AI kan hjälpa bedragare att skriva trovärdig svenska, imitera röster och skala upp social manipulation. Men om politikens standardsvar blir att samla in mer information om alla medborgare riskerar vi att försvara tryggheten genom att försvaga den frihet som tryggheten ska skydda.
Sverige kan hamna fel i båda riktningarna. Ett för svagt skydd lämnar privatpersoner, företag och myndigheter öppna för bedrägerier, intrång och utpressning. Ett ogenomtänkt system för övervakning gör samtidigt människors kommunikation till en generell statlig resurs. Den första risken är akut. Den andra är principiell och långsiktig. Båda måste tas på allvar.
AI förändrar skalan – inte hela straffrätten
Storbritanniens nationella cybersäkerhetscenter bedömde 2024 att AI nästan säkert kommer att öka cyberangreppens volym och effekt på kort sikt. Verktygen kan förbättra social manipulation och hjälpa mindre kvalificerade aktörer. Det betyder inte att AI redan har revolutionerat de mest avancerade intrången. Samma bedömning säger att tekniken på kort sikt sannolikt inte radikalt förändrar de mest avancerade cyberaktörernas förmåga.
Den skillnaden är viktig. Hotet ska inte bagatelliseras, men det ska heller inte beskrivas med mer säkerhet än underlaget medger. Brottsförebyggande rådets statistik visar att bedrägeri är en omfattande brottskategori, men statistiken anger normalt inte om generativ AI, röstkloning eller annan specifik teknik användes. Vi vet därför inte vilken bestämd andel av de svenska bedrägerierna som är AI-assisterade.
Det är inte heller självklart att varje ny teknisk metod kräver ett nytt brott. Brottsbalken är i stor utsträckning teknikneutral. Bedrägeri och dataintrång är redan kriminaliserade, och AI kan vara ett verktyg vid gärningar som också kan omfattas av exempelvis olaga hot, förtal eller olovlig identitetsanvändning. Problemet ligger ofta mindre i att gärningen saknar namn i lagen och mer i möjligheten att upptäcka, säkra bevisning och identifiera den ansvarige.
EU:s AI-förordning kompletterar detta med ett riskbaserat regelverk för AI-system. Den innehåller bland annat förbud mot vissa användningar, krav för högrisksystem och transparensregler för vissa AI-genererade eller manipulerade medier. Men den är inte en allmän lag mot AI-brott, och den ersätter inte straffrätt, konsumentskydd eller cybersäkerhetsarbete. Förordningen tillämpas dessutom stegvis: vissa förbud och krav på AI-kunnighet började gälla den 2 februari 2025, medan andra delar börjar tillämpas senare.
Brottsbekämpningen behöver fungerande verktyg
Den som vill värna integriteten får inte låtsas att digital bevisning kan hanteras med gårdagens tempo. Uppgifter kan raderas, krypteras eller flyttas över nationsgränser. Kriminella kan använda internationella molntjänster och slutna kommunikationsmiljöer. Därför behövs kompetent digital forensik, snabb internationell samverkan och rättsliga möjligheter att säkra relevanta uppgifter.
EU:s regler om europeiska utlämnandeorder och bevarandeorder för elektroniska bevis är ett exempel på hur effektivare åtkomst kan byggas inom ett reglerat förfarande. Svensk lag ger också möjlighet till hemlig dataavläsning under särskilda förutsättningar. Riksdagen utvidgade 2023 möjligheterna att använda hemliga tvångsmedel för att förebygga och utreda allvarlig brottslighet.
Det vore ohederligt att bortse från brottsbekämpningens tidsproblem. Förhandsprövning och proportionalitetsbedömningar kan ta tid när bevisningen är flyktig. Därför finns särskilda regler för vissa brådskande situationer. Begränsade undantag kan vara rimliga när brådskan är verklig, dokumenterad och förenad med snabb efterhandskontroll.
