Vilka är de rättsliga förutsättningarna för AI-transkribering i socialtjänsten?
AI-baserad transkribering i socialtjänsten kan ge stora effektivitetsvinster, men innebär samtidigt behandling av mycket känsliga personuppgifter. Frågan aktualiserar bland annat dataskyddsförordningen, socialtjänstens dokumentationskrav, sekretessregler och kravet på mänsklig kontroll. Vår expert Ranja Bunni analyserar vilka rättsliga förutsättningar som gäller och var de största riskerna finns.
Inledning
Användningen av AI-baserad transkribering i socialtjänsten innebär att tal (t.ex. möten med klienter) automatiskt omvandlas till text. Den ökade användningen av AI-baserad transkribering inom socialtjänsten aktualiserar en rad komplexa rättsliga frågor där flera centrala regelverk samverkar. Eftersom socialtjänsten hanterar mycket känsliga uppgifter om enskildas personliga förhållanden, måste införandet av sådan teknik analyseras utifrån dataskydd, sekretess, förvaltningsrättsliga principer.
Under det senaste året har Integritetsskyddsmyndigheten (IMY) tydligt tagit upp frågan om AI-användning i offentlig sektor – särskilt AI-transkribering inom socialtjänsten – som ett prioriterat tillsyns- och vägledningsområde.
IMY publicerade en rapport (Transkribering inom socialtjänsten, Slutrapport från IMY:s innovationssandlåda för dataskydd, diarienummer IMY-2026-6527), framtagen inom myndighetens regulatoriska sandlåda i samarbete med Kalmar kommun. Rapporten analyserar om och hur AI-baserad inspelning, transkribering och sammanfattning av klientmöten kan ske i enlighet med dataskyddsförordningen och kompletterande svensk rätt.
Därefter inledde IMY den 7 maj 2026 tillsyn mot Region Gävleborg avseende AI-baserad transkribering i primärvården. Granskningen kommer att innefatta en inspektion på plats för att granska systemet och hur det används.
IMY:s pågående granskning fokuserar på de tekniska och organisatoriska säkerhetsåtgärder som krävs för att behandla personuppgifter enligt dataskyddsförordningen.
Rättslig grund och behandling av känsliga personuppgifter
Inledningsvis kan vi konstatera att all behandling av personuppgifter måste ha stöd i någon av de rättsliga grunder som anges i artikel 6.1 a–f i förordning (EU) 2016/679 (dataskyddsförordningen). När det gäller behandlingen av personuppgifter i socialtjänsten kan en sådan behandling vara nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c i dataskyddsförordningen). Behandlingen av personuppgifter i socialtjänsten kan även vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e).
Kompletterande bestämmelser till de sistnämnda artiklarna finns i dataskyddslagen (2018:218).
Det framgår bland annat av 2 kap. 2 § dataskyddslagen att personuppgifter får behandlas med stöd av artikel 6.1 e i EU:s dataskyddsförordning, om behandlingen är nödvändig
1. för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller
2. som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning.
Av förarbetena till dataskyddlagen (prop. 2017/18:105 s. 51) anges bland annat följande
”Av skäl 41 till förordningen framgår att den rättsliga grunden bör vara tydlig och precis och dess tillämpning förutsägbar för dem som omfattas av den, i enlighet med rättspraxis vid Europeiska unionens domstol och Europeiska domstolen för de mänskliga rättigheterna. Även detta är ett uttryck för legalitetsprincipen och utgör således inte någon nyhet inom den svenska offentliga förvaltningen. Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter ska anses vara nödvändig måste enligt regeringens mening bedömas från fall till fall, utifrån behandlingens och verksamhetens karaktär. Det torde stå klart att en behandling av personuppgifter som inte utgör någon egentlig kränkning av den personliga integriteten, såsom när det gäller behandling av elevers namn i reguljär skolverksamhet, kan ske med stöd av en rättslig grund som är allmänt hållen. Ett mer kännbart intrång, t.ex. behandling av känsliga personuppgifter inom hälso- och sjukvården, kräver att den rättsliga grunden är mer preciserad och därmed gör intrånget förutsebart. Om intrånget är betydande och innebär övervakning eller kartläggning av den enskildes personliga förhållanden krävs dessutom särskilt lagstöd enligt 2 kap. 6 och 20 §§ RF.”
Av artikel 6.3 framgår vidare att syftet med behandlingen, då denna grundar sig på en rättslig förpliktelse enligt artikel 6.1 c, ska fastställas i den rättsliga grunden. För behandling som grundar sig på artikel 6.1 e gäller istället att syftet med behandlingen ska vara nödvändigt för att utföra uppgiften av allmänt intresse eller som ett led i myndighetsutövningen.
Enligt 6 § lagen (2001:454) om behandling av personuppgifter inom socialtjänsten anges att personuppgifter får behandlas bara om behandlingen är nödvändig för att arbetsuppgifter inom socialtjänsten skall kunna utföras.
