Vem har tillsyn över AI-förordningen i Sverige

Frågan låter enkel och har inte haft något svar. Vilken myndighet hör av sig om er AI blir ett tillsynsärende? Sedan i juni finns ett svar för AI-förordningen i Sverige, och det går inte att härleda ur vilken bransch ni är i.

Den 4 juni 2026 beslutade regeringen om uppdraget att vara nationella behöriga myndigheter, regeringsbeslut III:50, diarienummer Fi2026/01365. Beslutet publicerades den 12 juni. Fem myndigheter fick var sin del: Post- och telestyrelsen, Integritetsskyddsmyndigheten, Finansinspektionen, Läkemedelsverket och Styrelsen för ackreditering och teknisk kontroll. Beslutet avslutas med en mening som är lika viktig som fördelningen: "Uppdraget ska pågå t.o.m. den 31 december 2026."

Så fördelades AI-förordningen i Sverige

Fördelningen görs inte per sektor. Den görs per punktnummer i bilaga III, alltså den lista i AI-förordningen som räknar upp de användningsområden där ett system är högrisk enligt artikel 6.2.

Beslutet skriver ut punktnumren och ingenting om vad punkterna innehåller. PTS får "punkterna 2-4, 5 a och 5 d i bilaga III". Finansinspektionen får "punkten 5 b i bilaga III till förordningen (inom ramen för myndighetens verksamhet) och punkten 5 c". Integritetsskyddsmyndigheten får "punkterna 1 och 5 b, med undantag för det område som Finansinspektionens [sic] ansvarar för, och områdena i punkterna 6-8 i bilaga III".

Läkemedelsverket och Swedac står inte i tabellen, och det är inte ett förbiseende. Den andra vägen in i högriskregimen går genom artikel 6.1, alltså AI som sitter i, eller själv utgör, en produkt med egen produktlagstiftning. Där pekas ansvaret inte ut per punkt utan per rättsakt. Läkemedelsverket har medicintekniken enligt förordningarna (EU) 2017/745 och (EU) 2017/746 och är anmälande myndighet för den. Post- och telestyrelsen har på samma väg produkter som omfattas av radioutrustningsdirektivet (2014/53/EU). Swedac utövar ingen marknadskontroll alls, utan är anmälande myndighet "i övrigt", alltså den som utser de organ som bedömer överensstämmelse.

Radiovägen har samtidigt blivit smalare än den var när beslutet skrevs. Omnibusförordningen (EU) 2026/1744, utfärdad den 8 juli 2026, la till en regel om att en produkt som måste tredjepartsbedömas enbart på grund av andra risker än hälsa och säkerhet, särskilt risker som rör radiospektrum och elektromagnetisk störning, inte klassas som högrisk på den grunden.

Vad Post- och telestyrelsen faktiskt fick

Fem punkter, och tre av dem har ingenting med elektronisk kommunikation att göra.

Punkt 3 är utbildning och yrkesutbildning. Den omfattar system som avgör tillträde till en utbildning eller tilldelar platser, som utvärderar läranderesultat, som bedömer vilken utbildningsnivå en person ska få, och som övervakar förbjudet beteende under prov. Den gäller alla nivåer i utbildningsväsendet.

Punkt 4 är sysselsättning, arbetsledning och tillgång till egenföretagande. Den omfattar rekrytering och urval, uttryckligen inklusive riktade jobbannonser, filtrering av ansökningar och utvärdering av kandidater, samt beslut som påverkar villkoren i anställningen, befordran, uppsägning, fördelning av arbetsuppgifter och övervakning av prestation.

Punkt 5 a är myndigheters bedömning av rätt till väsentliga offentliga förmåner och tjänster, hälso- och sjukvård inräknat, och besluten att bevilja, minska, återkalla eller återkräva dem. Punkt 5 d är utvärdering och klassificering av larmsamtal och prioritering av utryckning, inklusive triage i akutsjukvården. Punkt 2 är säkerhetskomponenter i drift av kritisk digital infrastruktur, vägtrafik och försörjning av vatten, gas, värme och el.