Men brådska får inte bli ett permanent argument för breda befogenheter. Hemlig dataavläsning kan vara mer ingripande än inhämtning av enstaka trafikuppgifter, eftersom information under vissa förutsättningar kan hämtas från en enhet före eller efter kryptering. Då måste lagen ange vem som får utsättas, för vilket ändamål, under hur lång tid och vad som ska hända med ovidkommande uppgifter.
Kontroll är inte ett hinder utan ett villkor
Regeringsformen skyddar den enskilde mot bland annat hemlig avlyssning och betydande kartläggning av personliga förhållanden. Europakonventionens artikel 8 skyddar privatliv och korrespondens. Ingrepp kan tillåtas, men de måste ha stöd i lag, vara nödvändiga och stå i proportion till sitt ändamål.
EU-domstolen har i flera avgöranden slagit fast att generell och urskillningslös lagring av trafik- och lokaliseringsuppgifter som huvudregel strider mot EU-rätten. Det betyder inte att all dataåtkomst är förbjuden. Riktade eller tidsbegränsade åtgärder kan godtas under strikta villkor. I Tele2-domen betonades också att myndigheters tillgång till lagrade kommunikationsuppgifter i princip ska begränsas till bekämpning av allvarlig brottslighet och föregås av kontroll från en domstol eller en oberoende instans, med utrymme för motiverade brådskande fall.
Sverige saknar inte kontrollmekanismer. Säkerhets- och integritetsskyddsnämnden utövar tillsyn över bland annat användningen av hemliga tvångsmedel och behandlingen av personuppgifter. Europadomstolens stora kammare fann 2021 att den svenska signalspaningsordning som prövades, efter genomförda reformer och med sina kontrollmekanismer, inte kränkte artikel 8. Det är ett relevant motargument mot bilden av ett land utan rättssäkerhetsgarantier.
Ändå räcker det inte att en kontrollinstans finns på papperet. Den måste ha resurser, relevant kompetens och tillgång till det material som krävs. Domstolsprövning behöver kompletteras med tydliga regler om lagringstid, åtkomst, förstöring av ovidkommande information och möjlighet till tillsyn. Offentlig statistik om tillstånd, avslag, fel och tillsynsresultat kan ge demokratisk insyn utan att operativa metoder avslöjas.
Bygg en säkerhetskedja i stället för en övervakningsreflex
Den politiska debatten blir för smal när varje digitalt hot reduceras till frågan om staten ska få läsa mer. Säkerhet börjar långt tidigare: med riskhantering hos företag och myndigheter, säkra digitala identiteter, incidentrapportering, utbildad personal och system som gör det svårare att lura människor på pengar.
NIS2-direktivet är ett exempel på reglering som stärker motståndskraften i samhällsviktiga och digitala verksamheter genom krav på riskhantering, incidentrapportering och ansvar på ledningsnivå. GDPR kräver samtidigt bland annat dataminimering och lämpliga säkerhetsåtgärder. Den sortens grundskydd förebygger skador utan att privat kommunikation automatiskt blir föremål för generell övervakning.
Kryptering visar varför avvägningen måste vara genomtänkt. Den kan försvåra brottsutredningar, men den skyddar också privatpersoner, journalister, företag och samhällsviktig verksamhet mot kriminella och främmande makt. Riktade åtgärder mot misstänkta enheter är därför något annat än generella tekniska bakdörrar som kan skapa nya sårbarheter för alla.
Mitt krav på politiken är varken svaga myndigheter eller ett digitalt mörker där brottslingar får verka ostört. Det är en sammanhängande säkerhetskedja: bättre förebyggande skydd, snabb hjälp till brottsoffer, effektiv internationell bevisinhämtning, högre teknisk kompetens och riktade tvångsmedel med dokumenterad proportionalitet och verklig oberoende kontroll.
AI gör vissa angrepp enklare att skala. Det får inte göra våra rättigheter enklare att skala bort.
