I april 2026 publicerade Integritetsskyddsmyndigheten (IMY) sin rapport om AI-transkribering i socialtjänsten, baserad på ett halvårslångt samarbete med Kalmar kommun i myndighetens regulatoriska sandlåda. Rapporten besvarar en fråga som många kommuner har ställt sig: kan socialtjänsten använda AI för att spela in, transkribera och sammanfatta samtal med enskilda, utan att bryta mot GDPR?
Svaret är inte ett enkelt ja eller nej. IMY bedömer att det finns rättsliga förutsättningar, men understryker att varje kommun måste göra sin egen bedömning av nödvändighet, proportionalitet och skyddsåtgärder. I den här artikeln går vi igenom vad sandlådeprojektet undersökte, vilka dataskyddsfrågor som lyfts, vilka krav som ställs på säkerhet och mänsklig granskning, samt vad du bör ha på plats innan din organisation inför AI-transkribering i offentlig sektor. Vi har även sammanställt en guide till säker transkribering som fördjupar datasäkerhetsaspekterna. Observera att artikeln ger allmän information och inte utgör individuell juridisk rådgivning.
Vad IMY:s regulatoriska sandlåda undersökte
En regulatorisk sandlåda är ett strukturerat samarbete där en myndighet och en organisation gemensamt undersöker juridiska frågor kring ett innovationsprojekt. IMY:s sandlåda för AI-transkribering i socialtjänsten pågick under sex månader och resulterade i en offentlig rapport, så att lärdomarna kan komma fler till del.
Kalmar kommun ville ta reda på om socialtjänsten kunde använda en extern AI-baserad transkriberingstjänst för att spela in möten med enskilda, omvandla ljudet till text med automatisk taligenkänning (ASR) och sedan generera en sammanfattning. Syftet var att avlasta socialsekreterare från manuell dokumentation, som i dag utgör en stor del av arbetstiden och bidrar till hög personalomsättning.
IMY fokuserade på tre övergripande frågeställningar: om det finns rättslig grund för personuppgiftsbehandlingen, inklusive känsliga personuppgifter; hur mänsklig kontroll och förbudet mot automatiserat beslutsfattande ska hanteras; samt vilka tekniska och organisatoriska säkerhetsåtgärder som kan behöva vidtas. Det är viktigt att förstå att rapporten inte ger ett generellt tillstånd. Den visar att det kan finnas rättsliga förutsättningar, men att varje verksamhet måste göra sin egen analys.
Vilka dataskyddsfrågor lyfter IMY:s rapport?
Rättslig grund och ändamålsbegränsning
IMY bedömer att socialtjänstens lagstadgade dokumentationskrav kan utgöra rättslig grund för behandlingen enligt artikel 6.1 c (rättslig förpliktelse) och 6.1 e (uppgift av allmänt intresse) i GDPR. Frågan är alltså inte om det finns en separat rättslig grund för AI eller taligenkänning i sig, utan om den befintliga rättsliga grunden redan täcker den uppgift som tekniken används för. I socialtjänsten är den uppgiften tydlig: relevant information som framkommer i ärendehanteringen ska dokumenteras.
IMY granskar inte nödvändigheten steg för steg, utan betraktar hela processen som ett sammanhängande arbetsflöde: inspelning, överföring av ljud, transkribering, generering av sammanfattning och lagring av resultatet. Behandlingen måste vara nödvändig och proportionerlig i förhållande till ändamålet.
Känsliga personuppgifter och sekretess
Samtal inom socialtjänsten innehåller regelmässigt känsliga personuppgifter, exempelvis om hälsa, sociala förhållanden eller etniskt ursprung. För att behandla sådana uppgifter krävs ett undantag från förbudet i artikel 9 GDPR. IMY:s bedömning är att undantaget i artikel 9.2 h (social omsorg) typiskt sett bör vara tillämpligt, med stöd i SoLPuL. Kommunen ansvarar dock för att sekretesskravet i artikel 9.3 GDPR uppfylls, vilket ställer krav på hur uppgifterna hanteras i praktiken.
Automatiserat beslutsfattande
En vanlig oro är att AI-genererade sammanfattningar kan påverka beslut om enskilda. IMY konstaterar att artikel 22 GDPR, som reglerar automatiserat beslutsfattande, inte blir relevant i detta fall. Sammanfattningen utgör bara ett av flera underlag för socialsekreterarens bedömning, och den innehåller inga slutsatser eller rekommendationer. Men detta förutsätter att sammanfattningen faktiskt granskas av en människa innan den används.
IMY noterar också att transkriberingstjänsten kan bidra till att uppfylla principen om riktighet genom att fånga viktiga detaljer som annars kunde ha missats. Samtidigt betonas att eventuella systematiska fel (bias) i AI-modellen måste hanteras. En AI-transkription bör aldrig automatiskt behandlas som en felfri återgivning av samtalet.
Säkerhet, lagring och mänsklig granskning
Tekniska och organisatoriska skyddsåtgärder
När känsliga personuppgifter behandlas med hjälp av en extern tjänst uppstår risker som kräver noggrann informationssäkerhetsbedömning. IMY:s rapport lyfter tre specifika säkerhetsåtgärder:
- Kryptering: Personuppgifter kan hanteras i flera tekniska delkomponenter och behöver krypteras på lämpligt sätt, både vid överföring och lagring.
- Åtkomst- och identitetshantering: Tillgång ska begränsas till dem som behöver den i sitt arbete och följas upp genom loggning och regelbundna kontroller.
- Spårbara rutiner för gallring: Det behövs rutiner som säkerställer att data inte behandlas längre än nödvändigt. IMY förtydligar att gallring inte bara är en intern styrningsfråga, utan också en säkerhetsåtgärd enligt artikel 32 GDPR.
Dataminimering och lagringstider
Principen om lagringsminimering måste vägas mot behovet av att verifiera transkriptionens riktighet. Ljudfilen och transkriptet behöver vara tillgängliga tillräckligt länge för att granskning ska vara möjlig, men inte längre. Kalmar kommun har valt att lagra ljudfiler i 72 timmar innan de automatiskt raderas, medan transkriberade textfiler sparas under utredningsperioden och gallras därefter.
IMY rekommenderar också att verksamheten skalar upp transkriberingstjänsten successivt och utvärderar befintliga funktioner och arbetsflöden innan nya läggs till. Detta stegvisa tillvägagångssätt minskar risken för att personuppgiftsbehandlingen växer utöver vad som är nödvändigt.
Mänsklig granskning som grundkrav
IMY ställer krav på mänsklig kontroll av AI-genererade transkriptioner och sammanfattningar. Socialsekreterare måste ha möjlighet att granska och korrigera texterna för att säkerställa riktigheten. Med ”mänsklig kontroll” avser IMY inte nödvändigtvis förståelse av den tekniska funktionaliteten, utan snarare kunskap om vad som kan gå fel, hur fel rapporteras och förmåga att förmedla relevant information om tjänsten till enskilda.
Rapporten uppmärksammar att nyanställda, som kanske saknar erfarenhet av att sammanställa sammanfattningar, kan behöva extra kunskap om hur AI-genererat material bör bedömas. Utan tillräcklig utbildning, tid och stöd finns risken att organisatoriska brister eller övertillit till systemet leder till fel. Rapporten erkänner även det så kallade ”svarta lådan”-problemet: dagens språkmodeller har miljarder parametrar, och bristen på insyn gör det svårt även för experter att granska beslutsprocessen.
Praktisk checklista innan AI-transkribering införs
Baserat på IMY:s rapport och SKR:s vägledning om socialtjänstens användning av AI kan följande checklista fungera som utgångspunkt. Den ersätter inte en egen juridisk bedömning, men ger en struktur för arbetet:
- Tillsätt en tvärfunktionell arbetsgrupp med kompetens inom verksamhet, IT, juridik och dataskydd. Dataskyddsombudet och kommunjuristen behöver vara involverade från start.
