AI i kommuner: så kommer ni igång på ett säkert sätt

Nuläget i svenska kommuner

AI Sweden publicerade i november 2024 en kartläggning av kommunernas AI-arbete. Den identifierade 1 008 AI-relaterade initiativ i 263 av Sveriges 290 kommuner. Det motsvarar ungefär nio av tio kommuner.

Siffran behöver tolkas rätt. Initiativen omfattade inte bara färdiga AI-system i ordinarie drift. Kartläggningen tog också med utbildningar, förstudier, tester, samverkan och andra aktiviteter. Den visar en bred rörelse, men inte att nio av tio kommuner har automatiserat myndighetsarbete.

Källa: AI Sweden, Kartläggning av kommuners AI-initiativ, november 2024

Kartläggningen är en ögonblicksbild från 2024. För en aktuell jämförelse bör kommunen kontrollera AI Swedens löpande material och kontakta de kommuner som arbetar med ett liknande problem.

Börja med verksamhetsproblemet

Frågan "var kan vi använda AI?" ger ofta en lång lista utan prioritering. Börja i stället med ett problem som verksamheten redan kan beskriva.

Det kan vara:

• lång tid att hitta rätt information i interna dokument,
• många återkommande frågor till en servicefunktion,
• manuell sortering av stora textmängder,
• tidskrävande första utkast till administrativ text,
• svårighet att sammanställa synpunkter,
• behov av bättre tillgänglighet i text och tal.

Beskriv nuläget med volym, väntetid, kvalitet, kostnad och berörda grupper. Ett prov går att bedöma först när det finns något att jämföra med.

Utbildning är ett initiativ, inte ett driftsatt system

AI Swedens kartläggning räknar utbildning och kompetenshöjning bland initiativen. Det är rimligt eftersom kunskap är en förutsättning för säker användning. Men en genomförd utbildning ska inte redovisas som att verksamheten har infört en AI-tjänst med mätbar effekt.

Skilj därför på:

1. Kunskap och förberedelse.
2. Förstudie och behovsanalys.
3. Tekniskt prov i skyddad miljö.
4. Pilot med verkligt arbetsflöde.
5. Beslutad användning i ordinarie verksamhet.
6. Avslutat eller pausat initiativ.

En gemensam statusmodell gör kommunens portfölj begriplig och minskar risken att samma aktivitet räknas på flera sätt.

Nationella riktlinjer för generativ AI

DIGG och IMY lanserade i januari 2025 nationella riktlinjer för generativ AI inom offentlig förvaltning. Riktlinjerna ska stödja säker, etisk och rättsenlig användning och tar upp ledning och ansvar, dataskydd, informationssäkerhet, upphandling och användning i praktiken.

Källa: IMY om de nationella riktlinjerna

Använd riktlinjerna som en gemensam grund. Komplettera med kommunens egna regler för informationsklassning, arkiv, offentlighet, upphandling, säkerhet och verksamhetsansvar. Ett allmänt dokument räcker inte om medarbetaren fortfarande är osäker på vilken information som får lämnas till en viss tjänst.

Dataskydd och personuppgifter

Kommunal verksamhet behandlar ofta personuppgifter och ibland uppgifter med högt skyddsbehov. IMY betonar att personuppgiftsansvaret ligger kvar hos organisationen när generativ AI används. Kommunen behöver veta vilka uppgifter som behandlas, för vilket ändamål, med vilket rättsligt stöd, hur länge de sparas och vilka mottagare som får dem.

Källor: IMY om dataskydd och AI, IMY:s vägledning om generativ AI

Praktiska frågor före ett prov:

• Innehåller materialet personuppgifter?
• Kan uppgifterna tas bort, maskeras eller ersättas?
• Var behandlas och lagras informationen?
• Används indata för leverantörens egna ändamål eller träning?
• Vilka underleverantörer får åtkomst?
• Hur hanteras radering, registerutdrag och incidenter?
• Finns en mindre ingripande lösning?

Särskilt känsligt material ska inte matas in i en öppen konsumenttjänst bara för att funktionen är lätt att nå.

Informationssäkerhet

Säkerhetsbedömningen behöver omfatta mer än inloggning. En generativ tjänst kan anslutas till dokument, e-post, ärenden eller andra system. Då kan ett felaktigt svar exponera information eller en manipulerad text försöka styra systemet.

Bestäm:

• vilka informationsklasser som är tillåtna,
• vilka källor tjänsten får läsa,
• vilken behörighet varje användare har,
• om tjänsten får skriva eller bara läsa,
• vilka loggar som sparas,
• hur ändringar och leverantörsbyten provas,
• hur funktionen stängs av,
• hur verksamheten arbetar vid avbrott.

Låt inte modellen själv besluta om en användares behörighet. Åtkomst ska följa kommunens ordinarie identitets- och behörighetskontroller.

Offentlighet, arkiv och spårbarhet

När AI används i kommunal verksamhet kan indata, resultat och loggar bli en del av ett ärende eller annars behöva hanteras enligt kommunens regler för allmänna handlingar och arkiv. Bedömningen beror på sammanhanget och hur materialet används.

Bestäm före start:

1. Vilka indata och resultat som ska bevaras.
2. Var materialet ska lagras.
3. Hur en handläggare kan visa vilket underlag som användes.
4. Hur felaktiga versioner rättas utan att historik försvinner.
5. Vilka loggar som behövs för kontroll och incidentutredning.
6. Hur en begäran om utlämnande hanteras.

Ett svar som påverkar ett beslut behöver kunna granskas i efterhand. Det räcker inte att någon minns att ett AI-verktyg användes.

AI som stöd, inte dold beslutsfattare

Ett system kan hjälpa till att söka, sammanfatta, klassificera eller föreslå text. Det betyder inte att det bör avgöra ett ärende. Skillnaden mellan beslutsstöd och ett faktiskt beslut måste vara tydlig i arbetsflödet.

Mänsklig kontroll är meningsfull när handläggaren:

• har tillgång till originalunderlaget,
• förstår vad systemet har gjort,
• har tid att kontrollera resultatet,
• kan ändra eller avvisa förslaget,
• har befogenhet och kunskap att fatta beslutet,
• dokumenterar relevanta överväganden.

Om personalen förväntas godkänna stora mängder automatiska förslag utan realistisk tid för granskning är kontrollen svag.

Inköp och avtal

En kommuns krav behöver kopplas till den konkreta användningen. Fråga leverantören om:

• lagringsplats och underleverantörer,
• användning av indata och resultat,
• radering och export,
• behörighetsstyrning,
• loggar och spårbarhet,
• säkerhetsprov och incidentrapportering,
• ändringar i modeller och villkor,
• möjlighet att begränsa svar till godkända källor,
• tillgänglighet och reservrutiner,
• stöd för avveckling och dataflytt.

En demonstration med exempeldata visar inte hur tjänsten hanterar kommunens information eller svåra gränsfall. Kräv möjlighet att prova med representativt, skyddat material innan ett långsiktigt beslut.

Tillgänglighet och språk

AI kan hjälpa till att förenkla text, skapa första utkast till översättning eller omvandla tal och text. Resultatet behöver granskas, särskilt när informationen gäller rättigheter, skyldigheter, ansökningar eller tidsfrister.

En lättläst text får inte förlora juridiskt viktig betydelse. En översättning kan låta naturlig men välja fel fackterm. Prova därför med målgruppen och låt språk- och ämneskunniga kontrollera kritiskt material.

Behåll alternativa kontaktvägar. En chattfunktion får inte bli det enda sättet att få offentlig service om vissa användare inte kan eller vill använda den.

Gemensam kunskapsbas

Flera kommunala användningar beror på samma sak: att verksamhetens information är aktuell och begriplig. Innan en sök- eller chattjänst kopplas in bör dokumenten få tydliga ägare, giltighetsdatum och målgrupper.

Gör följande:

• ta bort dubbletter och gamla versioner,
• ange vilket dokument som gäller vid konflikt,
• skilj intern vägledning från information till invånare,
• märk sekretess och behörighet,
• sätt nästa granskningsdatum,
• skapa en väg för att rapportera fel i källmaterialet.

AI löser inte otydligt ägarskap. Den kan i stället göra en gammal instruktion lättare att hitta och sprida.

Så genomförs ett begränsat prov

1. Skriv en problembeskrivning

Beskriv användare, nuvarande arbetsflöde, volym, kvalitetsproblem och önskat resultat. Ange även vad som inte ska ingå.

2. Bedöm information och konsekvens

Kartlägg personuppgifter, sekretess, säkerhet, arkiv och vad ett fel kan leda till. Välj en enklare uppgift om konsekvensen är för hög för ett första prov.