Det finns ett flertal bestämmelser som reglerar frågor om dokumentation i socialtjänsten (14 kap. 3 § socialtjänstlagen). Transkriberingen i socialtjänsten kan behövas för handläggning av ärenden om insatser som följer av bestämmelserna i socialtjänstlagen.
I socialtjänstens verksamhet rör det sig i regel om känsliga personuppgifter enligt artikel 9 i dataskyddsförordningen, såsom uppgifter om hälsa, sociala problem och familjeförhållanden. För att en sådan behandling ska vara laglig krävs att något av undantagen för känsliga personuppgifter är tillämpligt, exempelvis att behandlingen är nödvändig inom social omsorg, artikel 9.2 h i dataskyddsförordningen.
Enligt 7 § lagen (2001:454) om behandling av personuppgifter inom socialtjänsten får socialtjänsten behandla personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för verksamheten.
IMY:s tolkning av nödvändighetsrekvisitet
IMY har i sin rapport om transkribering inom socialtjänsten bedömt att den typ av personuppgiftsbehandling som aktualiseras vid sådan transkribering kan anses vara nödvändig.
Av IMY:s rapport framgår att den aktuella behandlingen kan omfatta flera steg, bland annat genom ljudinspelning, överföring av ljudfil, transkribering, framtagande av en AI-genererad sammanfattning av transkriptet, lagring och överföring av en textfil. Enligt IMY bör bedömningen av om kravet på nödvändighet är uppfyllt avse behandlingsprocessen som helhet.
IMY:s tolkning av ”nödvändighetskravet” är vidare intressant på så sätt att myndigheten accepterar att AI-transkribering kan anses nödvändig för att den ger reella effektivitetsvinster jämfört med manuella alternativ.
Detta innebär att IMY accepterar att AI-transkribering – trots att manuell dokumentation är möjlig – kan uppfylla nödvändighetskravet eftersom tekniken förbättrar dokumentationens kvalitet och minskar arbetsbördan.
Samtidigt måste de grundläggande principerna i artikel 5 i dataskyddsförordningen följas, särskilt principerna om ändamålsbegränsning, uppgiftsminimering och integritet och konfidentialitet. Här uppstår en särskild problematik eftersom AI-transkribering ofta innebär att hela samtal spelas in och omvandlas till text, vilket riskerar att leda till en mer omfattande datainsamling än vad som är nödvändigt för det aktuella ändamålet.
EU domstolens praxis om nödvändighetsrekvisitet
I C-439/19 prövade EU-domstolen en nationell reglering som gjorde det möjligt att offentliggöra uppgifter om trafikförseelser. Domstolen godtog att trafiksäkerhet utgör ett legitimt allmänintresse, men fann att den aktuella behandlingen ändå inte var tillåten eftersom den inte uppfyllde kravet på nödvändighet och proportionalitet.
EU-domstolen skrev (p. 110) att
”Såsom understryks i skäl 39 i dataskyddsförordningen är detta krav på nödvändighet inte uppfyllt när det eftersträvade målet av allmänintresse rimligen kan uppnås på ett lika effektivt sätt genom andra medel som i mindre utsträckning inskränker de registrerades grundläggande rättigheter, särskilt rätten till respekt för privatlivet och rätten till skydd för personuppgifter enligt artiklarna 7 och 8 i stadgan, och undantag från och inskränkningar av principen om skydd för personuppgifter får inte gå utöver vad som är strikt nödvändigt (se, för ett liknande resonemang, dom av den 11 december 2019, Asociatia de Proprietari bloc M5A-ScaraA, C-708/18, EU:C:2019:1064, punkterna 46 och 47).”
EU-domstolen betonade att behandlingen måste vara lämplig och begränsad till vad som är strikt nödvändigt. Det ska prövas om mindre ingripande åtgärder kan uppnå samma syfte.
I det aktuella fallet bedömdes offentliggörandet gå för långt och EU-domstolen var kritisk mot breda system utan tydliga begränsningar.
Sekretess
Parallellt med dataskyddsregleringen gäller sträng sekretess enligt offentlighets- och sekretesslagen (2009:400) (OSL). Enligt 26 kap. OSL råder stark sekretess för uppgifter om enskildas personliga förhållanden inom socialtjänsten. Användning av AI-tjänster, särskilt molnbaserade lösningar, aktualiserar frågan om sekretessröjande. Om uppgifter görs tillgängliga för en extern leverantör kan detta utgöra ett otillåtet röjande om inte leverantören rättsligt kan jämställas med ett biträde som endast behandlar uppgifterna för myndighetens räkning och under strikt kontroll. Detta ställer höga krav på personuppgiftsbiträdesavtal och tekniska säkerhetsåtgärder, såsom kryptering och begränsad åtkomst. Även frågor om tredjelandsöverföring enligt dataskyddsförordningen blir centrala om leverantören behandlar data utanför EU/EES.
