En kvinna söker ett lån och får avslag. Banken använder ett AI-system som stöd för att bedöma hennes återbetalningsförmåga. Beskedet är att risken är för hög. Hon vill veta vad bedömningen bygger på. Finns det en gammal uppgift som blivit fel? Har hennes ekonomi förändrats på ett sätt som systemet inte fångar?
Det är ett tänkt exempel. Banken kan ha skyddat hennes uppgifter väl. Ingen obehörig behöver ha läst dem. Ändå behöver hon kunna få svar på frågorna.
Vi diskuterar ofta integritet när uppgifter läcker. Men information kan vara skyddad mot intrång och ändå användas för långtgående kartläggning. Det spelar därför roll vilka slutsatser som dras av uppgifterna och vad slutsatserna får användas till.
När AI används för att bedöma människor behöver det finnas gränser för hur kunskapen om dem får användas och möjligheter att invända när något blir fel.
Det är här Integritetsskyddsmyndigheten, IMY, har sitt uppdrag. Myndigheten arbetar för att människors grundläggande fri- och rättigheter skyddas när personuppgifter behandlas. Den granskar efterlevnaden av bland annat GDPR och brottsdatalagen och har tillsynsuppgifter inom kamerabevakning och kreditupplysning. IMY ger också vägledning och bidrar med kunskap när nya regler utformas. IMY:s uppdrag.
AI gör frågorna mer angelägna genom möjligheten att dra slutsatser ur stora datamängder. En registrerad inkomst är en uppgift. En beräknad sannolikhet för betalningssvårigheter är en slutsats som modellen har dragit. Den bygger på underlag och antaganden som behöver kunna granskas.
Bedömningar av det slaget kan hjälpa verksamheter att fatta bättre beslut och upptäcka bedrägerier. Men ett system kan fungera väl i genomsnitt och ändå ge ett missvisande resultat för en viss person. För den som drabbas av felet är genomsnittlig träffsäkerhet ett begränsat skydd.
Det gäller också när uppgifterna i underlaget är korrekta. Då kan frågan vara om de har tolkats rimligt eller fått för stor betydelse. Att rätta ett felstavat namn löser inte en felaktig bedömning av personens situation.
Under 2026 prioriterar IMY AI i offentlig sektor, barn och unga samt brottsbekämpning. Områdena ställer olika krav på skydd: kontakten med en myndighet kan vara svår att välja bort, barn kan ha svårt att förstå behandlingen och brottsbekämpande verktyg kan innebära stora intrång i privatlivet. IMY:s prioriteringar 2026.
Den som blir bedömd behöver kunna förstå vad som påverkat resultatet och hur det kan ifrågasättas.
GDPR har särskilda regler för beslut som enbart bygger på automatiserad behandling och får rättsliga eller liknande betydande följder. Huvudregeln är att en person har rätt att inte bli föremål för sådana beslut, men undantag finns. IMY:s vägledning beskriver också krav på information som hjälper den berörda att förstå ett automatiserat beslut och ta tillvara sina rättigheter. IMY om automatiserat beslutsfattande.
Den praktiska kontrollen behöver granskas även när AI används som beslutsstöd. Att en handläggare formellt fattar beslutet säger inte hur självständig granskningen är. Har personen tid att undersöka underlaget? Går det att förstå varför modellen föreslår ett visst resultat? Finns mandat att göra en annan bedömning?
Ett namn i en beslutslogg besvarar inte de frågorna.
Detsamma gäller beskedet till kvinnan som söker lånet. Att få veta att en modell räknat fram en hög risk är en begränsad förklaring. Hon behöver kunna förstå vilka uppgifter som påverkat bedömningen och vart hon ska vända sig för att få saken granskad.
IMY arbetar också med frågor som uppstår innan systemen tas i bruk. I myndighetens innovationssandlåda kan verksamheter få fördjupad vägledning om hur planerade lösningar förhåller sig till dataskyddsreglerna. Det ger möjlighet att undersöka svåra frågor medan utformningen fortfarande går att ändra. IMY om vägledning och stöd.
Då kan verksamheten tidigt ta ställning till vilka uppgifter som behövs, vilka slutsatser som får påverka besluten och hur en bedömning ska kunna granskas. Det är svårare att ordna i efterhand om ingen har sett till att underlaget går att följa.
För kvinnan i exemplet behöver banken kunna förklara hur uppgifterna har använts och hantera hennes invändningar. Att modellen kommer från en extern leverantör får inte bli ett skäl att lämna henne utan svar.
Vi på AE tycker
AI-system som bedömer människor bör utformas så att den berörda kan förstå vilka uppgifter och slutsatser som påverkar henne, rätta fel och få betydande beslut granskade. Skyddet behöver fungera även för den som saknar tekniska eller juridiska kunskaper.
IMY:s tillsyn och vägledning har en viktig roll. Ansvaret ligger också hos dem som beställer, bygger och använder systemen. Teknisk förmåga att bedöma människor behöver följas av tydliga gränser för när och hur den får användas.
Johan Hägerström
Chefredaktör och skribent för Artificiell Existens.
