Visselblåsare och AI på jobbet: när skyddet gäller och hur du rapporterar
Du ser kollegor klistra in kunduppgifter i ett AI-verktyg som inte är godkänt, eller ett system som ska läsa av anställdas känslor från röst eller ansiktsuttryck. Är det ett missförhållande som visselblåsarlagen skyddar, eller ett missnöje med AI-policyn som hör hemma hos chefen? Svaret avgör vilken kanal du väljer och vad du ska skriva ner först.
AI-förordningen kopplar in visselblåsardirektivet
AI-förordningen innehåller ingen egen visselblåsarordning. Den hänvisar i stället till EU:s visselblåsardirektiv. Artikel 87 i den officiella svenska texten är en enda mening:
”Direktiv (EU) 2019/1937 ska tillämpas på rapportering av överträdelser av denna förordning och skydd för personer som rapporterar sådana överträdelser.”
Skäl 172 ger motiveringen: ”Personer som agerar som visselblåsare när det gäller överträdelser av denna förordning bör skyddas enligt unionsrätten.” Förordningen ska i huvudsak tillämpas från den 2 augusti 2026 enligt artikel 113. Kommissionens AI Act Service Desk återger samma hänvisning till visselblåsardirektivet.
Var försiktig med sammanfattningar som återger artikel 87 i flera numrerade stycken. Den officiella lydelsen har inga stycken. Det du behöver veta är alltså vilket skydd direktivet ger, och i Sverige är direktivet genomfört i lag (2021:890) om skydd för personer som rapporterar om missförhållanden.
Två spår in i lagen: allmänintresse och unionsrätt
Enligt 1 kap. 2 § gäller lagen rapportering i ett arbetsrelaterat sammanhang av två slags missförhållanden:
- Missförhållanden som det finns ett allmänintresse av att de kommer fram. Lagtexten definierar inte begreppet närmare.
- Handlande eller underlåtenhet som strider mot unionsrätt inom direktivets tillämpningsområde. Genom artikel 87 hör AI-förordningen dit. Dataskyddsförordningen finns uttryckligen i direktivets bilaga, under området skydd av privatlivet och personuppgifter.
Lagen skyddar inte bara anställda. Kretsen omfattar bland annat arbetssökande, praktikanter, inhyrd personal, egenföretagare på uppdrag och den som tidigare har arbetat i verksamheten (1 kap. 8 §). Uppräkningen här är ett urval.
Tre exempel: missförhållande eller missnöje?
Exemplen är påhittade och ingen bedömning av ett verkligt fall. De visar hur frågan kan sorteras innan du väljer väg.
- Personuppgifter i ett ej godkänt verktyg. En avdelning laddar regelbundet upp kundlistor med personnummer i en privat AI-tjänst trots att it-avdelningen har sagt nej. Här kan det handla om dataskyddsförordningen, och då ligger frågan inom unionsrättsspåret.
- Känsloanalys av anställda. Ledningen inför ett system som ska uttyda medarbetarnas känslor från deras röster i kundsamtal. Artikel 5.1 f i AI-förordningen förbjuder AI-system för att uttyda en fysisk persons känslor på arbetsplatsen, utom av medicinska skäl eller säkerhetsskäl. Förbudet avser känsloigenkänningssystem som enligt artikel 3.39 bygger på biometriska uppgifter, till exempel röstegenskaper eller ansiktsuttryck. Ren analys av samtalets text omfattas inte automatiskt av just det förbudet. Ett sådant system kan alltså vara en överträdelse som omfattas. Om det också rör övervakning och din rätt till insyn, läs artikeln om AI-övervakning på jobbet.
- Du tycker att fel verktyg valdes. Arbetsplatsen har bytt till en AI-assistent som du anser är sämre än den förra. Det är en legitim synpunkt, men ett verktygsval i sig pekar sällan mot ett allmänintresse eller en överträdelse av unionsrätt. Ta det med chefen, i arbetsplatsträffen eller via facket. Om beslutet ännu inte är fattat ger artikeln om MBL och AI vägen till förhandling.
Gränsen mellan exempel 1 och 3 är inte alltid skarp. Om du är osäker, prata med facket eller en jurist innan du rapporterar. Samrådet med din arbetstagarorganisation är i sig skyddat mot repressalier (3 kap. 2 §).
Villkoren för skyddet
Enligt 4 kap. 1–3 §§ gäller skyddet om tre förutsättningar är uppfyllda:
- Missförhållandet finns i den verksamhet där du arbetar, har arbetat eller kan komma att arbeta, eller i en annan verksamhet som du har kommit i kontakt med genom jobbet.
- Du hade, när du rapporterade, skälig anledning att anta att informationen var sann. Det krävs inte att du har rätt i efterhand, men du ska ha grund för det du skriver.
- Rapporteringen sker internt, externt eller genom offentliggörande på det sätt lagen anger.
Det tredje villkoret gör att valet av kanal inte är en formalitet. Fel ordning kan påverka om skyddet gäller.
Intern eller extern kanal
Intern kanal. En verksamhetsutövare som hade 50 eller fler arbetstagare vid kalenderårets ingång ska ha interna rapporteringskanaler (5 kap. 2 §). Du ska kunna rapportera skriftligt och muntligt och, om du begär det, vid ett fysiskt möte. Du ska få en bekräftelse inom sju dagar och återkoppling i skälig utsträckning inom tre månader från bekräftelsen. Om ingen bekräftelse lämnats och det inte beror på dig, räknas fristen från sju dagar efter mottagandet. Det finns vissa undantag från kravet på bekräftelse (5 kap. 8 §). Kollektivavtal kan innehålla avvikelser från kanalreglerna. Saknas kanal, eller uppfyller den inte lagens krav, skyddas du ändå om du rapporterar internt på annat sätt, till exempel till din chef (4 kap. 5 §).
