AI-upphandling i svensk offentlig sektor

AI har blivit ett av de hetaste områdena i offentlig upphandling. Från chatbotar i medborgarservice till beslutsstöd inom vård och rekrytering – svenska myndigheter upphandlar allt fler AI-lösningar. Samtidigt skärps regelverket: EU:s AI-förordning (AI Act) har trätt i kraft gradvis från 2024 och ställer höga krav på både utvecklare och användare. För leverantörer betyder det en marknad med enorm potential – men också ökade krav på teknisk och juridisk mognad.

Vad upphandlas inom AI?

Offentlig sektors AI-inköp spänner över flera användningsområden:

• Generativa språkmodeller – sammanställning av utredningar, svarsstöd i medborgarservice
• Beslutsstöd i vården – bildanalys för röntgen, triagelösningar, läkemedelsinteraktion
• Automatiserad ärendehantering – bidrag, skatteärenden, ansökningar
• Chatbotar och röstagenter – kommunal service, frågor och svar
• Prediktiva analyser – planering inom skola, socialtjänst, trafik
• Bildigenkänning – trafikövervakning, fastighetsinventering
• Cyberförsvar – hotdetektion, anomaliigenkänning

EU:s AI-förordning (AI Act)

EU:s AI-förordning (EU 2024/1689) är världens första omfattande AI-lagstiftning. Den trädde i kraft 1 augusti 2024 med gradvis tillämpning:

Riskklassificering

AI Act delar in AI-system i fyra risknivåer:

1. Oacceptabel risk (förbjudet)

• Socialt poängsystem
• Manipulativa system som utnyttjar sårbarheter
• Realtids biometrisk identifikation i offentliga rum (med undantag)
• Känsloavläsning på arbetsplatser och i skolor

2. Högrisk Används inom bland annat:

• Kritisk infrastruktur (energi, trafik)
• Utbildning (antagningar, bedömning)
• HR (rekrytering, utvärdering)
• Brottsbekämpning och migration
• Rättskipning

Kräver: riskhanteringssystem, datakvalitet, teknisk dokumentation, transparens, mänsklig översikt, noggrannhet, CE-märkning, registrering i EU:s AI-databas.

3. Begränsad risk

• Chatbotar: användare ska informeras att de pratar med AI
• Deepfakes: ska märkas som syntetiskt genererat innehåll

4. Minimal risk

• Spamfilter, rekommendationssystem i konsumentkontext
• Inga specifika krav, men god praxis rekommenderas

Skyldigheter för myndigheter

Myndigheter som användare av högrisk-AI ska enligt artikel 26:

• Använda systemet i enlighet med instruktionerna
• Säkerställa att indata är relevant och representativ
• Övervaka systemets drift och rapportera incidenter
• Säkerställa mänsklig översikt
• Utföra en konsekvensbedömning för grundläggande rättigheter (FRIA) enligt artikel 27 innan idrifttagning

Detta påverkar kravställandet i upphandlingen: myndigheten måste kunna dokumentera att systemet uppfyller alla krav innan de tar det i bruk.

Ytterligare tillämpliga regelverk

GDPR och personuppgifter

AI-system som behandlar personuppgifter omfattas av GDPR (EU 2016/679). Kraven är särskilt höga vid automatiserade beslut som har rättsliga följder för individer (artikel 22 GDPR). Läs vår artikel om GDPR och personuppgiftsbiträdesavtal.

NIS2 och cybersäkerhet

AI-system i samhällsviktig verksamhet omfattas av NIS2-direktivet (EU 2022/2555), implementerat i svensk cybersäkerhetslag. Läs vår artikel om cybersäkerhet och NIS2 i upphandling.

Diskrimineringslagen

Diskrimineringslagen (2008:567) gäller också för AI-baserade beslut. Bias i träningsdata som ger diskriminerande utfall är olagligt – oavsett teknisk orsak.

