VEM BÄR ANSVARET NÄR AI-AGENTEN GÖR FEL PÅ JOBBET?
En AI-agent med tillgång till mejl, filer eller ett system fattar ett felaktigt beslut eller skickar något som inte borde ha skickats. Chefen frågar vem som bär ansvaret, och svaret blandas ofta ihop: AI-förordningens regler om leverantör och tillämpare är inte samma sak som frågan om vem som betalar skadestånd. Den här artikeln reder ut de två lagren och visar vad som redan gäller i Sverige idag.
Vad den här artikeln är till för
Artikeln är skriven för chefer, HR, systemägare och andra som ansvarar för AI-agenter i en svensk organisation — verktyg som inte bara svarar på frågor utan agerar: skickar mejl, ändrar filer, uppdaterar system eller fattar mindre beslut på egen hand. Den ger en allmän karta över vilka regelverk som är inblandade när något går fel. Den är inte en juridisk bedömning av ett enskilt fall; ett verkligt ansvarsspörsmål avgörs alltid konkret och bör vid behov bedömas av den som har juridisk kompetens i organisationen.
Två helt olika frågor döljer sig i "vem bär ansvaret"
Fråga ett: vem måste följa vilka regler för att AI-agenten ska få användas alls? Det är en regulatorisk fråga, och det är AI-förordningen som svarar på den. Den kan leda till tillsyn och sanktionsavgifter från en myndighet, men den betalar ingen ersättning till den som drabbats.
Fråga två: vem betalar om agentens fel orsakar en verklig skada — en felaktig faktura som skickats, en uppgift som läckt, en kund som blivit felaktigt hanterad? Det är en civilrättslig skadeståndsfråga, och den avgörs inte av AI-förordningen alls. Den avgörs av annan lag, och i Sverige är den lagen redan på plats och äldre än AI som teknik.
Att blanda ihop de två frågorna är den vanligaste missuppfattningen i det här ämnet: en organisation som är fullt compliant med AI-förordningen kan ändå vara skadeståndsskyldig, och tvärtom.
AI-förordningens roller: leverantör och tillämpare
AI-förordningen skiljer på leverantör — den som utvecklar eller låter utveckla ett AI-system och släpper ut det på marknaden i eget namn — och tillämpare — den som använder ett AI-system under egen auktoritet i sin verksamhet. En organisation som köper eller licensierar en AI-agent och sätter den i arbete är normalt tillämpare, inte leverantör, av det systemet.
Gränsen kan flytta sig: en tillämpare som väsentligt modifierar systemet eller släpper ut det under eget varumärke kan räknas om till leverantör och ärver då leverantörens tyngre skyldigheter. För de flesta arbetsplatser som använder en färdig AI-agent från en extern leverantör gäller ändå tillämpar-rollen.
Tillämparens skyldigheter — men bara för högrisksystem
För AI-system som är klassade som högrisk enligt förordningen ska tillämparen bland annat använda systemet enligt bruksanvisningen, utse mänsklig tillsyn till personal med rätt kompetens och befogenhet, informera berörda arbetstagare om att systemet används, och — där tillämparen kontrollerar loggarna — bevara de automatiskt genererade loggarna i minst sex månader, om inte annan lagstiftning kräver längre tid.
Det här villkoret är viktigt att läsa noga: skyldigheterna gäller uttryckligen högriskklassade system. En AI-agent som utkast till mejl, sammanfattar dokument eller sorterar en inkorg är inte automatiskt högrisk bara för att den agerar självständigt. Om er organisation inte vet vilken klass en viss AI-agent tillhör är det själva första frågan att reda ut — inte en detalj att skjuta upp.
Det finns inget EU-gemensamt AI-ansvar
EU-kommissionen lade 2022 fram ett förslag till ett särskilt AI-ansvarsdirektiv, tänkt att harmonisera civilrättsligt skadeståndsansvar för AI-orsakad skada mellan medlemsländerna. Förslaget fick aldrig igenom förhandlingarna. Det listades för återkallande i kommissionens arbetsprogram för 2025, presenterat den 11 februari 2025, på grund av utebliven enighet mellan medlemsländerna — och återkallelsen publicerades formellt i Europeiska unionens officiella tidning den 6 oktober 2025.
Konsekvensen är enkel att missa men viktig: det finns idag inget särskilt EU-harmoniserat regelverk för vem som bär det civilrättsliga skadeståndsansvaret när ett AI-system orsakar skada. Den frågan avgörs av vanlig nationell rätt — i Sverige, av skadeståndslagen, precis som för alla andra verktyg en anställd använder i sitt arbete.