- Identifiera rättslig grund för varje del av behandlingen: inspelning, överföring, transkribering, sammanfattning och lagring. Bedöm om behandlingen är nödvändig och proportionerlig.
- Genomför en konsekvensbedömning (DPIA) avseende dataskydd. Göteborgsregionens innovationsarena har redan använt IMY:s rapport som underlag för sitt DPIA-arbete.
- Kartlägg leverantörs- och underbiträdeskedjor. Granska var data behandlas, vem som har åtkomst och vilka avtal som behövs. Säkerställ att data stannar inom EU/EES om inte adekvata skyddsåtgärder finns.
- Upprätta tydliga lagrings- och gallringsrutiner. Definiera hur länge ljudfiler, transkript och sammanfattningar sparas, och automatisera radering där det är möjligt.
- Säkerställ kryptering och åtkomststyrning. Personuppgifter ska krypteras vid överföring och lagring, och tillgången ska begränsas och loggas.
- Bygg in mänsklig granskning i arbetsflödet. Ingen AI-genererad text bör användas som underlag för beslut utan att en kvalificerad medarbetare har verifierat innehållet.
- Informera den enskilde. Klienten ska informeras om att samtalet kan spelas in, varför det sker och att inspelningen kan avbrytas när som helst.
- Skala upp successivt. Börja med en begränsad pilotverksamhet, utvärdera och justera innan tjänsten breddinförs.
- Bevaka regelutvecklingen. EU:s AI-förordning, GDPR och den nya socialtjänstlagen ställer krav som utvecklas. Håll er uppdaterade om IMY:s tillsynsaktiviteter, som under 2026 prioriterar AI i offentlig sektor.
Vanliga frågor om AI-transkribering i socialtjänsten
Är det lagligt att använda AI-transkribering i socialtjänsten?
IMY bedömer att det kan finnas rättsliga förutsättningar, men varje kommun måste göra sin egen bedömning. Sandlåderapporten ger vägledning, inte ett generellt tillstånd. Behandlingen måste vara nödvändig, proportionerlig och omgärdad av rätt skyddsåtgärder.
Kan klienten neka till att samtalet spelas in?
Ja. Klienten ska informeras i förväg och kan välja att inte bli inspelad eller avbryta inspelningen när som helst. Socialsekreteraren kan i sådana fall dokumentera samtalet manuellt, precis som tidigare.
Gäller IMY:s slutsatser även för andra sektorer, till exempel vården?
IMY har själva förtydligat att rapporten kan ge viss vägledning även för andra sektorer, eftersom den adresserar grundläggande frågor som alla personuppgiftsansvariga behöver ta ställning till. Att använda samma verktyg i en annan kontext utgör dock en ny behandling som kräver en egen rättslig grund och bedömning. IMY har redan inlett tillsyn av AI-baserad transkribering inom primärvården.
Hur länge får ljudfiler och transkript sparas?
Det finns ingen exakt tidsgräns i rapporten, men principen om lagringsminimering gäller. Ljudfiler bör raderas så snart granskningen är genomförd. Transkriberade texter sparas under den tid de behövs som arbetsmaterial i ärendet och gallras därefter enligt kommunens arkivregler.
Ersätter AI-transkribering socialsekreterarens professionella bedömning?
Nej. Tekniken är ett stöd för dokumentation, inte ett verktyg för beslutsfattande. AI-genererade sammanfattningar ska alltid granskas och verifieras av en kvalificerad medarbetare innan de används som underlag. Socialsekreterarens professionella omdöme förblir centralt.
Behöver din organisation professionell transkribering med tydlig datasäkerhet och mänsklig kvalitetsgranskning? Kontakta oss så skickar vi en offert inom 24 timmar.