Extern kanal. Externa kanaler finns hos de myndigheter som regeringen har utsett som behöriga inom ett visst ansvarsområde (6 kap. 1 §). Arbetsgivare med intern kanal ska informera tydligt om hur du rapporterar både internt och till behöriga myndigheter (5 kap. 9 §). Börja därför i arbetsgivarens visselblåsarinformation för att se vilken myndighet som gäller för ditt område. Vi anger här ingen särskild myndighet för AI-förordningen. Du kan gå direkt till en extern kanal utan att först rapportera internt (4 kap. 6 §).
Offentliggörande, till exempel att gå ut i sociala medier, skyddas av den här lagen bara under strängare villkor: bland annat att en extern rapport inte har lett till skäliga uppföljningsåtgärder eller återkoppling inom tre månader (sex vid särskilda skäl), eller att det finns en överhängande fara eller risk för repressalier (4 kap. 9 §). Tryckfrihetsförordningen och yttrandefrihetsgrundlagen har egna regler om rätten att lämna uppgifter till medier (1 kap. 5 §). Ta rådgivning innan du väljer den vägen.
Dokumentera rätt – utan att sprida personuppgifter
En typisk fälla i AI-fall är att försöka bevisa en dataläcka genom att själv kopiera datan. Ansvarsfriheten för åsidosatt tystnadsplikt förutsätter att du vid rapporteringen hade skälig anledning att anta att rapporteringen var nödvändig för att avslöja missförhållandet. Vissa kvalificerade tystnadsplikter är undantagna, och ansvarsfriheten ger ingen rätt att lämna ut handlingar (2 kap. 1–2 §§). Den som begår brott när informationen inhämtas har inte skydd (2 kap. 4 § och 3 kap. 3 §). Skaffa dig därför ingen åtkomst du inte redan har, och ta inga skärmbilder av kunduppgifter.
Skriv i stället ner detta, så snart som möjligt:
- Datum, tid och plats för det du själv har sett eller hört.
- Vilket verktyg eller system det gäller, och om det är godkänt enligt arbetsplatsens policy.
- Vilken kategori av uppgifter som berördes, till exempel ”kundlistor med personnummer”, inte uppgifterna i sig.
- Vem som fattade beslutet eller känner till användningen, beskrivet med roll.
- Den policy, instruktion eller det beslut du jämför med, med datum eller dokumentnamn.
- Vad du redan har gjort, till exempel att du tog upp saken med chefen och vilket svar du fick.
Mottagaren av en rapport får inte samla in personuppgifter som uppenbart saknar relevans (7 kap. 7 §), och i privat verksamhet får den som hanterar ärendet inte obehörigen röja din identitet. I offentlig verksamhet gäller i stället offentlighets- och sekretesslagen (9 kap. 1–2 §§). En kort rapport med kategorier i stället för rådata gör det lättare för mottagaren att följa reglerna – och skyddar kollegor och kunder.
Om du drabbas efteråt
Arbetsgivaren får inte hindra rapportering eller vidta repressalier på grund av den, varken mot dig, mot den som bistår dig, som en förtroendevald eller ett skyddsombud, eller mot en kollega med koppling till dig (3 kap. 1 §). Bryter arbetsgivaren mot förbuden ska skadestånd betalas, men det kan sättas ned (3 kap. 4 §). Om du visar omständigheter som ger anledning att anta repressalier, är det arbetsgivaren som ska visa att sådana inte har vidtagits (3 kap. 5 §).
Tvister handläggs som arbetstvister, och lagen hänvisar till tidsfristerna i medbestämmandelagen (3 kap. 8 §). Vänta därför inte: kontakta facket eller en jurist så fort du märker en förändring som kan hänga ihop med din rapport. Den här artikeln är allmän information och ingen juridisk rådgivning i ditt enskilda fall.
Frågan om vem som bär ansvaret när ett AI-system gör fel är en annan än frågan hur du rapporterar. Den behandlas i artikeln om ansvar när AI-agenten gör fel.
Källor och metod
Lagtexterna är lästa i officiell lydelse:
- EUR-Lex: förordning (EU) 2024/1689 (AI-förordningen), artikel 3.39, 5.1 f, 87 och 113 samt skäl 172 (öppnas i ny flik) – citaten och tillämpningsdatumet.
- AI Act Service Desk: artikel 87 (öppnas i ny flik) – hänvisningen till visselblåsardirektivet.
- Sveriges riksdag: lag (2021:890) om skydd för personer som rapporterar om missförhållanden (öppnas i ny flik) – tillämpningsområde, villkor, kanaler, skydd och dokumentation.
- EUR-Lex: direktiv (EU) 2019/1937 (visselblåsardirektivet), artikel 2 och bilagan (öppnas i ny flik) – att dataskyddsförordningen omfattas.
Arbetsplatsexemplen och dokumentationslistan är redaktionella tillämpningar. Artikeln namnger ingen myndighet för rapporter om AI-förordningen och ger ingen juridisk rådgivning i enskilda fall.