Arbetsgivaren bär redan ansvaret — det är inte en AI-fråga
Enligt 3 kap. 1 § skadeståndslagen (1972:207) ska den som har arbetstagare i sin tjänst ersätta person- eller sakskada som arbetstagaren vållar genom fel eller försummelse i tjänsten. Ansvaret är strikt: det gäller även om arbetsgivaren själv inte gjort något fel, så länge skadan har samband med arbetet. Den anställda själv blir enligt 4 kap. 1 § skadeståndslagen skadeståndsskyldig bara om det finns synnerliga skäl — i praktiken en hög tröskel.
Det här är inte en ny regel skriven för AI. Den gäller lika för en AI-agents fel som för alla andra misstag en anställd gör i tjänsten: skickar fel mejl med ett vanligt verktyg, matar in fel siffra i ett kalkylblad, eller låter en AI-agent skicka något som inte borde ha skickats. Om handlingen skedde i tjänsten är utgångspunkten att arbetsgivaren — inte den enskilda medarbetaren — bär det ekonomiska ansvaret gentemot den drabbade.
Framtida produktansvar — en annan fråga än en anställds misstag
Ett tredje regelverk är på väg men inte här än. Det reviderade produktansvarsdirektivet (EU) 2024/2853 trädde i kraft den 8 december 2024 och ska vara genomfört i svensk rätt senast den 9 december 2026. Det gäller uttryckligen produkter — inklusive programvara och AI-system — som släpps ut på marknaden eller tas i bruk efter det datumet, under strikt ansvar för tillverkaren eller leverantören.
Det här regelverket svarar på en annan fråga än den här artikeln: är själva AI-produkten defekt — till exempel om den beter sig farligt fel på ett sätt leverantören borde ha förhindrat — snarare än att en anställd använt ett i grunden fungerande verktyg på ett sätt som gick fel. Håll isär de två: ett defekt verktyg är leverantörens problem enligt produktansvar; en anställds felaktiga användning av ett fungerande verktyg är arbetsgivarens ansvar enligt skadeståndslagen, som redan gäller idag.
Bygg spårbarheten innan ni behöver den
Ansvarsfrågan avgörs ofta av vad som faktiskt går att visa i efterhand, inte bara av vem som formellt bär ansvaret. Oavsett om er AI-agent räknas som högrisk eller inte är fyra saker värda att ha på plats innan något går fel:
- Ett dokumenterat uppdrag. Vad agenten får och inte får göra, och vem som beslutade det.
- En namngiven ansvarig roll för att sätta upp, övervaka och vid behov stänga av agenten — inte "IT" i allmänhet.
- Loggar som faktiskt sparas. AI-förordningens sexmånadersgräns för högriskloggar är ett rimligt praktiskt golv att utgå från även för agenter som inte formellt är högrisk — det är svårt att utreda ett fel som ingen kan spåra.
- En känd eskaleringsväg. Vem som kontaktas, och hur snabbt, om agenten gör något oväntat.
Det här hänger ihop med hur ni redan bör begränsa en agents behörigheter i förväg — se AI-agentens behörigheter: skydda mejl och filer för hur gränserna sätts innan agenten sätts i drift. Den här artikeln handlar om vad som gäller när gränserna ändå inte räckte.
Vanliga frågor om AI-agenter och ansvar
Reglerar AI-förordningen vem som betalar skadestånd?
Nej. AI-förordningen fördelar regulatoriska skyldigheter mellan leverantör och tillämpare och kan leda till sanktionsavgifter från tillsynsmyndigheter. Den avgör inte vem som ska betala skadestånd till en drabbad person eller kund — det avgörs av annan lag.
Finns det ett särskilt EU-direktiv om AI-ansvar?
Nej, inte längre. EU-kommissionens förslag till ett särskilt AI-ansvarsdirektiv listades för återkallande i kommissionens arbetsprogram för 2025 och återkallelsen publicerades formellt i oktober 2025. Skadeståndsansvar för AI-orsakad skada avgörs i stället av nationell rätt.
Är det den anställda som blir skadeståndsskyldig om AI-agenten gör fel?
Normalt inte. Enligt 3 kap. 1 § skadeståndslagen bär arbetsgivaren ett strikt ansvar för skada som en anställd vållar genom fel eller försummelse i tjänsten. Den anställda blir personligen skadeståndsskyldig bara om det finns synnerliga skäl.
Källor och vidare läsning
- EUR-Lex: förordning (EU) 2024/1689 (AI-förordningen), artikel 3, 25 och 26 (öppnas i ny flik)
- Europaparlamentet: Legislative Train Schedule, AI Liability Directive (återkallad) (öppnas i ny flik)
- Sveriges riksdag: Skadeståndslag (1972:207), 3 kap. och 4 kap. (öppnas i ny flik)
- EUR-Lex: direktiv (EU) 2024/2853 (produktansvarsdirektivet) (öppnas i ny flik)
- AI-agentens behörigheter: skydda mejl och filer
- AI-agenter i praktiken