En konsekvensbedömning avseende grundläggande rättigheter (på engelska FRIA) är den bedömning som artikel 27 i AI-förordningen kräver innan vissa tillhandahållare börjar använda ett AI-system med hög risk. Den gäller offentligrättsliga organ, privata aktörer som tillhandahåller offentliga tjänster samt den som använder AI för kreditvärdering eller prissättning av livs- och sjukförsäkringar. Resultatet ska anmälas till marknadskontrollmyndigheten.
Det viktigaste i korthet
- Bedömningen är en skyldighet för tillhandahållaren, alltså organisationen som använder systemet – inte för leverantören som har byggt det.
- Den gäller AI-system med hög risk enligt bilaga III, med undantag för kritisk infrastruktur (bilaga III punkt 2).
- Artikel 27.1 a–f anger sex obligatoriska delar, från de processer där systemet används till klagomålsmekanismer om skada uppstår.
- Det som redan finns i en konsekvensbedömning avseende dataskydd enligt GDPR kan återanvändas genom korshänvisningar.
- Per oktober 2026 gäller kravet tillsammans med högriskreglerna för bilaga III från 2 december 2027, efter ändringarna genom Digital Omnibus.
Varför finns kravet?
De flesta kraven i AI-förordningen riktar sig till leverantörer. Men leverantören kan inte känna till varje sammanhang där systemet kommer att användas. Ett beslutsstöd kan vara noggrant testat i labbmiljö och ändå slå fel när en kommun använder det på personer med långvarigt försörjningsstöd eller låg digital vana. Konsekvensbedömningen flyttar därför frågan till den som faktiskt känner de berörda människorna: tillhandahållaren. Den kompletterar de skyldigheter som tillhandahållare redan har enligt artikel 26. Hur rollerna fördelar ansvaret beskriver vi i leverantör och tillhandahållare enligt AI-förordningen, och helheten finns i vår guide till AI-förordningen.
Behöver ni hjälp med cloud?
Boka ett kostnadsfritt 30-minuters möte med en av våra specialister inom cloud. Vi analyserar ert behov och ger konkreta rekommendationer — helt utan förpliktelse.
Vem måste göra en konsekvensbedömning?
Lagtexten finns i artikel 27 (se även förordningen på EUR-Lex). Bedömningen krävs innan ett AI-system med hög risk enligt artikel 6.2 – det vill säga ett system i bilaga III – införs, av tre grupper:
| Grupp av tillhandahållare | Vilka system | Svenska exempel |
|---|---|---|
| Offentligrättsliga organ | Alla högrisksystem i bilaga III utom kritisk infrastruktur (punkt 2) | En kommun som använder AI för att prioritera ansökningar om ekonomiskt bistånd; en region; en statlig myndighet som Försäkringskassan om den använder AI för att bedöma rätt till förmåner |
| Privata aktörer som tillhandahåller offentliga tjänster | Samma omfattning som ovan | En privat vårdgivare med avtal med regionen, en friskola eller ett hemtjänstföretag som använder ett högrisksystem i den verksamheten |
| Tillhandahållare av system enligt bilaga III punkt 5 b och c, offentliga som privata | Bedömning av kreditvärdighet eller kreditbetyg (utom bedrägeriupptäckt); riskbedömning och prissättning av livförsäkring och sjukförsäkring | En bank eller ett konsumentkreditbolag som använder en scoringmodell; ett försäkringsbolag som prissätter sjukvårdsförsäkringar med AI |
Två saker följer av tabellen. För det första behöver ett vanligt privat företag som använder ett AI-verktyg för rekrytering inte göra en konsekvensbedömning enligt artikel 27, så länge det inte tillhandahåller en offentlig tjänst – även om det kan vara klokt att göra en enklare variant ändå. För det andra omfattas varje bank, kreditgivare och försäkringsbolag som använder AI för kreditvärdering eller prissättning av liv- och sjukförsäkring, oavsett ägarform. Vilka system som räknas som högrisk från början går vi igenom i kraven för AI-system med hög risk.
