Automatiserade beslut och AI: dina rättigheter 2026

Du ansöker om ett lån, och svaret kommer inom sekunder. Du söker ett jobb och får ett nej mitt i natten. Du ansöker om ett bidrag och beslutet är fattat innan någon hunnit öppna ärendet. I alla tre fallen kan det ha varit en algoritm, och ibland en AI-modell, som avgjorde saken. Reglerna om automatiserade beslut handlar om vad du då har rätt att göra.

Den här genomgången bygger på Integritetsskyddsmyndighetens vägledning, dataskyddsförordningens artiklar 13, 15 och 22 samt förvaltningslagen. Du får veta vad som räknas som ett automatiserat beslut, när det är tillåtet, vad företaget eller myndigheten måste göra och hur du begär en omprövning.

Vad är ett automatiserat beslut?

Ett automatiserat beslut är ett beslut om dig som fattas enbart av ett system, utan att en person bedömer ditt ärende, och som får rättsliga följder eller på liknande sätt påverkar dig i betydande grad. Så formulerar artikel 22 i dataskyddsförordningen, GDPR. Det räcker alltså inte att en dator används. Beslutet måste också betyda något på riktigt för dig.

IMY ger tre vardagsexempel: ett automatiskt avslag på en kreditansökan på nätet, ett avslag från ett rekryteringssystem utan personlig kontakt och en ansökan om lån hos en internetbank där en algoritm avgör om du får lånet och vilken ränta du erbjuds. Myndigheten räknar banker, skattemyndigheter och sjukhus som exempel på aktörer som använder algoritmer för att fatta beslut om människor utifrån deras personuppgifter.

Profilering är en närliggande sak. IMY beskriver det som automatisk behandling av personuppgifter för att bedöma personliga egenskaper, till exempel arbetsprestation, ekonomisk situation, hälsa, intressen eller beteende. Profilering kan alltså vara steget före ett automatiserat beslut, men de två är inte samma sak.

Vad säger GDPR artikel 22 att du har rätt till?

Artikel 22.1 ger dig rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, om det har rättsliga följder för dig eller på liknande sätt påverkar dig betydligt. Grundregeln är alltså att rena maskinbeslut om dig är något du kan slippa. Undantagen finns i punkt 2 och ser ut på ett särskilt sätt.

Förbudet gäller inte om beslutet är nödvändigt för att ingå eller fullgöra ett avtal mellan dig och den ansvariga, om det tillåts enligt EU-rätt eller nationell lag som innehåller lämpliga skyddsåtgärder, eller om det bygger på ditt uttryckliga samtycke. Det första undantaget är det som ligger närmast vardagen: du ansöker om en tjänst, och systemet avgör.

I de två fallen med avtal och samtycke måste den ansvariga enligt punkt 3 åtminstone ge dig rätt till personlig kontakt, så att du kan uttrycka din åsikt och bestrida beslutet. IMY sammanfattar det som tre saker du kan kräva: att få veta att beslutet är automatiserat, att få det granskat av en person och att få bestrida det. Punkt 4 sätter dessutom en spärr för känsliga uppgifter, som hälsa och etnicitet. Sådana uppgifter får bara ligga till grund för ett automatiserat beslut i snävt avgränsade fall.

Måste företaget berätta att algoritmen bestämde?

Ja. Artiklarna 13, 14 och 15 kräver att den som behandlar dina uppgifter ger dig information om att automatiserat beslutsfattande förekommer. I de fall artikel 22 gäller ska du också få meningsfull information om logiken bakom beslutet, samt om betydelsen och de förutsedda följderna för dig.

Kravet är värt att lägga märke till, eftersom det inte handlar om att få ut själva källkoden. Du har rätt till en förklaring av hur beslutet kom till, på en nivå som går att förstå. Vilka uppgifter vägdes in? Vad var det som gjorde att svaret blev nej? En bank eller ett rekryteringsföretag som bara svarar “systemet bedömde att du inte uppfyller kraven” har sannolikt inte uppfyllt informationsskyldigheten.

Informationen ska finnas i bolagets integritetspolicy, och du kan alltid begära ut den. Du kan också begära ett registerutdrag enligt artikel 15, där punkt h uttryckligen nämner automatiserat beslutsfattande. Vill du fördjupa dig i vad du kan få ut av ett utdrag är genomgången av GDPR och ChatGPT en bra bakgrund till hur personuppgiftsansvar fungerar i praktiken.

Hur begär du att en människa granskar beslutet?

Kontakta företaget eller myndigheten som fattade beslutet, skriv att du vill ha beslutet granskat av en person och att du vill bestrida det. IMY skriver att inga särskilda formkrav gäller för hur begäran ser ut, men rekommenderar skriftlig form, till exempel e-post, så att du kan visa vad du har begärt och när.

