Amerikansk AI i offentlig sektor – vad gäller?
Det finns inget generellt förbud – svenska myndigheter använder redan amerikanska molntjänster. Men beslutet måste bygga på en dokumenterad riskvärdering: var sker lagring och inferens, vilken överföringsmekanism gäller och vad händer vid en amerikansk myndighetsbegäran. För högrisksystem enligt AI-förordningen krävs dessutom en konsekvensbedömning för grundläggande rättigheter före idriftsättning.
Svenska myndigheter står i en klämma: medborgarna förväntar sig digital service i världsklass, de starkaste AI-modellerna kommer från amerikanska leverantörer – och förvaltningen lyder under regler som ställer högre krav än de flesta privata verksamheter möter. Frågan är inte om amerikansk AI får användas. Frågan är vad som krävs för att ett ja ska hålla för granskning.
Vittnesmålet som ramar in risken
Den mest citerade händelsen i debatten kom från Frankrike. Under en utfrågning i franska senaten bekräftade en företrädare för Microsoft Frankrike, under ed, att företaget inte kan garantera att europeiska kunders data skyddas mot amerikanska myndighetsbegäranden. I samma vittnesmål konstaterades att en sådan begäran mot deras europeiska offentliga kunder aldrig hade inträffat.
Det är exakt den riskbild en myndighet måste värdera öppet: sannolikheten framstår som låg, konsekvensen kan vara hög, och garantier finns inte. En riskvärdering som låtsas att något av de tre leden inte existerar – åt något håll – håller varken för intern styrning eller extern granskning. Skriv ner båda halvorna av vittnesmålet i beslutsunderlaget och värdera dem mot uppgifternas känslighet.
Offentlig sektor har extra skyldigheter
Utöver GDPR:s krav på laglig behandling och dokumenterade tredjelandsöverföringar bär offentliga aktörer skyldigheter som privata bolag slipper.
- FRIA före idriftsättning. AI-förordningens artikel 27 kräver att offentliga aktörer gör en konsekvensbedömning för grundläggande rättigheter innan ett högrisksystem tas i drift. Den ska finnas på plats innan systemet möter medborgare – inte efteråt.
- Offentlighet och spårbarhet. Beslut om leverantörsval och riskacceptans är allmänna handlingar. Anta att varje bedömning kommer att läsas av journalister, revisorer och tillsyn.
- Signalen från EU-nivån. EU:s egna institutioner har låtit granska sina molnavtal med amerikanska leverantörer och tvingats skärpa villkor och konfigurationer. Den granskningen är en användbar måttstock: ligger er konstruktion under den ribban behöver ni goda skäl.
Den dokumenterbara vägen till ett ja
Myndigheter som landat i ett hållbart ja brukar bygga beslutet på fyra konkreta komponenter:
| Komponent | Vad den innebär |
|---|---|
| EU-inferens som aktiv konfiguration | Databehandlingen sker i EU genom ett aktivt konfigurationsval som verifieras – inte genom ett antagande om standardinställningar |
| Kundkontrollerade nycklar | Kryptering där myndigheten kontrollerar nycklarna används där tjänsten erbjuder det, och begränsningen vid inferens dokumenteras ärligt |
| Komplett underbiträdeskarta | Alla underbiträden och deras roller är kartlagda, med bevakning av ändringar och rätt att invända |
| Icke-amerikansk reservväg | Ett utpekat alternativ för de känsligaste flödena som kan aktiveras om rättsläget eller villkoren ändras |
Ett scenario som visar logiken: en kommun vill införa en AI-assistent för medborgarservice. Den börjar med flöden byggda på öppen information – taxor, öppettider, ansökningsprocesser – där inga känsliga personuppgifter behandlas. Parallellt dokumenteras konfigurationen för EU-behandling, underbiträdeskartan upprättas och en europeisk reservväg identifieras för nästa steg, där ärendedata kan bli aktuell. Varje steg har sitt eget beslutsunderlag. När tillsynen frågar finns svaren på papper.
Vi på Weapp hjälper organisationer att bygga AI-lösningar där konfiguration, loggning och leverantörsval går att visa upp – det är oftast skillnaden mellan ett ja som håller och ett ja som rivs upp.
Rättsläget rör sig – datera beslutet
Överföringsmekanismerna mellan EU och USA har underkänts två gånger av EU-domstolen, och den nuvarande ordningen prövas löpande rättsligt. Det betyder inte att beslut ska skjutas upp i väntan på slutgiltig klarhet – den kommer inte. Det betyder att varje beslut ska vara daterat, bygga på namngivna rättskällor och leverantörsbesked, och ha en utpekad ägare som bevakar förändringar.
Praktiskt: lägg in en årlig omprövning i verksamhetsplaneringen, prenumerera på tillsynsmyndigheternas besked och skriv reservvägen så konkret att den kan aktiveras utan nytt utredningsår. En myndighet som kan visa när, på vilka grunder och med vilken beredskap beslutet fattades står stadigt även när omvärlden ändras. Hör av dig om ni vill ha stöd i att strukturera underlaget.
Vanliga frågor
Finns det ett förbud mot amerikanska AI-tjänster i offentlig sektor?
Nej. Det finns inget generellt förbud, och amerikanska molntjänster används redan brett i svensk förvaltning. Ansvaret ligger hos varje myndighet: behandlingen ska vara laglig, riskerna analyserade och dokumenterade, och känsliga uppgifter kan kräva särskilda skyddsåtgärder eller en annan väg.
Vad sade Microsoft i den franska senaten?
En företrädare för Microsoft Frankrike bekräftade under ed att företaget inte kan garantera att data skyddas mot amerikanska myndighetsbegäranden – samtidigt som en sådan begäran mot deras europeiska offentliga kunder enligt samma vittnesmål aldrig hade inträffat. Båda delarna hör hemma i en ärlig riskvärdering.
Vad är en FRIA och när krävs den?
FRIA är en konsekvensbedömning för grundläggande rättigheter enligt AI-förordningens artikel 27. Offentliga aktörer ska genomföra den innan ett högrisksystem tas i drift. Den kompletterar GDPR:s konsekvensbedömning och fokuserar på hur systemet kan påverka enskildas rättigheter.
Räcker det att data lagras i ett EU-datacenter?
Nej, inte i sig. Amerikanska leverantörer kan omfattas av amerikansk lagstiftning som CLOUD Act oavsett var datacentret står. Lagring i EU är en viktig komponent, men den måste kombineras med analys av rättslig åtkomst, kundkontrollerade nycklar där det går och en dokumenterad överföringsbedömning.
Vad menas med en icke-amerikansk reservväg?
Att myndigheten pekar ut ett alternativ – en europeisk leverantör eller egen driftmiljö – som de känsligaste flödena kan flyttas till om rättsläget eller villkoren ändras. Reservvägen behöver inte vara likvärdig i funktion, men den ska vara identifierad, testad i liten skala och möjlig att aktivera.