Telekommyndigheten har tillsyn över AI i skolan, i rekryteringen och i besluten om försörjningsstöd.

Uppdraget till PTS slutar inte där, och resten står i samma beslut. Myndigheten har marknadskontrollen över de förbjudna användningarna i artikel 5 inom samma områden. Den har "transparenskraven enligt artikel 50.1, 2 och 4", alltså skyldigheten att den som talar med ett AI-system får veta det, att syntetiskt ljud, bild, video och text märks maskinläsbart, och att den som sprider en deepfake talar om det. Myndigheten ska "vara gemensam kontaktpunkt för AI förordningen enligt artikel 70.2 i förordningen", alltså den adress EU-kommissionen och andra medlemsstater vänder sig till. Och den ska "inrätta en regulatorisk sandlåda för AI enligt artikel 57", alltså den kontrollerade miljö där system får testas innan de släpps ut.

Det gör PTS till något annat än en av fem. Myndigheten är samtidigt bredast i tillsynen, ensam kontaktpunkt utåt och värd för den miljö där nya system prövas. Post- och telestyrelsen och Myndigheten för digital förvaltning slås ihop den 1 januari 2027, och regeringen avser att ge den nya myndigheten namnet Digitaliseringsmyndigheten.

Där kreditgivningen delar sig

Punkt 5 b, kreditvärdighet och kreditpoäng, är den enda punkt som två myndigheter delar på. Beslutet ger Finansinspektionen den "inom ramen för myndighetens verksamhet" och Integritetsskyddsmyndigheten resten.

Den avgränsningen betyder att samma sorts system kan ha två olika tillsynsmyndigheter beroende på vem som kör det. En bank som poängsätter kreditvärdighet står under Finansinspektionen, eftersom banken redan gör det. En aktör som gör samma bedömning utan att stå under FI:s tillsyn hamnar hos IMY.

Frågan avgörs alltså inte av vad systemet gör utan av vem som använder det. Det är den enda punkt där regeringen har låtit verksamhetens identitet avgöra vilken myndighet som gäller, och det gör den till den punkt där en organisation lättast tar fel på sin egen myndighet.

Vad utredningen föreslog, och vad som blev av det

Fördelningen kommer inte från ingenstans. SOU 2025:101, Anpassningar till AI-förordningen, lämnades i oktober 2025 och föreslog att "PTS ska vara marknadskontrollmyndighet med huvudsakligt ansvar för AI-förordningen" och att "PTS, IMY och Finansinspektionen ska få ett delat ansvar för marknadskontroll över AI-system med hög risk som avses i bilaga III".

Regeringen följde det i huvudsak, och på transparenskraven bokstavligen. Utredningen föreslog att "PTS och IMY ska dela på ansvaret för transparenskraven i artikel 50", och beslutet gör precis det: PTS fick 50.1, 2 och 4, IMY fick 50.3, som gäller känsloigenkänning och biometrisk kategorisering och därmed ligger i IMY:s eget område. Transparenskraven började gälla den 2 augusti 2026. Med ett undantag: leverantörer av system som släpptes ut på marknaden före det datumet har till den 2 december 2026 på sig att uppfylla märkningskravet i artikel 50.2. Två skillnader är värda att notera.

Utredningen föreslog att "nio befintliga marknadskontrollmyndigheter" skulle få ansvar för högrisk enligt avsnitt A i bilaga I, alltså AI i produkter. Beslutet pekar bara ut två produktområden, medicinteknik till Läkemedelsverket och radioutrustning till PTS. Att beslutet tiger om resten gör dock inte frågan obesvarad. Artikel 74.3 säger att marknadskontrollmyndigheten för system knutna till produkter i avsnitt A i bilaga I är den myndighet som redan ansvarar för marknadskontroll enligt produktlagstiftningen, om inte medlemsstaten pekar ut en annan. Avsnitt B, alltså fordon, luftfart, järnväg, marin utrustning och maskiner, ligger utanför den regeln: på de produkterna tillämpas enligt artikel 2.2 bara ett fåtal av AI-förordningens bestämmelser.