Mänsklig kontroll och förhållandet till automatiserat beslutsfattande
IMY betonar genomgående att AI-transkribering ska betraktas som ett stödverktyg och inte ett självständigt beslutsstöd. Det krävs därför att:
- transkriberingar granskas av handläggare,
- personal har tillräcklig tid och kompetens för detta,
- det slutliga ansvaret alltid ligger hos en människa.
Detta är inte endast en rekommendation utan en rättslig nödvändighet. En avsaknad av mänsklig kontroll skulle kunna aktualisera artikel 22 dataskyddsförordningen om automatiserat beslutsfattande samt strida mot förvaltningsrättsliga krav på saklighet och rättssäkerhet.
Mänsklig kontroll fungerar därmed som ett centralt skydd för den enskildes rättigheter och som en förutsättning för att behandlingen ska anses laglig.
Jämförande analys av EU: domstolens respektive IMY:s tolkning av nödvändighetsrekvisitet
IMY:s senaste rapport om AI-transkribering i socialtjänsten innebär en utvecklad och i vissa avseenden mer pragmatisk tolkning av nödvändighetsrekvisitet i artikel 6 och 9 i dataskyddsförordningen.
EU-domstolen har i tidigare praxis utvecklat nödvändighetsrekvisitet som ett strikt proportionalitetskrav.
Domstolen har tidigare slagit fast att:
- Behandlingen måste vara lämplig för att uppnå ett legitimt syfte
- Den måste vara nödvändig, dvs det ska inte finnas mindre ingripande alternativ som är lika effektiva
- Den måste vara proportionerlig i snäv bemärkelse (balans mellan intrång och nytta).
Utifrån IMY:s rapport så räcker det att behandlingen ger “reella effektivitetsvinster”. Detta skulle kunna tolkas som att AI får användas även om manuella alternativ är fullt möjliga och att effektivitet vägs tungt mot integritet. IMY betonar effektivitet mer än EU-domstolen och myndighetens tolkning är mer verklighetsanpassad till dagens digitalisering än EU-domstolens strikta tolkning.
EU-domstolen har tidigare ställt höga krav på konkret och detaljerad motivering. IMY å andra sidan
accepterar mer generella resonemang om effektivitet och verksamhetsnytta.
Frågan om IMY:s tolkning av nödvändighetsrekvisitet skulle hålla vid en prövning i EU-domstolen måste besvaras nyanserat. Det är inte sannolikt att EU-domstolen skulle underkänna IMY:s tolkning som sådan, eftersom den bygger på etablerade principer inom EU-rätten och anknyter till domstolens egen praxis. Samtidigt är det tydligt att IMY:s tillämpning ligger nära gränsen för vad som är tillåtet, och att den därför riskerar att inte hålla i konkreta fall där proportionaliteten inte är tillräckligt väl underbyggd.
IMY accepterar att AI-baserad transkribering kan vara nödvändig även om samma grundläggande resultat skulle kunna uppnås genom manuell dokumentation, eftersom den automatiserade lösningen anses mer effektiv och minska risken för fel. EU-domstolen skulle däremot sannolikt kräva en mer konkret och detaljerad analys av alternativa metoder, där det prövas om dessa verkligen är mindre ingripande och om de samtidigt kan anses tillräckligt effektiva. Om sådana alternativ finns, och inte tydligt kan avfärdas, finns en reell risk att domstolen skulle anse att nödvändighetskravet inte är uppfyllt.
Avgörande för hur EU-domstolen skulle bedöma frågan är därför inte IMY:s normativa utgångspunkt i sig, utan hur denna tillämpas i praktiken. Om en myndighet kan visa att AI-transkribering används på ett begränsat och kontrollerat sätt, att inspelningar minimeras, att data gallras snabbt och att endast relevanta uppgifter sparas, är det sannolikt att behandlingen skulle anses proportionerlig. I en sådan situation framstår AI-användningen som ett legitimt och väl avvägt verktyg för att uppfylla socialtjänstens dokumentationskrav.
Om användningen däremot innebär systematisk inspelning av hela samtal, omfattande lagring av känsliga uppgifter eller bristande kontroll över alternativa lösningar, ökar risken avsevärt för att behandlingen skulle underkännas. EU-domstolen har historiskt varit särskilt restriktiv när det gäller omfattande datainsamling som berör enskildas privatliv i kärnverksamheter, och det är sannolikt att samma restriktiva hållning skulle komma till uttryck även här.
I en prövning inför EU-domstolen skulle fokus därför ligga på om den konkreta behandlingen verkligen uppfyller kravet på att vara den minst integritetsingripande lösningen som är tillräckligt effektiv.
Den avgörande slutsatsen är att IMY:s tolkning kan hålla, men endast under förutsättning att den tillämpas med en betydligt mer rigorös proportionalitetsprövning än vad som ibland framstår som implicit i myndighetens resonemang.
Ursprungligen publicerad i JP ITnet.
Ny praxis och lagändringar kan ha tillkommit sedan texten skrevs. De senaste uppdateringarna och hur dessa påverkat rättsområdet hittar du alltid i relevant informationstjänst.
Publicerad 28 aug 2026
Ranja Bunni
Partner, Passacon