Var gränsen går för ”privata aktörer som tillhandahåller offentliga tjänster” är inte helt preciserad i förordningen. Skäl 96 nämner bland annat utbildning, hälso- och sjukvård, sociala tjänster, bostäder och rättskipning. Svenska verksamheter som driver offentligt finansierad välfärd på entreprenad bör därför utgå från att de kan omfattas.
Är ni osäkra på vilka av era system som hamnar här? Opsios gratis mallar för AI-policy och AI governance tas fram utifrån en bedömning på cirka 40 minuter, där ni bland annat får en mall för riskbedömning av AI skriven för er organisation – ett bra underlag för riskdelen i en konsekvensbedömning.
Vad ska bedömningen innehålla? Artikel 27.1 a–f
Förordningen räknar upp sex delar. De är korta i lagtexten, så den högra kolumnen visar vad ett användbart svar brukar innehålla.
| Led | Krav enligt artikel 27.1 | Vad ett bra svar innehåller |
|---|---|---|
| a | En beskrivning av tillhandahållarens processer där systemet används i linje med dess avsedda ändamål | Processen steg för steg, var AI:ns utdata kommer in och vem som agerar på den |
| b | Den tidsperiod inom vilken och den frekvens med vilken systemet är avsett att användas | Driftstart, planerad användningstid, antal beslut per månad |
| c | De kategorier av fysiska personer och grupper som sannolikt påverkas i det specifika sammanhanget | Sökande, kunder, brukare, anställda samt sårbara grupper, till exempel personer med funktionsnedsättning eller begränsade kunskaper i svenska |
| d | De specifika risker för skada som sannolikt påverkar dessa grupper, med beaktande av leverantörens information enligt artikel 13 | Diskriminering, utestängning från tjänster, felaktiga beslut med stora konsekvenser, integritetsintrång – var och en med sannolikhet och allvarlighetsgrad |
| e | En beskrivning av åtgärderna för mänsklig kontroll enligt bruksanvisningen | Vem som granskar utdata, deras utbildning och befogenheter, när de ska gå emot systemet och hur avvikelser dokumenteras |
| f | De åtgärder som vidtas om riskerna förverkligas, inklusive intern styrning och klagomålsmekanismer | Eskaleringsväg, kriterier för att pausa systemet, kanal för klagomål från berörda, rättelse och uppföljning |
Led d är kärnan. Använd rättigheterna i EU:s stadga om de grundläggande rättigheterna som checklista: människans värdighet, icke-diskriminering, skydd av personuppgifter, yttrandefrihet, barnets rättigheter, rättigheter i arbetslivet, tillgång till social trygghet och rätten till ett effektivt rättsmedel. En enhetlig bedömningsmetod, som den i vår mall för riskbedömning av AI, gör resultaten jämförbara mellan systemen.
När ska den göras och när ska den uppdateras?
Konsekvensbedömningen ska göras innan systemet tas i bruk första gången. Enligt artikel 27.2 gäller skyldigheten den första användningen, och i liknande fall får tillhandahållaren förlita sig på en tidigare bedömning eller på en befintlig konsekvensbedömning som leverantören har gjort. Om någon av de sex delarna ändras eller inte längre är aktuell under användningen – till exempel om en kommun utvidgar systemet till en ny målgrupp – ska bedömningen uppdateras.
Tidpunkten styrs av högriskreglerna. Efter förordning (EU) 2026/1744 gäller de för bilaga III-system från 2 december 2027, per oktober 2026. Offentliga tillhandahållare av högrisksystem som redan används har till 2 augusti 2030 på sig.
Anmälan till marknadskontrollmyndigheten
När bedömningen är klar ska tillhandahållaren enligt artikel 27.3 underrätta marknadskontrollmyndigheten om resultatet och lämna in den ifyllda mallen (se nedan) som en del av underrättelsen. Undantag gäller bara i det fall som avses i artikel 46.1, där en myndighet av exceptionella skäl, till exempel allmän säkerhet eller skydd av liv och hälsa, har godkänt ett system utan att bedömningen av överensstämmelse är klar.
Vilken svensk myndighet som ska ta emot anmälan beror på området. Per oktober 2026 är PTS tillfälligt (till och med 31 december 2026) nationell behörig myndighet, gemensam kontaktpunkt och marknadskontrollmyndighet för vissa högrisksystem, medan IMY är marknadskontrollmyndighet bland annat för AI-system inom kreditvärdering och brottsbekämpning – se IMY:s besked om rollen enligt AI-förordningen. Finansinspektionen är också utpekad för finanssektorn. Den permanenta tillsynsstrukturen är ännu inte slutligt beslutad, så kontrollera pts.se och imy.se innan ni anmäler. Spara hela bedömningen och räkna med följdfrågor.
AI-byråns mall
Enligt artikel 27.5 ska AI-byrån ta fram en mall för ett frågeformulär, även i form av ett automatiserat verktyg, så att tillhandahållare kan fullgöra skyldigheten på ett förenklat sätt. Per oktober 2026 har vi inte kunnat bekräfta att någon slutlig officiell mall har publicerats. Kontrollera kommissionens och AI-byråns sidor innan ni lämnar in något, och bygg under tiden er bedömning kring de sex delarna i artikel 27.1. Då går den lätt att föra över till den officiella mallen när den kommer.
Hur förhåller den sig till konsekvensbedömning enligt GDPR?
De flesta högrisksystem behandlar personuppgifter, och många tillhandahållare behöver därför också en konsekvensbedömning avseende dataskydd (DPIA) enligt artikel 35 i GDPR. Artikel 27.4 hanterar överlappet. I lydelsen efter omnibusen får tillhandahållaren, om en skyldighet redan uppfylls genom konsekvensbedömningen avseende dataskydd, inkludera korshänvisningar till de relevanta avsnitten i den eller ta in relevanta delar i konsekvensbedömningen avseende grundläggande rättigheter. Ni behöver alltså inte göra samma arbete två gånger.
| Konsekvensbedömning avseende dataskydd (GDPR) | Konsekvensbedömning avseende grundläggande rättigheter (AI-förordningen) | |
|---|---|---|
| Rättslig grund | Artikel 35 GDPR | Artikel 27 AI-förordningen |
| Vem gör den | Personuppgiftsansvarig | Tillhandahållare i någon av de tre grupperna |
| Utlösande faktor | Behandling som sannolikt leder till hög risk för fysiska personers rättigheter och friheter | Första användningen av ett högrisksystem i bilaga III |
| Fokus | Risker som följer av behandlingen av personuppgifter | Alla grundläggande rättigheter som påverkas av användningen, även sådant som inte rör integritet |
| Kontakt med myndighet | Förhandssamråd med IMY endast om hög restrisk kvarstår | Resultatet anmäls alltid till marknadskontrollmyndigheten |
Ett fungerande upplägg är en samlad bedömning med gemensam beskrivning av system och process, och separata avsnitt för dataskyddsrisker respektive bredare rättighetsrisker. Artikel 26.9 ger dessutom tillhandahållaren rätt att använda leverantörens information enligt artikel 13 i sin DPIA. Mer om hur lagarna samspelar finns i vår artikel om AI och GDPR.
Så gör ni en konsekvensbedömning steg för steg
- Bekräfta att kravet gäller. Är systemet högrisk enligt bilaga III (och inte punkt 2), och är ni ett offentligrättsligt organ, en privat utförare av offentliga tjänster eller en kredit- eller försäkringsaktör?
- Samla in leverantörens underlag. Bruksanvisning, avsett ändamål, uppgifter om noggrannhet, kända begränsningar och eventuell egen konsekvensbedömning.
- Beskriv processen (led a) och tidsperiod och frekvens (led b).
- Identifiera berörda personer (led c) tillsammans med handläggare och, där det går, företrädare för de berörda grupperna.
- Bedöm riskerna (led d) rättighet för rättighet, med sannolikhet och allvarlighetsgrad.
- Beskriv den mänskliga kontrollen (led e) med namngivna roller och utbildning.
- Planera åtgärderna (led f): kriterier för att pausa, klagomålshantering, rättelse.
- Koppla till er DPIA med korshänvisningar i stället för dubbelarbete.
- Fastställ, anmäl och arkivera. Beslut på ledningsnivå, anmälan till myndigheten och ett datum för nästa översyn.
Vanliga frågor
Vem måste göra en konsekvensbedömning avseende grundläggande rättigheter?
Tillhandahållare av högrisksystem enligt bilaga III som är offentligrättsliga organ eller privata aktörer som tillhandahåller offentliga tjänster, samt alla tillhandahållare som använder AI för kreditvärdering, kreditbetyg eller riskbedömning och prissättning av liv- och sjukförsäkring. System för kritisk infrastruktur är undantagna. Leverantörer gör ingen sådan bedömning, men deras information ska användas som underlag.
När gäller kravet i Sverige?
Kravet hör till högriskreglerna för bilaga III, som efter Digital Omnibus (förordning (EU) 2026/1744) gäller från 2 december 2027, per oktober 2026. Offentliga tillhandahållare av system som redan används har till 2 augusti 2030. Förordningen gäller direkt i Sverige; svensk kompletterande lagstiftning reglerar främst vilka myndigheter som utövar tillsyn.
Är det samma sak som en DPIA enligt GDPR?
Nej. En DPIA handlar om risker med behandlingen av personuppgifter, medan konsekvensbedömningen enligt AI-förordningen omfattar alla grundläggande rättigheter som påverkas, till exempel icke-diskriminering och tillgång till samhällstjänster. Där en skyldighet redan uppfylls i er DPIA får ni korshänvisa till den eller ta in relevanta delar, så att arbetet inte görs två gånger.
Finns det en officiell mall?
AI-förordningen ålägger AI-byrån att ta fram en mall för ett frågeformulär, eventuellt som ett automatiserat verktyg, och den ifyllda mallen ska lämnas in med anmälan. Per oktober 2026 har vi inte kunnat bekräfta att en slutlig mall har publicerats. Strukturera bedömningen efter de sex leden i artikel 27.1, så blir den lätt att föra över.
Måste vi göra om bedömningen varje gång vi använder systemet?
Nej. Kravet gäller den första användningen, och i liknande fall får ni förlita er på en tidigare bedömning eller på leverantörens konsekvensbedömning. Ni måste däremot uppdatera den när någon av de sex delarna ändras eller blir inaktuell, till exempel om nya grupper berörs, processen ändras eller systemet används på ett väsentligt annat sätt.
Börja med grunden på plats
En konsekvensbedömning blir mycket enklare om ni redan vet vilka AI-system ni har, vem som äger dem och hur ni bedömer risk. Gör Opsios gratis bedömning av er AI-styrning: fjorton steg, cirka 40 minuter. När ni skickar in skrivs fyra styrdokument utifrån era svar – en AI-policy för medarbetare, ett ramverk för AI governance, en checklista för AI-leverantörer och en mall för riskbedömning av AI – plus en mognadsbild över tio områden. Frågorna är på svenska och dokumenten levereras på engelska som Word-filer ni kan redigera. Gratis och utan förpliktelser.
Den här artikeln är allmän information, inte juridisk rådgivning. Kontrollera den konsoliderade texten till förordning (EU) 2024/1689 i dess lydelse enligt förordning (EU) 2026/1744. Uppgifterna gäller per oktober 2026.
Skriven av
Country Manager, Sverige
Johan leder Opsios verksamhet i Sverige och driver AI-införande, DevOps-transformation, säkerhetsstrategi och molnlösningar för nordiska företag. Med över 12 års erfarenhet inom molninfrastruktur har han levererat fler än 200 projekt på AWS, Azure och GCP — med specialisering inom Well-Architected-granskningar, landningszonsdesign och multi-cloud-strategi.
Redaktionella riktlinjer: Artikeln är skriven av molnpraktiker och granskad av vårt ingenjörsteam. Vi uppdaterar den när tekniken eller regelverket den handlar om förändras; datumen på sidan visar den senaste uppdateringen. Opsio är redaktionellt oberoende.