Vad säkerhetsskyddsanalysen ska säga om AI-verktygen

Att AI skulle vara förbjudet i säkerhetskänslig verksamhet är ett antagande som inte håller, och den frågan är besvarad. Frågan som kommer direkt efter är svårare: vad ska då stå i säkerhetsskyddsanalysen?

Svaret är mer bestämt än de flesta räknar med. Men det står på en nivå de flesta aldrig öppnar, och vilken text som gäller beror på vem som har tillsyn över verksamheten.

Säkerhetsskyddsanalysen regleras på tre nivåer

Säkerhetsskyddslagen 2 kap. 1 § säger att den som till någon del bedriver säkerhetskänslig verksamhet ska utreda behovet av säkerhetsskydd, att utredningen kallas säkerhetsskyddsanalys, och att den ska dokumenteras. Samma paragraf binder därefter allt annat till den: med utgångspunkt i analysen ska verksamhetsutövaren planera och vidta de säkerhetsskyddsåtgärder som behövs. Vad analysen ska innehålla säger lagen däremot ingenting om.

Nästa nivå fyller på. Enligt 2 kap. 1 § säkerhetsskyddsförordningen ska analysen identifiera vilka säkerhetsskyddsklassificerade uppgifter och vilken säkerhetskänslig verksamhet i övrigt som finns i verksamheten, samt vilka hot och sårbarheter som finns kopplade till dessa skyddsvärden. Den ska innehålla en bedömning av vilka säkerhetsskyddsåtgärder som är nödvändiga, och den ska uppdateras vid behov och åtminstone vartannat år.

Den tredje nivån är den som bär det konkreta svaret. Säkerhetspolisen skriver att säkerhetsskyddet finns reglerat i säkerhetsskyddslagen och säkerhetsskyddsförordningen, samt i föreskrifter från olika myndigheter, däribland Säkerhetspolisen. Ordet däribland är hela poängen, och det är också där de flesta läser för fort.

Vilken föreskrift som gäller är den första frågan

Säkerhetspolisens föreskrifter om säkerhetsskydd, PMFS 2022:1, säger i 2 kap. 1 § att verksamhetsutövaren ska göra en säkerhetsskyddsanalys innehållande de moment som framgår av 2 till 9 §§. Sju av dem ligger på verksamhetsutövaren: en beskrivning av verksamheten och vilka delar av den som är av betydelse för Sveriges säkerhet, identifiering av skyddsvärdena, en bedömning av dem utifrån konfidentialitet, riktighet och tillgänglighet, en indelning i konsekvensnivåer, säkerhetshoten, sårbarheterna, och sist bedömningen av nödvändiga åtgärder. Ett av de åtta momenten ligger inte på verksamhetsutövaren utan på Säkerhetspolisen, som mellan säkerhetshoten och sårbarheterna tillhandahåller beskrivningar av dimensionerande antagonistiska förmågor.

Sedan kommer den bestämmelse som avgör om något av detta alls gäller läsaren. Enligt 1 kap. 2 § i samma föreskrifter gäller för Försvarsmakten och Försvarets materielverk samt verksamhetsutövare inom deras tillsynsområden endast bestämmelserna om förfarandet vid registerkontroll i 6 kap. 7 till 15 §§.

Den som ligger under Försvarsmaktens tillsyn läser i stället Försvarsmaktens föreskrifter om säkerhetsskydd, FFS 2025:3. Myndigheten anger själv att regelverken omfattar myndigheter och verksamheter som är del av det svenska totalförsvaret, de myndigheter Försvarsmakten har tillsynsansvar över, och all verksamhet inom försvarsindustrin.

Innan en enda mening skrivs om AI i analysen behöver alltså en annan fråga vara besvarad: vilken myndighet har tillsyn över den här verksamheten. Svaret avgör vilken text som räknar upp momenten.

Var i momenten ett AI-verktyg hör hemma

Resten av det här avsnittet utgår från PMFS 2022:1, alltså från alla verksamhetsutövare utom dem inom Försvarsmaktens och Försvarets materielverks tillsynsområden.

De flesta analyser som över huvud taget nämner AI nämner det i det sista momentet, bland åtgärderna. Verktyget beskrivs som ett tekniskt val, oftast med en mening om vilka tjänster som är godkända och vilka som inte är det.

Det är inte fel. Det är för sent.

Ett AI-verktyg ändrar sällan vad som är hemligt, men ofta var det hemliga passerar.