Utredningen gav Finansinspektionen punkterna 5 b och 5 c rakt av. Beslutet lade till avgränsningen "inom ramen för myndighetens verksamhet" på 5 b, och skapade därmed den delning mellan FI och IMY som utredningen inte hade.

Uppdraget är inte en lag, och det tar slut vid årsskiftet

Här ligger invändningen som väger, och den är den starkaste i hela frågan.

Det regeringen fattade beslut om är ett uppdrag till fem myndigheter, inte en författning. Ett regeringsuppdrag styr vad en myndighet ska göra. Befogenheterna att göra det kommer inte därifrån, utan ur artikel 74.1, som gör marknadskontrollförordningen (EU) 2019/1020 tillämplig på AI-system. Det som fattas är i stället sanktionerna. Artikel 99 lägger på medlemsstaterna att fastställa dem, och det kräver svensk lag. Ingen proposition som bygger på SOU 2025:101 har lämnats.

Ett uppdrag säger vem som ska titta. Vad det kostar att bli påkommen står ännu ingenstans.

Lägg till att uppdraget enligt sin egen lydelse upphör den 31 december 2026, och invändningen skriver sig själv: varför lära sig en fördelning som saknar sanktioner och går ut om några månader?

Sandlådan gör motsägelsen konkret. Kravet på minst en regulatorisk sandlåda per medlemsstat fanns redan, med den 2 augusti 2026 som gräns. Omnibusförordningen flyttade gränsen till den 2 augusti 2027. Uppdraget att inrätta sandlådan upphör sju månader före den nya gränsen.

Motvikten är kalendern. Högriskkraven för bilaga III börjar gälla den 2 december 2027, alltså elva månader efter att uppdraget löpt ut. Under tiden däremellan ska klassificeringar göras, dokumentation byggas och konsekvensbedömningar skrivas. Den fördelning som gäller i dag är den enda indikation som finns på var det arbetet kommer att läsas, och den ligger så nära utredningens förslag att det vore ovanligt om den permanenta ordningen såg väsentligt annorlunda ut.

Och en sak gäller redan. Förbuden i artikel 5 har tillämpats sedan den 2 februari 2025, och beslutet fördelar tillsynen även över dem: PTS och Finansinspektionen får förbuden inom sina egna områden, Integritetsskyddsmyndigheten allt annat. Två förbud är nyare än så. Omnibusförordningen la till förbud mot AI som genererar intimt material utan samtycke och material med sexuella övergrepp mot barn, och de båda tillämpas först från den 2 december 2026.

Frågan som avgör vilken myndighet som är er

Två organisationer i samma bransch kan hamna hos olika myndigheter, och två i helt olika branscher hos samma. Vägen till svaret går aldrig genom branschen. Den går genom tre frågor, i den här ordningen.

Vilket användningsområde gäller det, inte vilket system? Ett rekryteringsverktyg är punkt 4 oavsett om det säljs som HR-system, som annonsplattform eller som en funktion i något ni redan har. Det är användningen som listas i bilaga III, inte produktkategorin.

Sitter AI:n i en produkt med egen lagstiftning? Då gäller artikel 6.1 och bilaga I i stället. Beslutet pekar ut två områden, medicinteknik hos Läkemedelsverket och radioutrustning hos PTS. För övriga produkter i avsnitt A i bilaga I gäller huvudregeln i artikel 74.3: myndigheten är den som redan har marknadskontrollen över produkten. Ligger produkten i avsnitt B, alltså fordon, luftfart, järnväg, marin utrustning eller maskiner, tillämpas bara ett fåtal av förordningens bestämmelser på den. Den skillnaden avgör dessutom vilket datum som gäller: den 2 december 2027 för bilaga III, den 2 augusti 2028 för bilaga I.

Står ni redan under någon annans tillsyn? Det spelar roll på exakt ett ställe, kreditvärdighet i punkt 5 b, och där avgör det hela svaret.

Den som kan besvara de tre vet vilken myndighet som läser klassificeringen, och därmed vilket språk den ska skrivas på. Den som inte kan det har ett inventeringsproblem och inte ett myndighetsproblem, och det är inventeringen som är första steget i styrningsarbetet.