Vanliga krav i AI-upphandlingar

Baserat på aktuella svenska upphandlingar är återkommande krav:

Obligatoriska krav (skall-krav)

• CE-märkning och DoC (Declaration of Conformity) för högrisk-AI
• Riskhanteringssystem enligt ISO/IEC 23894 eller motsvarande
• Datalagring inom EU/EES
• Personuppgiftsbiträdesavtal (PUB)
• Dokumentation av träningsdata och urval
• Transparens: förklaring av beslutslogik
• Mänsklig översikt och möjlighet att överklaga beslut

Utvärderingskriterier

• Modellens noggrannhet (precision, recall, F1)
• Robustness mot adversarial attacks
• Förklarbarhet (explainable AI)
• Energi- och klimatavtryck per inferens
• Support och drift, SLA-nivåer
• Pris (licens, drift, API-anrop)

Svenska myndigheter som driver AI-upphandling

• Skatteverket – automatisering av ärendehantering
• Försäkringskassan – beslutsstöd och ärendeanalys
• Arbetsförmedlingen – matchning och bedömning
• Regioner – bildanalys i röntgen, vårdplanering
• Kommuner – chatbotar, bygglovshandläggning
• DIGG (Myndigheten för digital förvaltning) – samordnar digitalisering och AI-policy
• AI Sweden – nationell plattform för AI-samarbete

Kammarkollegiets ramavtal för AI

Kammarkollegiet har etablerat ramavtalsområden som täcker AI-tjänster, bland annat inom IT-konsulttjänster, programvaror och datalagring. AI-specifika ramavtal har också börjat etableras. Tidiga AI-affärer drivs ofta som innovationsupphandling via Vinnova-finansierade projekt.

Så positionerar du ditt AI-företag

1. AI Act-compliance i förväg

Genomför riskklassificering enligt AI Act för era produkter. Förbered teknisk dokumentation, riskhanteringssystem och CE-processen i god tid – många myndigheter kräver detta som skall-krav från augusti 2026.

2. Certifieringar

• ISO/IEC 42001:2023 – AI-ledningssystem (nytt 2023, allt oftare krav)
• ISO/IEC 23894:2023 – AI-riskhantering
• ISO/IEC 27001 – informationssäkerhet
• ISO 14001 – miljöledning (klimatavtryck av AI)

3. Transparent dokumentation

• Datablad (datasheets) för träningsdata
• Modellkort (model cards) som beskriver prestanda, begränsningar, bias-testning
• Förklarbarhet – kunna visa varför modellen gav en viss output

4. Säkerhet och integritet

• Modellerna körs i EU (eller on-premise)
• Krypterad kommunikation
• Ingen kunddata i träning utan uttryckligt medgivande
• Datafängelser mellan kunder

5. Referenser och pilot

Svenska AI-upphandlingar premierar ofta lokala referenser och möjlighet till pilotfas. Bygg upp pilot-kunder – även små kommuner – för att skapa referensportfölj.

Utmaningar i AI-upphandlingar

• Teknikneutralitet – myndigheter får inte kräva en specifik leverantör (t.ex. OpenAI, Google)
• Leverantörsinlåsning (vendor lock-in) – krav på öppna format och exportmöjlighet
• Hallucinationer och faktafel – generativa modeller ställer krav på kontrollprocesser
• Kompetensgap – upphandlare förstår inte alltid tekniken; bidra till kravställning via marknadsdialog
• Snabb regelutveckling – AI Act utvecklas; praxis etableras löpande

Sammanfattning

AI-upphandling i offentlig sektor är en växande men reglerad marknad. Leverantörer som investerar i AI Act-compliance, säkerhetscertifieringar och transparent dokumentation har ett tydligt försprång. Bevaka aktivt – från augusti 2026 förväntas kravnivån öka kraftigt när AI Acts högrisk-regler blir tillämpliga. Kombinera det med vår guide om IT-upphandling i Sverige för en helhetsbild.

Källor och vidare läsning

• EU:s AI-förordning (EU 2024/1689) – fullständig förordningstext
• EU-kommissionens AI-sida
• DIGG – Digitalisering av offentlig sektor
• AI Sweden – nationell AI-plattform
• ISO/IEC 42001:2023 – AI-ledningssystem
• GDPR (EU 2016/679)
• NIS2-direktivet (EU 2022/2555)
• IMY (Integritetsskyddsmyndigheten) – AI och GDPR