
| 2. Leverantör i tredjeland | Vilket bolag är avtalspart, och var finns moderbolag och underbiträden? Var lagras och behandlas uppgifterna? Vilken grund används om personuppgifter överförs utanför EU och EES? | Avtal och biträdesavtal, leverantörens lista över underbiträden, dokumentation om lagringsort och driftsort. |
| 3. Exitstrategi | Hur tar ni ut era data och inställningar om tjänsten upphör, blir för dyr eller inte längre får användas? Vad gör verksamheten under tiden? Vilka utträdesvillkor finns i avtalet? | Avtalets villkor om uppsägning och dataexport, en beskrivning av reservrutinen och vem som äger beslutet att avveckla. |
En tom ruta är också ett resultat. Den visar var ni behöver fråga leverantören, upphandlingsfunktionen eller dataskyddsombudet innan vägledningen kommer.
Det här säger molnpolicyn redan om samma frågor
Medan vägledningen tas fram finns regeringens molnpolicy att luta sig mot. Den har sex principer, och tre av dem motsvarar IMY:s områden ganska väl:
- Arbeta riskbaserat inför molnanvändning. Policyn säger att det är viktigt att den information som ska hanteras i en molntjänst är bedömd utifrån sitt skyddsvärde. Den påpekar också att företag i vissa länder enligt sina egna regelverk under vissa förutsättningar kan behöva lämna ut data till sina myndigheter, även när data lagras utanför landet, och att organisationerna behöver avgöra om en tjänst innebär överföring av personuppgifter utanför EU.
- Främja portabilitet. Det är enligt policyn viktigt att kunna flytta data och system till en annan leverantör eller till egen drift om det behövs. För tjänster där ni inte har tillgång till källkoden kan det behövas en strategi i förväg för hur tjänsten kan bytas ut, och avtalen bör innehålla villkor för utträde.
- Upprätthåll relevant kontroll över data, drift och teknik. Information med höga skyddsvärden och kritiska funktioner bör enligt policyn hanteras i lösningar där organisationen har hög rådighet. Policyn säger samtidigt att offentlig förvaltning även fortsättningsvis kan använda tjänster från företag utanför EU, med ett riskbaserat angreppssätt.
Det är en avvägning, inte ett förbud. Policyn öppnar för leverantörer utanför EU men lägger bedömningen på varje organisation. IMY:s frågor till de 19 organisationerna rör samma bedömningar.
Exempel: kommunen med två AI-tjänster
Exemplet är påhittat. En mellanstor kommun har slagit på AI-assistenten i sitt kontorspaket för alla tjänstepersoner och köpt en transkriberingstjänst till nämndsekreterarna. It-chefen och dataskyddsombudet fyller i tabellen.
För kontorsassistenten finns biträdesavtalet och leverantörens dokumentation på plats, men informationsklassningen täcker bara e-post och dokument i allmänhet. Ingen har bedömt vad som händer när socialtjänstens handläggare ber assistenten sammanfatta ett ärende. Raden visar att klassningen behöver brytas ned per förvaltning.
För transkriberingstjänsten är det tvärtom. Klassningen är gjord, men exitfrågan är tom: ljudfiler och utskrifter ligger bara hos leverantören och avtalet saknar villkor om export. Kommunen bestämmer att utskrifterna ska sparas i ärendesystemet och att exportvillkor ska in vid nästa förlängning.
Två rader, två olika luckor. Ingen av dem kräver att vägledningen är klar för att åtgärdas.
Att göra innan vägledningen kommer
- Lista AI-tjänsterna. Börja med de tjänster som flest medarbetare använder och de som rör känsliga ärenden.
- Fyll i de tre frågorna per tjänst. Använd tabellen ovan och skriv ner vem som har svarat.
- Prioritera luckorna. En tjänst med känslig information, leverantör i tredjeland och ingen exitplan går före en tjänst med öppna uppgifter.
- Ta in rätt kompetens. Frågor om sekretess och överföring till tredjeland avgörs med dataskyddsombud, jurist och informationssäkerhetsfunktion, inte i en tabell.
- Bevaka IMY under vintern. Jämför vägledningen med er inventering när den publiceras och justera.
Den här artikeln är allmän information och ingen juridisk rådgivning i ett enskilt fall.
Fördjupning på sajten
Varje fråga i tabellen har en egen sida som går djupare:
- Var era anrop faktiskt behandlas, och varför lagring och drift är två olika saker, går vi igenom i artikeln om lagringsort och driftsort för AI-anrop.
- Hur ni bygger en reservrutin när ett verktyg försvinner beskrivs i artikeln om plan B för AI-verktyg.
- Om promptar och svar i molnet blir allmänna handlingar utreds just nu. Läs artikeln om utredningen om AI, molntjänster och offentlighetsprincipen.
- Vad ett biträdesavtal med en AI-leverantör bör innehålla finns i artikeln om personuppgiftsbiträdesavtal för AI.
Källor och metod
IMY:s nyhet och regeringens pressmeddelande är lästa i sin helhet. Regeringens molnpolicy är läst i sin helhet i pdf-versionen; sammanfattningarna är våra.
- Integritetsskyddsmyndigheten: IMY tar fram vägledning om molntjänster i offentlig sektor, 20 oktober 2026 (öppnas i ny flik) – vägledningen, de 19 organisationerna, de tre områdena, citatet och att vägledningen beräknas bli färdig under vintern.
- Regeringen: En molnpolicy för Sverige, 29 maj 2026 (öppnas i ny flik) – policyns status som stöd, ansvaret för varje organisation, principerna 2.2.1, 2.2.4 och 2.2.5 och kopplingen till AI.
- Regeringen: Nästa steg i satsningen på europeiska AI-gigafabriker, 22 oktober 2026 (öppnas i ny flik) – noden i Sverige, kopplingen till Finland och åtagandet på 50 miljoner euro under fem år.
Tabellen, kommunexemplet och listan över vad som kan göras nu är redaktionella tillämpningar, inte IMY:s frågor eller kommande vägledning. Artikeln bedömer ingen namngiven organisation eller leverantör och ger ingen juridisk rådgivning i enskilda fall.