Publicerad:
13 oktober 2025 kl. 15:15:12
Uppdaterad:
27 oktober 2026 kl. 18:05:27
I den här artiklen får du lära dig:
Vilka sekretessregler och AI-regler som gäller för skolan 2026.
Vem som ansvarar när lärare använder AI för elevuppgifter och dokumentation.
Hur rektor kan förebygga risker och införa fungerande rutiner för AI-användning.
Sekretess och AI i skolan – skolledarens juridiska gråzon
AI får användas i skolan, men sekretess, tystnadsplikt och GDPR gäller även när information behandlas i AI-tjänster. Huvudmannen är personuppgiftsansvarig, medan rektor behöver säkerställa att personalen följer godkända rutiner och använder verktygen på ett säkert sätt.
Snabbversion
AI har blivit ett vardagsverktyg i skolan, men möjligheten att snabbt sammanfatta elevtexter eller analysera dokument innebär också nya risker. Skolans huvudman måste säkerställa att personuppgiftsbehandlingen är laglig och säker. Rektor behöver tydliga instruktioner om vilka AI-tjänster som får användas, vilken information som får delas och hur personalen ska agera när något går fel.
AI har blivit vardag – men sekretessen följer med
En lärare vill låta AI sammanfatta en elevs stödbehov. En annan behöver hjälp med en pedagogisk kartläggning. Några knapptryckningar senare kan informationen finnas hos en extern leverantör, långt utanför skolans egna system.
Det är här skolans digitala möjligheter möter juridiken.
I en lägesbild från maj 2026 uppgav nära åtta av tio tillfrågade lärare i Skolverkets lärarpanel att de hade använt AI i någon del av arbetet. Fyra av tio hade tagit initiativ till eller godkänt att elever använde AI i undervisningen.
Men AI förändrar inte skolans skyldigheter att skydda information.
I kommunala skolor regleras sekretessen bland annat av offentlighets- och sekretesslagen. För fristående skolor gäller särskilda bestämmelser om tystnadsplikt, bland annat i skollagen. GDPR gäller för behandling av personuppgifter inom båda verksamhetsformerna.
En elevtext kan vara en personuppgift även om elevens namn har tagits bort, om eleven fortfarande går att identifiera.
Särskild försiktighet krävs kring elevhälsans dokumentation, hälsouppgifter och uppgifter om elever med skyddade personuppgifter. Att en AI-tjänst är lättillgänglig innebär aldrig i sig att skolans information får lämnas till den.
Partnerinnehåll
från Svensk e-identitet
Varför behövs en gemensam AI-lag?
AI Act finns till för att skydda människors säkerhet och grundläggande rättigheter. Samtidigt ger förordningen företag och myndigheter gemensamma spelregler.
Huvudmannen ansvarar – rektor måste veta var gränsen går
Det juridiska personuppgiftsansvaret ligger hos skolans huvudman. I en kommunal skola är det den ansvariga nämnden och i en fristående skola normalt den juridiska person som driver verksamheten.
Rektorn har däremot en avgörande roll i att omsätta beslut, instruktioner och säkerhetsrutiner i skolans dagliga arbete.
GDPR kräver bland annat rättslig grund, tydliga ändamål, uppgiftsminimering och lämplig säkerhet. Om en AI-leverantör behandlar personuppgifter för huvudmannens räkning krävs normalt också ett personuppgiftsbiträdesavtal.
Att en tjänst lagrar data inom EU är inte en garanti för att den är lämplig. Om uppgifter görs tillgängliga för mottagare utanför EU/EES aktualiseras särskilda regler om tredjelandsöverföring.
Samtidigt har EU:s AI-förordning skärpt kraven. Sedan februari 2025 gäller bland annat regler om AI-kompetens och förbud mot vissa AI-användningar, däribland känsloigenkänning i utbildningsinstitutioner, med snäva undantag för medicinska ändamål och säkerhet.
Flera andra regler började tillämpas i augusti 2026. Särskilda krav för AI-system med hög risk inom exempelvis bedömning av elevers läranderesultat börjar däremot tillämpas den 2 december 2027.
