AI-förordningen i praktiken – handlingsplan för arbetsgivare

AI-förordningen ställer inte bara abstrakta krav - den har konkreta skärningspunkter med svensk arbetsrätt, diskrimineringslag och GDPR. Arbetsgivaren bär alltid det fulla ansvaret för AI-systemens effekter, aldrig leverantören.

Brief 1 täcker det rättsliga ramverket: riskpyramiden, förbjudna praktiker, tidslinjer och sanktioner. Den här briefen förutsätter att du läst den.

Gränssnittet mot svensk arbetsrätt

MBL och fackligt inflytande

Art. 26(7) kräver att arbetsgivare informerar arbetstagarrepresentanter innan högrisk-AI tas i bruk. I Sverige förstärks detta av MBL:

• 11 § MBL - primär förhandlingsskyldighet. Att införa högrisk-AI för rekrytering, schemaläggning eller utvärdering är en "viktigare förändring" som kräver att arbetsgivaren på eget initiativ kallar till förhandling med facket innan systemet driftsätts.
• 19 § MBL - löpande informationsskyldighet. Arbetsgivaren ska fortlöpande hålla facket informerat om verksamhetens utveckling, inklusive pågående AI-användning.
• "MBL Deluxe" - medbestämmande 2.0. Unionen har artikulerat att AI-revolutionen kräver en uppgradering av det fackliga inflytandet: djup, transparent och jämlik dialog om hur AI förändrar arbetsorganisationen - inte en administrativ formalitet. Centrala frågor: vilka arbetsuppgifter försvinner, vilka tillkommer, och vilka omställningsprogram behövs.

Diskrimineringslagen och algoritmisk bias

ML-algoritmer tränade på historisk data reproducerar och förstärker diskriminering. Sveriges sju diskrimineringsgrunder gäller fullt ut: kön, etnicitet, religion, funktionsnedsättning, sexuell läggning, ålder och könsöverskridande identitet eller uttryck.

AI-förordningens transparens- och loggningskrav blir i praktiken verktyg för att uppfylla diskrimineringslagens mål: arbetsgivaren ska genom aktiv dokumentation kunna visa att träningsdata och algoritmens parametrar kontinuerligt granskas ur ett diskrimineringsperspektiv.

GDPR-överlappning: FRIA och DPIA

Nästan all HR-användning av AI innebär personuppgiftsbehandling - GDPR gäller fullt ut och har rättslig företrädesrätt vid konflikt.

• FRIA (Art. 27). AI-förordningen kräver en konsekvensbedömning för grundläggande rättigheter innan högrisk-system driftsätts. Art. 27 tillåter att FRIA integreras i en befintlig DPIA (GDPR Art. 35) för att undvika dubbelarbete.
• GDPR Art. 22 och AI-assisterade beslut. GDPR ger individer rätt att inte bli föremål för helt automatiserade beslut. AI-förordningen utökar transparenskraven även till beslut där AI fungerar som beslutsstöd - inte bara vid full automatisering.
• AI Office-mallar. Det europeiska AI-kontoret ska ta fram förenklade mallar för att underlätta FRIA-processen.

Mänsklig kontroll - mer än en formalitet

Art. 14 kräver att alla högrisk-system har ett människa-maskin-gränssnitt för realtidsövervakning. Den utsedda beslutsfattaren - en senior HR-ansvarig, rekryterare eller chef - måste uppfylla fem kriterier:

1. Fullt förstå systemets kapacitet och begränsningar.
2. Vara medveten om sin egen automationsbias - tendensen att okritiskt lita på maskinens rekommendation.
3. Kunna tolka statistiska resultat i rätt kontext.
4. Ha full frihet att ignorera, åsidosätta eller reversera AI:ns rekommendationer.
5. Ha befogenhet att omedelbart stoppa systemet.

Datakvalitet och loggning

• Strikta krav på indata. Om arbetsgivaren kontrollerar träningsdata gäller extremt höga krav: hög kvalitet, relevant för ändamålet, statistiskt representativ och rensad från strukturella bias.
• Automatisk loggning. HR-systemens aktiviteter ska loggas automatiskt för full spårbarhet bakåt i tiden.
• Rekommenderad lagringstid: minst 6 månader. Baserat på arbetsrättsliga preskriptionstider i Sverige. Loggar, dokumentation och mänskliga beslut ska kunna granskas vid en DO-anmälan.