Ett AI-verktyg berör två moment längre upp. Det berör identifieringen av skyddsvärdena, om verktyget självt blir ett system av betydelse för Sveriges säkerhet. Och det berör sårbarheterna, om det öppnar en ny väg in till skyddsvärden som redan är identifierade. Skillnaden syns i två fall som ser likadana ut i en kravlista: en sammanfattningsfunktion inuti ett ärendehanteringssystem som redan är godkänt för sin säkerhetsskyddsklass öppnar ingen ny väg, medan samma funktion i ett system som skickar texten vidare till en modell hos en extern leverantör gör det.

Två bestämmelser längre ned i kapitlet brukar läsas som formaliteter. Enligt 2 kap. 10 § ska verksamhetsutövarens högsta chef eller motsvarande organ fastställa säkerhetsskyddsanalysen, och enligt 11 § ska den på begäran lämnas till tillsynsmyndigheten respektive Säkerhetspolisen.

De två möter en tredje sak. Riskerna i förhållande till AI-utvecklingen är enligt Säkerhetspolisen en verksamhetsrisk och en ledningsfråga, inte endast en teknisk risk. Myndighetens bedömning och föreskrifternas formkrav pekar därmed på samma bord: det som skrivs in i analysen om AI är något den högsta chefen skriver under på, och som en tillsynsmyndighet kan begära in.

Tre instrument, inte ett

I sin text om AI-modellers påverkan på cybersäkerheten, publicerad den 24 juni 2026, skriver Säkerhetspolisen att utvecklingen på AI-området aktualiserar vikten av att arbeta aktivt med säkerhetsskyddsanalysen, åtgärderna i säkerhetsskyddsplanen och särskilda säkerhetsskyddsbedömningar.

Det är den mest användbara meningen i hela materialet, eftersom den skiljer på tre saker som i praktiken blandas ihop.

Analysen är ramen. Säkerhetsskyddsplanen redogör enligt Säkerhetspolisen för hur behovet av de säkerhetsskyddsåtgärder som identifierats i analysen omhändertas, när åtgärderna ska vidtas och vilken funktion som ansvarar för dem. Den särskilda säkerhetsskyddsbedömningen är något annat än båda, och den hör inte till 2 kap. utan till 4 kap.

När AI-verktyget också är ett förfarande

En verksamhetsutövare som avser att genomföra en upphandling, ingå ett avtal eller inleda en samverkan eller ett samarbete med en annan aktör ska ingå ett säkerhetsskyddsavtal med aktören, om aktören genom förfarandet kan få tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller till annan säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet. Avtalet ska vara på plats innan tillgången ges.

Innan ett sådant förfarande inleds ska verksamhetsutövaren dessutom genom en särskild säkerhetsskyddsbedömning identifiera vilka säkerhetsskyddsklassificerade uppgifter eller vilken säkerhetskänslig verksamhet i övrigt som motparten kan få tillgång till. Bedömningen följs av en lämplighetsprövning, och båda ska dokumenteras. Ett förfarande som bedöms olämpligt får inte inledas. Gäller det uppgifter i säkerhetsskyddsklassen hemlig eller högre ska tillsynsmyndigheten dessutom höras innan förfarandet startar.

Ett AI-verktyg som köps in kan vara ett sådant förfarande. Det är svårt att ta till sig, därför att köpet sällan känns som ett. Ingen flyttar en funktion ut ur huset. Någon aktiverar en licens.

Tröskeln hör däremot till vissa bestämmelser och inte till kapitlet som helhet. Det är kravet på säkerhetsskyddsavtal i 4 kap. 1 § som utlöses av tillgång i klassen konfidentiell eller högre. Skyldigheten i 13 till 15 §§ att göra en särskild säkerhetsskyddsbedömning, en lämplighetsprövning och att samråda inför en överlåtelse av den säkerhetskänsliga verksamheten eller av egendom av betydelse för Sveriges säkerhet har ingen sådan tröskel alls.

Anmälningsplikten som börjar gälla vid årsskiftet

Genom lag (2026:764), som bygger på proposition 2025/26:182, infördes 4 kap. 1 a § säkerhetsskyddslagen. Ändringarna trädde i kraft den 1 juli 2026.

Den nya paragrafen träffar precis det utrymme som annars faller mellan stolarna. Den gäller upphandlingar, avtal, samverkan och samarbeten som är pågående, där motparten kan få tillgång i klassen konfidentiell eller högre, och som inte omfattas av kravet på säkerhetsskyddsavtal. Sådana förfaranden ska anmälas till tillsynsmyndigheten utan dröjsmål. Säkerhetspolisen anger att plikten ska fullgöras från den 1 januari 2027. Att en utebliven anmälan kan leda till sanktionsavgift följer av 7 kap. säkerhetsskyddslagen i dess lydelse från den 1 juli 2026.

Formen för anmälan är också reglerad. Genom PMFS 2026:16, i kraft den 1 juli 2026, föreskriver Säkerhetspolisen att anmälan ska göras på det sätt som tillsynsmyndigheten anvisar.

Plikten riktar sig i första hand bakåt, mot det som redan löper. En organisation som inte vet vilka av sina befintliga avtal som ger en motpart den tillgången har fram till årsskiftet på sig att ta reda på det.

Draget mot den egna slutsatsen

Här ligger en invändning som väger.

Om momenten redan står uppräknade i föreskrifterna och analysen ändå ska uppdateras minst vartannat år, varför skulle AI kräva någon särskild uppmärksamhet? Regelverket är skrivet teknikneutralt med avsikt, och en analys som gjorts ordentligt fångar en ny funktion på samma sätt som den fångar en ny lokal eller en ny anställd.

Tvåårsgränsen är ett golv och inte en takt, och det är skillnaden hela frågan hänger på.

Invändningen är riktig så långt att inget nytt krav på analysens innehåll har tillkommit. Det som har ändrats är avståndet mellan de två formuleringarna i samma paragraf. Vid behov och åtminstone vartannat år var en rimlig konstruktion när skyddsvärdena flyttade sig i takt med organisationsförändringar. AI-funktioner tillkommer i programvara som redan är införd, utan att något inköpsbeslut fattas och utan att någon leverantör byts. Den som läser vartannat år som en takt kommer att ligga efter, och den som läser vid behov som styrande behöver veta vad ett behov ser ut som.

Det svaret hör inte hemma i analysen. Det hör hemma i säkerhetsskyddsplanen, som är där åtgärderna får en ansvarig och ett datum.

De två frågor som avgör vad som gäller

Innan något av det här går att tillämpa behöver två frågor besvaras, och de flesta hoppar över den första.

Vilken myndighet har tillsyn över verksamheten, och därmed vilken föreskrift räknar upp momenten? För Försvarsmakten, Försvarets materielverk och verksamhetsutövare inom deras tillsynsområden gäller Försvarsmaktens föreskrifter. För alla andra verksamhetsutövare är svaret PMFS 2022:1 2 kap., oavsett vilken myndighet som utövar tillsynen.

Kan någon utanför verksamheten få tillgång genom verktyget, och i så fall till uppgifter i vilken säkerhetsskyddsklass? Är svaret konfidentiell eller högre gäller 4 kap. 1 §: säkerhetsskyddsavtal, och dessförinnan en särskild säkerhetsskyddsbedömning och en lämplighetsprövning, samråd vid hemlig eller högre, och för pågående förfaranden utan avtalskrav dessutom anmälan enligt 1 a § från den 1 januari 2027. Är svaret att ingen utanför får tillgång, eller att tillgången ligger under den nivån, gäller 2 kap.: analysens moment, säkerhetsskyddsplanen, och den prövning av separationskraven som klassen kräver.

Ett tredje regelverk pekar åt sitt eget håll och är värt att hålla isär från båda. AI-förordningens artikel 2.3 består av tre meningar, och den som gäller här undantar AI-system om och i den mån de släpps ut på marknaden, tas i bruk eller används, med eller utan ändring, uteslutande för militära ändamål, försvarsändamål eller ändamål som rör nationell säkerhet, oavsett vilken typ av enhet som bedriver verksamheten. Två led gör hela arbetet: undantaget gäller om och i den mån systemet används så, alltså partiellt och aldrig för organisationen som helhet, och det gäller bara när användningen är uteslutande sådan. Skäl 24 anger att ett system som släpps ut eller tas i bruk för ett undantaget ändamål och samtidigt för ett eller flera icke-undantagna ändamål, till exempel civila eller brottsbekämpande, omfattas av förordningen.

För en försvarsleverantör är det skillnaden mellan att vara undantagen och att ha vissa system undantagna. Och undantaget säger ingenting om säkerhetsskyddslagen, som är svensk rätt med ett eget tillämpningsområde. Ett system kan ligga utanför AI-förordningen och samtidigt fullt ut inom säkerhetsskyddsregleringen.

Ingen av de två frågorna går att besvara ur en leverantörslista. Den första avgörs av vilken verksamhet organisationen bedriver, den andra av vilka säkerhetsskyddsklasser som faktiskt förekommer i de arbetsflöden där verktyget ska användas, och den kartan är sällan färdig innan någon efterfrågar den.

Hur den frågan hanteras hos leverantörer i försvarssektorn beskrivs på sidan om försvar och säkerhet.