3. Bestäm ansvar

Utse verksamhetsägare, informationsägare, systemägare och personer för dataskydd, säkerhet och uppföljning. Leverantören tar inte över kommunens ansvar.

4. Sätt mått och stoppregler

Mät till exempel tid, rättningar, missade fall, användarnytta och incidenter. Bestäm i förväg när provet ska pausas.

5. Prova representativa och svåra fall

Ta med ofullständiga uppgifter, motstridiga dokument, olika språk, ovanliga ärenden och frågor som systemet ska avstå från.

6. Kör med begränsad åtkomst

Börja med få användare, låg behörighet och mänskligt godkännande. Behåll den tidigare rutinen.

7. Utvärdera öppet

Redovisa resultat, fel, kostnader och vad som krävdes av personalen. Besluta om fortsatt användning, ändring eller avslut.

Mått som ger en rättvis bild

Beroende på användning kan kommunen följa:

• total handläggningstid,
• väntetid för invånare eller medarbetare,
• andel resultat som måste rättas,
• typ och allvarlighetsgrad för fel,
• antal överlämningar till människa,
• skillnader mellan språk eller grupper,
• incidenter och klagomål,
• kostnad för licens, drift, utbildning och kontroll,
• användarnas förståelse och förtroende.

Mät inte bara hur många som har loggat in eller hur många texter som skapats. Aktivitet säger inte om servicen blev bättre eller säkrare.

Samverkan mellan kommuner

AI Swedens kartläggning visar många initiativ, vilket skapar möjligheter till erfarenhetsutbyte. Kommuner kan dela problembeskrivningar, krav, provfall, mätetal och lärdomar även när de inte kan dela data.

Före återanvändning behöver mottagaren kontrollera lokala förutsättningar. Informationsklassning, systemmiljö, avtal och arbetsflöde kan skilja sig. Ett lyckat prov i en kommun är ett relevant underlag, inte ett automatiskt godkännande i en annan.

Ställ konkreta frågor till en kommun som redan provat:

• Vilket problem löstes?
• Vilken status har arbetet idag?
• Hur mättes kvalitet och tidsåtgång?
• Vilka fel uppstod?
• Hur mycket intern tid krävdes?
• Vilka delar stoppades eller ändrades?
• Hur hanteras källor, behörighet och uppföljning?

Kompetens för olika roller

Alla behöver inte kunna samma sak.

Medarbetare behöver kunna följa regler för information, skriva tydliga instruktioner, kontrollera källor och rapportera fel. Chefer behöver kunna bedöma arbetsflöde, ansvar och bemanning. Inköp, juridik, säkerhet och dataskydd behöver förstå den konkreta användningen och leverantörens tekniska upplägg. Ledningen behöver se samlad risk, kostnad och nytta.

Utbildning bör använda kommunens egna exempel och visa misslyckanden. Ett allmänt föredrag räcker sällan för den som nästa dag ska avgöra om en handling får lämnas till en tjänst.

AI Utbildningscentrum har utbildat medarbetare i bland andra Landskrona stad, Malmö stad och Kungsbacka kommun. Hur utbildningen byggs per roll, från handläggare till ledningsgrupp, står på sidan om AI-utbildning för kommuner.

Förvaltning efter beslut

Ordinarie användning kräver en förvaltningsplan. Utse ansvariga för källor, behörighet, leverantör, incidenter och verksamhetsresultat. Sätt datum för regelbunden granskning och definiera vilka ändringar som kräver nytt prov.

Följ leverantörens ändringar och behåll en avvecklingsplan. Kommunen ska kunna exportera nödvändigt material, stänga anslutningar och återgå till ett fungerande arbetsflöde. En tjänst som saknar tydlig ägare eller uppföljning bör inte fortsätta enbart för att licensen redan är köpt.

Sammanfattning

AI Swedens kartläggning visar att AI-relaterat arbete fanns i 263 kommuner 2024, men initiativen sträckte sig från utbildning och förstudier till prov och drift. Kommunen behöver därför beskriva status och resultat noggrant.

Börja med ett mätbart verksamhetsproblem. Använd DIGG:s och IMY:s riktlinjer som grund, bedöm dataskydd, säkerhet, offentlighet och arkiv, och ge varje prov tydligt ansvar och stoppregler. Fortsätt först när nyttan kan visas utan att rättssäkerhet, informationsskydd eller tillgänglighet försämras.