Kontrollera råden mot din verksamhet
Den här guiden är redaktionellt granskad som praktiskt stöd, men klientuppgifter, sekretess, dokumentationskrav, lokala rutiner och mänsklig myndighetsutövning måste alltid styra hur AI får användas.
Läs hur AI på svenska tar fram, granskar och uppdaterar innehåll.
SEKRETESS
Vem står bakom innehållet?
Skribent: Christopher Leijon. Sidan är redaktionellt framtagen för AI på svenska och sakgranskad mot angivna primärkällor den 14 juli 2026.
Ingen extern socialsekreterare, socialrättsjurist, dataskyddsspecialist eller informationssäkerhetsspecialist har granskat sidan. Materialet är därför ett orienterande arbetsstöd — inte professionell rådgivning eller ett lokalt godkännande att behandla klientuppgifter.
Sekretessen i socialtjänsten är mycket stark
Socialtjänsten hanterar information om människor i utsatta situationer — om barn som far illa, missbruk, psykisk ohälsa, ekonomiska svårigheter, kriminalitet och familjerelationer. Det är information som klienter delar i förtroende, under ibland tvingande omständigheter, och som kan få allvarliga konsekvenser om den hamnar fel.
Socialtjänstsekretessen i 26 kap. 1 § offentlighets- och sekretesslagen (OSL) ger ett starkt skydd. Sekretess gäller för uppgift om en enskilds personliga förhållanden om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående lider men.
Att föra över sådana uppgifter till en AI-tjänst är ett röjande och en personuppgiftsbehandling som måste vara tillåten i det konkreta upplägget. Ett gott syfte, en licens eller en inställning märkt ”privat” ersätter inte sekretessprövning och rättslig grund.
Detta ska du aldrig mata in i icke-godkänt AI-verktyg
Följande information är aldrig tillåten i AI-verktyg som inte explicit godkänts av din organisation för detta ändamål:
- Namn + sociala eller ekonomiska uppgifter i kombination — det räcker med förnamn och situation för att det ska vara identifierande
- Personnummer — aldrig, under inga omständigheter
- Utredningstext och journalanteckningar — även delar av dessa kan vara identifierande
- Uppgifter om barns situation — barnets utsatthet, hemförhållanden, skolsituation
- Uppgifter om missbruk, psykisk hälsa eller kriminalitet kopplade till en individ
- Ekonomiska uppgifter — skulder, försörjningsstödsärenden, inkomst
- Uppgifter om anhöriga kopplade till ett ärende
- Adresser och kontaktuppgifter
- LVU- och LVM-relaterade uppgifter — dessa är extra känsliga
- Uppgifter om skyddad identitet — information om var en person befinner sig om hen har skyddad adress
Tumregel:
Kan den här informationen identifiera en specifik person — direkt eller i kombination med annat? Om ja — mata inte in den.
KRITISKTVarför ”anonymiserat” ofta inte räcker
Att ta bort ett namn är inte alltid tillräckligt för att en text ska vara anonymiserad. En ensamstående mamma med tre barn i ett specifikt LVU-ärende i en liten kommun är identifierbar även utan namn.
Verklig anonymisering innebär att personen inte längre kan identifieras med rimliga hjälpmedel, varken direkt eller genom kombinationer. Om en kodnyckel finns kvar eller personen kan kännas igen är materialet pseudonymiserat och fortfarande personuppgifter. Gör därför inte egen avidentifiering till en genväg för att flytta klientmaterial till ett allmänt AI-verktyg.
- Använd tomma mallar och helt syntetiska fall för öppna övningar.
- Låt verksamheten besluta metod och kontroll för eventuell anonymisering; det är inte den enskilda medarbetarens snabbbedömning.
- Räkna kodade, maskerade eller generaliserade klientuppgifter som personuppgifter tills motsatsen har visats.
- Kontrollera även fritext, filnamn, metadata, bilagor, versionshistorik och promptloggar.
Frågan ”kan en kollega lista ut vem det gäller?” är en varningssignal, men inte ett fullständigt anonymiseringstest. Om svaret är ja ska materialet inte lämna den beslutade ärendemiljön. Om svaret är nej kan det ändå vara personuppgifter för någon med annan bakgrundsinformation.
Tre regelverk du behöver känna till
Offentlighets- och sekretesslagen (OSL) 26 kap. reglerar sekretessen inom socialtjänsten. I 26 kap. 1 § används ett omvänt skaderekvisit: uppgiften får röjas först när det står klart att den enskilde eller någon närstående inte lider men. Om en leverantör eller underleverantör får tillgång måste verksamheten pröva om röjandet är tillåtet; ett internt produktgodkännande är inte i sig ett lagstöd.
Socialtjänstlagen (2025:400) 14 kap. 3–7 §§ reglerar skyldighet, undantag, integritet och förvaring vid dokumentation. Om en AI-text tillförs ett ärende ska det vara tydligt vad som är verifierade fakta, vad som är den enskildes uppgifter och vad som är handläggarens bedömning. AI-utkast får inte ersätta den dokumentation som lagen och Socialstyrelsens föreskrifter kräver.
GDPR gäller när personuppgifter behandlas. Verksamheten behöver bland annat ändamål, rättslig grund, stöd för känsliga personuppgifter, dataminimering, säkerhet, fastställda roller och ibland en konsekvensbedömning. GDPR och OSL måste prövas parallellt; inget av regelverken ersätter det andra.
JURIDIKKommunal verksamhet och offentlighetsprincipen
För kommunal socialtjänst gäller offentlighetsprincipen. En handling som förvaras hos myndigheten och är inkommen eller upprättad kan vara allmän. Om någon begär ut den ska myndigheten därefter pröva om sekretess hindrar utlämnande.
Det påverkar AI-användningen på två sätt:
- AI-genererade dokument kan bli allmänna handlingar när kriterierna i tryckfrihetsförordningen är uppfyllda, exempelvis när de förvaras hos myndigheten och är inkomna eller upprättade. Sekretess avgör sedan om de får lämnas ut.
- Prompter, svar och loggar kan också omfattas. Kartlägg därför var de lagras, när de anses färdigställda och hur de ska registreras, bevaras eller gallras.
Konsekvensen: slarvig eller oprofessionell formulering i en AI-konversation i tjänsten kan bli ett offentligt dokument. Skriv alltid som om texten kan begäras ut.
Sekretess inom socialtjänsten — inte bara utåt
OSL reglerar sekretess mellan myndigheter och mot enskilda; organisatoriska gränser inom en kommun kan också ha betydelse. Därutöver kräver dataskydd och informationssäkerhet att behörigheter begränsas efter arbetsuppgift och behov. ”Internt” betyder därför inte automatiskt att alla får se uppgiften.
Det innebär att du även ska tänka på:
- AI-verktyg som är godkända inom organisationen kan ändå ha tillgång till data som fler ser än nödvändigt
- Om ett godkänt AI-verktyg sparar konversationshistorik som andra administratörer kan läsa — kontrollera det
- Dela inte fler uppgifter med AI-verktyget än vad som krävs för uppgiften
Vad gör du om du matat in fel information?
Om du inser att du av misstag matat in klientidentifierande information i ett icke-godkänt AI-verktyg:
- Avbryt användningen och mata inte in något mer
- Rapportera omedelbart via verksamhetens incidentväg
- Dokumentera vad som hände, när och vilka uppgiftskategorier som berördes utan att sprida uppgifterna vidare
- Följ din organisations rutin för dataskyddsincidenter
Den personuppgiftsansvariga verksamheten ska dokumentera incidenten och bedöma risken. Om det inte är osannolikt att incidenten medför risk för registrerades rättigheter och friheter ska den anmälas till IMY utan onödigt dröjsmål och, om möjligt, inom 72 timmar från vetskap. Dataskyddsombudet ger råd och övervakar; ansvaret ligger kvar hos den personuppgiftsansvariga.
RUTINKällor för den här sidan
- Offentlighets- och sekretesslag (2009:400), särskilt 26 kap. (öppnas i ny flik) — socialtjänstsekretess och förbud mot att röja uppgifter.
- Socialtjänstlag (2025:400) (öppnas i ny flik) — aktuell kapitelstruktur för barns rättigheter, kvalitet, handläggning och dokumentation.
- IMY — GDPR i fulltext (öppnas i ny flik), bland annat artiklarna 5, 6, 9, 28, 32 och 35.
- IMY — hantering av personuppgiftsincidenter (öppnas i ny flik).
Nästa: Etik och juridik
Koppla AI-användning till SoL, OSL, GDPR, förvaltningsrätt och barnperspektiv.