Börja med att leta rätt på företagets integritetspolicy eller dataskyddsombud, som ofta anger den enklaste vägen. Skriv sedan kort och konkret. Ange vilket beslut det gäller, att du begär mänsklig granskning och rätt att bestrida, och hänvisa till artikel 22 i dataskyddsförordningen. IMY har en mall för just detta brev på sin sida om automatiserade beslut. Bolaget får be dig styrka vem du är innan de går vidare.

Svaret ska komma utan onödigt dröjsmål och senast inom en månad från att de tagit emot begäran, enligt IMY. Det kostar ingenting att utöva rättigheterna, även om en avgift i vissa fall kan förekomma. Komplettera gärna med uppgifter som systemet kanske inte hade, som en löneuppgift som ändrats, en betalningsanmärkning som är felaktig eller en merit som inte syntes i ansökan.

Vad gäller när en myndighet använder automatiserade beslut?

För myndigheter gäller förvaltningslagen utöver GDPR. Enligt 28 § kan ett beslut fattas av en tjänsteman ensam, av flera tillsammans eller automatiserat. Lagen säger alltså uttryckligen att automatiserade beslut är en möjlig form, men den ersätter inte kraven på hur ett beslut ska se ut.

Ett beslut som kan påverka din situation på ett inte obetydligt sätt ska enligt 32 § innehålla en klargörande motivering, om det inte är uppenbart onödigt. Motiveringen ska ange vilka föreskrifter som tillämpats och vilka omständigheter som varit avgörande. Det gäller även när beslutet är automatiserat. Enligt 25 § ska myndigheten dessutom, med vissa undantag, informera dig om material av betydelse för beslutet och ge dig tillfälle att yttra dig innan beslutet fattas.

Har du fått ett beslut utan begriplig motivering finns det alltså skäl att be om en. Överklagandetiden och vart du överklagar framgår av beslutet, och de reglerna påverkas inte av att beslutet fattats av ett system.

Räcker det att en handläggare klickar på godkänn?

Nej, inte automatiskt, men gränsdragningen är knepig. IMY skriver i sina frågor och svar om AI och GDPR (publicerade 2024 och uppdaterade 2025) att artikel 22 gäller när det är fråga om automatiskt beslutsfattande och inte i andra situationer. Använder en person en AI-modell som stöd i handläggningen och sedan själv fattar beslutet, är artikel 22 enligt myndigheten inte tillämplig.

Det är en viktig skillnad. Ett AI-verktyg som sammanfattar ärenden, föreslår en bedömning eller sorterar ansökningar ligger oftast på rätt sida av gränsen så länge en människa gör en egen bedömning. Hamnar en handläggare i en situation där förslaget i praktiken alltid följs, utan egen prövning, blir frågan om beslutet verkligen är mänskligt. Just den tolkningsfrågan avgörs i det enskilda fallet, och den är inte löst av en enda regel.

För dig som privatperson är det praktiska budskapet enkelt. Fråga alltid vem som fattade beslutet och på vilket underlag. Svaret visar om det var en person med ett verktyg eller ett verktyg utan person. Samma resonemang är relevant för anställda som möter AI i arbetet, och AI-policy på arbetsplatsen tar upp vad en arbetsgivare bör reglera.

Vart vänder du dig om du inte får svar?

Får du inget svar, eller är du missnöjd med det, kan du enligt IMY lämna in ett klagomål till myndigheten. Har du lidit skada på grund av att dina personuppgifter behandlats i strid med GDPR kan du dessutom ha rätt till skadestånd. IMY nämner båda möjligheterna på sin sida om automatiserade beslut.

Spara allt: ansökan, svaret, din begäran om granskning och det som kommer tillbaka. Ett klagomål blir mycket enklare att driva med en tydlig tidslinje. Har beslutet fattats av en myndighet kan du dessutom överklaga det enligt de regler som anges i beslutet.

Reglerna om AI-system och krav på transparens skärps successivt. Hur EU AI Act påverkar Sverige och hur AI används i en annan känslig miljö beskrivs i genomgången av AI i vården och dina rättigheter som patient.

Vad härnäst?

Börja med att kontrollera vilka beslut om dig som redan fattas av system: kreditprövningar, rekryteringsverktyg och bidragsansökningar. Nästa gång du får ett oväntat nej är första frågan “Fattades det här av en person?”. Använd gärna de fyra stegen i grafiken ovan, och spara brevet till IMY:s mall så att du har det till hands. Söker du jobb just nu kan att skriva personligt brev och CV med AI vara en användbar fortsättning, eftersom rekryteringssystem är ett av de exempel som IMY själv nämner.

Källor: IMY, Automatiserade beslut, IMY, Frågor och svar om AI och GDPR, IMY, Dataskyddsförordningen i fulltext, Riksdagen, Förvaltningslag (2017:900).