Sexstegsplanen - konkreta åtgärder

1 Kartläggning och riskanalys

• AI-audit. Inventera varje programvara med AI/ML i HR-flödet: ATS-system, personlighetstester, videointervjuplattformar, schemaläggningsverktyg, övervakningssystem.
• Klassificera efter risknivå. Enkelt verktyg för annonsutkast = minimal risk. Algoritmisk CV-screening eller prestationsprediktion = högrisk.
• Avveckla förbjudna system omedelbart. Känsloigenkänning, biometrisk kategorisering och social poängsättning har varit olagligt sedan 2 februari 2025.

2 Leverantörsstyrning

• Omförhandla SaaS-avtal. Standardavtal räcker inte längre. Kräv avtalat ansvar för diskriminerande utfall.
• Kräv algoritmisk transparens. Leverantören ska redovisa algoritmisk logik, träningsdata, oberoende bias-tester samt teknisk dokumentation om precision, robusthet och cybersäkerhet.
• Uppdatera personuppgiftsbiträdesavtal. Klausuler som tvingar leverantören att bistå med teknisk information för DPIA och FRIA.

3 AI-läskunnighet

• Rollspecifik utbildning. En rekryterare behöver annan fördjupning i bias i ansökningsdata än en löneadministratör.
• Träning mot automationsbias. Alla som fattar beslut baserat på AI ska regelbundet tränas i att kritiskt granska maskinens rekommendationer - och ges mandat och psykologisk trygghet att ifrågasätta dem.
• Intern AI-policy. Tydliga riktlinjer för vad medarbetare får göra med publika AI-tjänster - särskilt att känsliga uppgifter, CV:n eller affärshemligheter aldrig ska klistras in i öppna AI-chattar.

4 Konsekvensanalyser (FRIA och DPIA)

• Operativ process för FRIA. Bygg en rutin för hur konsekvensbedömningen formellt initieras, genomförs med skyddsombudens medverkan och dokumenteras - innan licenser upphandlas.
• Synkronisera med GDPR. Samordna FRIA med den befintliga DPIA-processen som dataskyddsombudet hanterar (GDPR Art. 35) för att undvika dubbelarbete.

5 AI Governance och facklig samverkan

• Tvärfunktionell styrgrupp. Utse personligt ansvar för regelefterlevnad. Många företag inrättar AI-råd bestående av HR, IT, juridik och fack som löpande granskar etik och effektivitet.
• Uppdatera information till kandidater och anställda. Integritetspolicyer, kandidatportaler och anställningsavtal ska tydligt ange när, hur och varför AI används.
• Designa process för rätten till förklaring. Standardiserade rutiner och kommunikationsmallar för att snabbt och korrekt besvara förfrågningar enligt Art. 86.
• Inled MBL § 11-förhandlingar tidigt. Öppen och transparent dialog ("MBL Deluxe") där algoritmernas inverkan på arbetsmiljö, sysselsättning och produktivitet diskuteras. Förbered underlag i nära samarbete med huvudskyddsombud.

6 Löpande övervakning och bias-tester

• Livslång mjukvaruuppföljning. AI-system är inte statiska - de drabbas av "data drift" där prestanda och urvalsparametrar förskjuts. Det är arbetsgivarens ansvar att övervaka systemet kontinuerligt.
• Bias-revisioner minst årligen, helst halvårsvis. Testa statistiskt om urvalssystem oavsiktligt börjat gynna eller filtrera bort vissa demografiska grupper. Vid identifierad bias: omedelbar rekalibrering eller avstängning.
• Bevara alla loggar. Maskin- och beslutsloggar från samtliga bedömningsärenden ska lagras i ordning i enlighet med lagkrav.

Svensk tillsynsstruktur

Utredning pågår om exakt vilka myndigheter som blir behöriga. Den sannolika ansvarsfördelningen: