Måste vi göra en konsekvensbedömning (DPIA) innan vi använder AI?
Kort svar
En konsekvensbedömning avseende dataskydd (DPIA) krävs när en behandling sannolikt leder till en hög risk för personer. Med AI är det oftast fallet när AI:n systematiskt bedömer eller profilerar personer (till exempel kandidater eller anställda), behandlar känsliga uppgifter i stor skala, övervakar anställda eller använder ny teknik på ett sätt som påverkar människor. Den beskriver behandlingen, nödvändigheten, riskerna och åtgärderna. Vid AI med hög risk ska ni använda leverantörens information i er DPIA (artikel 26.9 i AI-förordningen).
Vanlig AI-användning som kräver en DPIA
| AI-användning | DPIA? |
|---|---|
| Sortering av kandidater | Oftast ja |
| Utvärdering eller övervakning av anställda | Oftast ja |
| AI på hälsouppgifter på en mottagning | Oftast ja |
| Kreditprövning av kunder | Oftast ja |
| Sammanfattning av kundärenden med pseudonymer | Normalt nej |
| Utkast till nyhetsbrev utan personuppgifter | Nej |
Mall i GoalCube
GoalCube har ett utkast till DPIA som fylls i med användningen från ert AI-register: ändamål, uppgifter, risk, mänskligt beslut och pseudonymisering. Ni lägger till era egna bedömningar och sparar den tillsammans med registret.
Så gör ni
- Beskriv användningen.Ändamål, uppgifter, AI-verktyg, vilka som berörs och vem som ser vad.
- Bedöm nödvändighet och proportionalitet.Behövs AI:n? Kan ni klara er med färre uppgifter?
- Identifiera riskerna för personerna.Fel, diskriminering, läckor, överföring utanför EU, bristande insyn.
- Beskriv åtgärderna.Pseudonymisering, mänskligt beslut, behörighetsstyrning, logg, radering.
- Prata med ert dataskyddsombud om ni har ett.Och fråga IMY om risken fortfarande är hög.
Det här säger lagen
- Artikel 35 i GDPR – konsekvensbedömning avseende dataskydd
- Krävs vid sannolik hög risk; punkt 7 beskriver innehållet.
- Artikel 36 i GDPR – förhandssamråd
- Om risken fortfarande är hög ska tillsynsmyndigheten rådfrågas.
- Artikel 26.9 i AI-förordningen
- Använd leverantörens information om AI-systemet med hög risk i er DPIA.
Frågor och svar
Behöver vi en DPIA för ChatGPT till mejl?
Normalt inte, om det inte rör personuppgifter av betydelse och ingen person bedöms.
Behöver vi en DPIA för AI i rekrytering?
Oftast ja. Systematisk bedömning av kandidater med ny teknik är ett typexempel.
Har IMY en lista?
Ja, IMY har en förteckning över behandlingar som alltid kräver en konsekvensbedömning. Kontrollera den för er användning.
Källor
Skriven av GoalCubes redaktion. Senast uppdaterad 11 oktober 2026. GoalCube hjälper er att följa AI-förordningen och GDPR. Det är inte juridisk rådgivning.
Bli en av de första.
Vi räknar med att lansera i november 2026. Anmäl er, så hör vi av oss när ni kan komma igång.