Är AI förbjudet i säkerhetskänslig verksamhet, och vad står det egentligen

Få antaganden stoppar så mycket arbete som det att AI är förbjudet i säkerhetskänslig verksamhet. Antagandet framförs sällan med en hänvisning, och det stämmer inte.

Vad Säkerhetspolisen faktiskt skriver

I sin text om AI-modellers påverkan på cybersäkerheten, publicerad den 24 juni 2026, hänvisar Säkerhetspolisen till bestämmelserna om logisk och fysisk separation samt enkelriktad kommunikation för informationssystem med säkerhetsskyddsklassificerade uppgifter. Myndigheten är också tydlig med var den strängaste nivån ligger: fysisk separation är ett krav för informationssystem som ska hantera säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen hemlig eller högre.

Det är krav på hur ett system ska vara avskilt. Det är inte ett förbud mot vad som får finnas i systemet.

Myndigheten går längre än så. I samma text står att användandet av AI och nya arbetssätt för defensiva ändamål kommer att bli nödvändigt.

Att avstå är inte ett neutralt val, eftersom också det som inte byggs innebär en risk.

Skillnaden mellan de två läsningarna är praktisk och inte akademisk. Ett förbud avslutar diskussionen. Ett krav på arbetssätt öppnar i stället en fråga om hur verksamheten ska delas upp, och den frågan går att arbeta med.

Kravet följer klassificeringen, inte tekniken

Det som avgör vad som gäller är uppgifternas säkerhetsskyddsklass, inte om verktyget innehåller en språkmodell. Utgångspunkten är därför säkerhetsskyddsanalysen, alltså den utredning som ska besvara vad som ska skyddas, mot vad det ska skyddas och hur det ska skyddas.

Det låter självklart och är det inte i praktiken. Mycket få organisationer har hela sin verksamhet i den högsta klassen. De flesta har en avgränsad del som är säkerhetsskyddsklassificerad och en betydligt större del som inte är det. När hela organisationen behandlas som om den låg i den högsta klassen är det sällan ett regelverkskrav, utan resultatet av att ingen har gjort uppdelningen.

Skälet att avstå är alltså oftare att frågan aldrig ställts än att svaret varit nej.

Det andra antagna förbudet

Nära besläktat är antagandet att leverantörer utanför EU är uteslutna. Inte heller det stämmer som generell regel.

I regeringens molnpolicy, utgiven av Finansdepartementet 2026, står att den offentliga förvaltningen även i fortsättningen kommer att kunna använda marknadsledande produkter och tjänster också om de kommer från företag med hemvist utanför EU. Policyn anger i stället vad valet bör styras av: de krav som gäller för den aktuella verksamheten avseende bland annat funktion, säkerhet, rådighet, suveränitet, robusthet och kostnadseffektivitet.

Det är ett riskbaserat angreppssätt och inte en lista över tillåtna länder. Det gör beslutet svårare att fatta och lättare att motivera, vilket är den avvägning svensk säkerhetsreglering ofta gör.

Det tredje antagandet går åt motsatt håll

De två antaganden som behandlats hittills gäller förbud som inte finns. Det finns också ett antagande i motsatt riktning, och det är minst lika vanligt: att AI-förordningen inte gäller alls, eftersom verksamheten är försvar eller nationell säkerhet.

Undantaget finns och det är brett. Artikel 2.3 anger att förordningen inte tillämpas på AI-system som släpps ut på marknaden, tas i bruk eller används, med eller utan ändringar, uteslutande för militära ändamål, försvarsändamål eller ändamål som rör nationell säkerhet, oavsett vilken typ av aktör som bedriver verksamheten.

Men undantaget är knutet till ändamålet och inte till organisationen, och hela avgränsningen ligger i ordet uteslutande. Skäl 24 säger rakt ut att ett system som släpps ut eller tas i bruk för ett undantaget ändamål och samtidigt för ett eller flera icke-undantagna ändamål, till exempel civila eller brottsbekämpande, faller inom förordningens tillämpningsområde.

Följden i praktiken är obekväm för många i sektorn. Ett försvarsföretags rekryteringsverktyg omfattas inte av undantaget, eftersom rekrytering är ett arbetsrättsligt och kommersiellt ändamål och inte ett militärt. Sådana system är dessutom uttryckligen högrisk enligt bilaga III punkt 4. Detsamma gäller merparten av det administrativa stödet: ekonomi, personal, dokumenthantering och kundtjänst.

De två antagandena drar alltså åt varsitt håll och båda är fel. Att ingenting får göras, och att ingenting behöver göras.

Varför det är ledningens fråga

Säkerhetspolisen placerar ansvaret uttryckligen. Riskerna i förhållande till AI-utvecklingen är en verksamhetsrisk och en ledningsfråga, inte enbart en teknisk risk.

En verksamhetsrisk kan inte delegeras till IT-funktionen som en konfigurationsfråga. Den handlar om vilken verksamhet organisationen ska bedriva, med vilka uppgifter, och vad den är beredd att avstå från. Det är beslut som hör hemma där verksamhetsansvaret ligger.

Konsekvensen är obekväm åt båda hållen. En ledning kan inte skylla på att tekniken inte tillåter, och den kan inte heller lämna över frågan och kalla det försiktighet.

Fyra frågor som avgör saken

1. Vilka delar av verksamheten hanterar faktiskt säkerhetsskyddsklassificerade uppgifter, och i vilken klass? Utan det svaret är allt annat gissningar. Uppsättningen är nästan alltid mindre än organisationen antar.
2. Vilka system omfattas därmed av separationskraven? Fysisk separation för hemlig eller högre, logisk och fysisk separation samt enkelriktad kommunikation i övrigt för system med säkerhetsskyddsklassificerade uppgifter.
3. Vad finns kvar utanför den uppsättningen? Det är där utrymmet ligger, och det är oftast större än väntat. Administration, utbildning, analys av öppna källor och intern dokumentation hör sällan till den skyddade delen.
4. Vem äger beslutet? Om svaret är IT-funktionen är frågan felplacerad enligt Säkerhetspolisens egen beskrivning.

Bedömningen i det enskilda fallet utgår från organisationens säkerhetsskyddsanalys, och det är den analysen som avgör vad som är möjligt.