Vad får lärare egentligen skriva in i en AI-tjänst?
Skillnaden mellan en användbar AI-tjänst och ett integritetsproblem kan vara ett enda inklistrat dokument.
Att be AI ta fram diskussionsfrågor om demokrati, föreslå lektionsupplägg eller skapa övningar utifrån påhittade elevexempel innebär normalt betydligt lägre integritetsrisk än att lämna ut uppgifter om verkliga elever.
En pedagogisk kartläggning, ett åtgärdsprogram eller anteckningar från elevhälsan kräver däremot en helt annan bedömning.
Innan en tjänst godkänns behöver huvudmannen undersöka vilka uppgifter som behandlas, vem som får åtkomst, hur länge information sparas och om den kan användas för att utveckla AI-modellen.
Även avidentifiering kräver eftertanke. Uppgifter om exempelvis årskurs, diagnos och en ovanlig familjesituation kan tillsammans göra en elev identifierbar.
En grundregel för personalen bör därför vara att inte mata in verkliga elevuppgifter i AI-tjänster som inte uttryckligen har godkänts för den typen av information och användning.
Så skapar rektor en säker AI-användning i skolan
Det räcker inte längre att konstatera att skolan behöver en AI-policy. En policy som ligger bortglömd i en digital mapp skyddar knappast någon elev.
Arbetet behöver börja i verkligheten: vilka tjänster använder personalen redan, till vad och med vilken information? Kartläggningen bör genomföras tillsammans med huvudmannens IT-ansvariga och dataskyddsombud.
Nästa steg är att upprätta en förteckning över godkända verktyg och användningsområden. Där ska det framgå vilken information som får behandlas, vilka begränsningar som gäller och vem som godkänner nya tjänster.
Huvudmannen behöver genomföra riskbedömningar och, när en personuppgiftsbehandling sannolikt innebär hög risk för enskildas rättigheter och friheter, en konsekvensbedömning enligt GDPR innan behandlingen påbörjas.
Personalen behöver också utbildning. Alla måste förstå skillnaden mellan att skapa undervisningsmaterial med AI och att överföra information om identifierbara elever till en extern tjänst.
Rektor bör dessutom säkerställa att det finns rutiner för att rapportera misstänkta informationsläckor och att huvudmannen följer upp användningen regelbundet.
Målet är inte att bromsa teknikutvecklingen. Det är att ge lärare möjlighet att använda AI utan att elevernas integritet blir priset för effektiviseringen.
Vanliga frågor om sekretess och AI i skolan
Får lärare använda ChatGPT eller andra AI-tjänster för elevuppgifter?
Det kan vara tillåtet om huvudmannen har säkerställt att den aktuella behandlingen följer GDPR och tillämpliga sekretessregler samt godkänt tjänsten för ändamålet. Verkliga elevuppgifter ska inte matas in i en icke godkänd AI-tjänst, oavsett om den är gratis eller betald.
Vem ansvarar om elevuppgifter sprids genom ett AI-verktyg?
Huvudmannen är personuppgiftsansvarig för den behandling som sker inom skolans verksamhet. Rektor och personal ska följa huvudmannens instruktioner och rapportera misstänkta incidenter. Ansvar för sekretessbrott eller andra överträdelser kan dessutom aktualiseras beroende på omständigheterna.
Fakta:
Personuppgiftsansvar: Skolans huvudman, inte den enskilda rektorn eller läraren.
Dataskydd: GDPR, EU-förordning 2016/679, samt kompletterande svenska bestämmelser.
Sekretess i offentlig skola: Offentlighets- och sekretesslagen (2009:400).
Tystnadsplikt i fristående skola: Bland annat 29 kap. 14 § skollagen (2010:800). För enskilt bedriven medicinsk elevhälsa gäller även patientsäkerhetslagen.
EU:s AI-förordning: Förordning (EU) 2024/1689, som trädde i kraft den 1 augusti 2024.
Artikeln är faktagranskad och uppdaterad den 26 oktober 2026. Följande primärkällor ligger till grund för uppgifterna: