Är er organisations data säker i molnet?

I ett inslag på Rapport den 30 maj framgår det att Försvaret nobbar amerikanska molntjänster; nedan förklarar jag varför.

Credit: Unsplash.

FRÅGA: Kan en svensk organisation vara tvungen att lämna ut data til amerikanska myndigheter på grund av cloud act och annan amerikansk lagstiftning (Fisa m.m.) för det fall man använder Googles Microsofts eller Amazons molntjänster?

Det korta svaret är JA, det kan finnsas en reell juridisk risk för det.

Om er organisation använder molntjänster från Google (GCP), Microsoft (Azure) eller Amazon (AWS), lyder dessa leverantörer under amerikansk jurisdiktion. Det innebär att amerikanska myndigheter, under specifika omständigheter, kan tvinga dem att lämna ut data – även om datan fysiskt lagras på servrar i Sverige, Frankfurt, Dublin eller någon annanstans inom EU.

Här är en genomgång av hur de olika lagarna fungerar och varför de skapar en direkt lagkrock med europeisk lagstiftning (som GDPR).

US Cloud Act

Clarifying Lawful Overseas Use of Data Act lanserades för att lösa tvister där amerikanska myndigheter (t.ex. FBI) krävde åtkomst till data som amerikanska bolag hade sparade utomlands.

Hur det fungerar

Lagen slår fast att amerikansk domstolsrätt (jurisdiktion) följer bolaget, inte var dataservern fysiskt står. Om ett amerikanskt bolag har besittning, vård eller kontroll över datan, måste de lämna ut den om de får en amerikansk husrannsakningsorder eller ett domstolsbeslut.

Konsekvens för kunder som verkar inom EU

Det spelar ingen roll om du i AWS- eller Azure-konsolen har klickat i att din data ska ligga i Sweden Central eller Europe West eftersom moderbolagen är amerikanska omfattas de av CLOUD Act.

Foreign Intelligence Surveillance Act

Foreign Intelligence Surveillance Act är en underrättelselagstiftning som syftar till nationell säkerhet och kontraspionage.Till skillnad från CLOUD Act, som kräver en brottsmisstanke och ett specifikt domstolsbeslut, tillåter FISA Sektion 702 att amerikanska underrättelsetjänster (som NSA) bedriver bredare signalspaning och övervakningsprogram (t.ex. det kända PRISM). FISA gör uttrycklig skillnad på amerikanska medborgare och utländska medborgare. Europeiska medborgare och företag har inte samma konstitutionella skydd mot övervakning i USA och saknar i praktiken möjlighet till effektiva rättsmedel (att kunna överklaga eller skydda sig i en amerikansk domstol).

Konflikten mellan amerikanska och europeiska lagar

Det största problemet för europeiska organisationer är att dessa amerikanska lagar krockar direkt med GDPR (Artikel 48), som förbjuder utlämning av personuppgifter till tredjelandsmyndigheter utan att det finns ett godkänt internationellt avtal (t.ex. ett rättsligt samarbete via MLAT). Om Google, Microsoft eller Amazon får ett sådant krav ställs de inför ett omöjligt val nämligen att följa amerikansk lag och bryta mot GDPR (vilket kan leda till mångmiljonböter för kunden/leverantören i EU eller att följa GDPR och riskera fängelsestraff, böter eller förlorade licenser i USA. Till detta ska tilläggas att amerikanska myndigheter använder ofta så kallade Gag Orders (tystnadsplikt vilka innebär att molnleverantören blir juridiskt förbjuden att berätta för dig som kund att de har tvingats lämna ut din data. Din organisation vet alltså inte en om detta har skett.

Vilka tekniska lösningar finns och hur fungerar de?

Teknikjättarna har lanserat olika lösningar för att bemöta detta, exempelvis Microsoft EU Data Boundary eller AWS European Sovereign Cloud. Dessa initiativ innebär ofta att datan hanteras av lokala EU-medarbetare och hålls strikt inom EU:s gränser. Detta är ett utmärkt skydd mot allmän dataöverföring, men det löser inte grundproblemet med CLOUD Act eller FISA. Så länge det slutgiltiga ägandet och kontrollen ligger hos ett amerikanskt moderbolag, kan amerikanska domstolar fortfarande hävda att moderbolaget har ett inflytande eller en kontroll över dotterbolagets data. Faktum är att Microsofts franska dotterbolagschef under ed i den franska senaten bekräftade att de inte kan garantera 100 % immunitet mot amerikansk lagstiftning, även i sina suveräna upplägg.

Vad blir slutsatsen för er organisation?

För det fall er organisation hanterar data som rör rikets säkerhet, känsliga personuppgifter inom vård/skola, eller extremt värdefulla företagshemligheter, anses riskerna med amerikanska molntjänster ofta vara för höga efter det att en DPIA (konsekvensbedömning) utförts. Många myndigheter och organisationer väljer därför svenska eller helt europeiska molnalternativ (t.ex. Safespring, City Network/Cleura, Exoscale) där ägarstrukturen är helt fri från amerikansk jurisdiktion.

Många organisationer gör en riskbedömning och landar i att fördelarna med AWS/Azure/Google överväger riskerna, men i dessa fall använder de ofta kompletterande skyddsåtgärder – såsom att kryptera datan själv (Client-Side Encryption) där de amerikanska leverantörerna inte har tillgång till krypteringsnycklarna.

Se hur vi hjälper organisationer med IT-rätt och kontakta oss om ni behöver hjälp rörande dessa frågor.

KURS: AI Förordningen i Praktiken - 18 november 2026

Om kursen

AI Act har trätt i kraft och organisationer står inför en komplex implementeringsfas. Det finns ett stort behov av att förstå inte bara de juridiska paragraferna, utan hur dessa samverkar med befintlig svensk lagstiftning, så som GDPR och offentlighets- och sekretesslagen, samt hur de praktiska kraven på riskhantering och dokumentation ska uppfyllas.

Denna heldagskurs ger dig en heltäckande genomgång av AI Act med ett särskilt fokus på den svenska marknaden. Vi rör oss från de grundläggande definitionerna , vad räknas egentligen som AI?, till de specifika skyldigheterna för leverantörer och användare.

Under kursen kommer du får svar på vad du behöver göra för att undvika dryga sanktionsavgifter och säkerställa etisk och laglig användning av AI.

För vem passar kursen?

Kursen riktar sig till dig som är bolagsjurist eller förbundsjurist och behöver tolka de nya kraven. Den passar också dig som är compliance officer eller DPO och ska integrera AI-granskning i befintliga processer.

Vidare vänder sig kursen till IT-chefer och strategiska beslutsfattare inom både privat och offentlig sektor, samt till offentliga upphandlare som behöver veta vilka krav som ska ställas vid inköp av AI-system.

LÄS MER OM KURSEN - och anmäl dig- HÄR [JP Infonet] ->

[10 december 2026] Mårten Schultz och Dag Wetterberg håller kurs i Medierätt

Medierätt i praktiken – ansvar, integritet och upphovsrätt i en digital tid

Välkommen till en högaktuell halvdagskurs om medierättens mest centrala frågor i dagens digitala informationssamhälle på BG Institute. Sociala medier, ökad publiceringstakt, AI-genererat innehåll och ett starkare fokus på integritetsskydd har gjort frågor om yttrandefrihet, ansvar, GDPR och upphovsrätt mer komplexa och mer relevanta än någonsin.

Under kursen får du en praktiskt inriktad genomgång av de medierättsliga frågor som ofta aktualiseras vid publiceringar, digital kommunikation och juridiska riskbedömningar. Föreläsare är professor Mårten Schultz och advokat Dag Wetterberg. Den här kursen ger dig en bred och praktiskt användbar genomgång av centrala medierättsliga frågor och aktuella rättsliga utmaningar. Kursen behandlar bland annat yttrandefrihetens gränser, förtal och andra nätbrott, samspelet mellan GDPR och yttrandefriheten, upphovsrättsliga frågor i digitala miljöer samt medierättsliga risker kopplade till AI-genererat innehåll.

Som deltagare får du kunskap om

• Yttrandefrihetens rättsliga gränser i praktiken

• GDPR och dess relation till medier och publiceringar

• Förtal, nätbrott och ansvar vid publiceringar på internet

• Upphovsrätt i digitala miljöer

• AI-genererat innehåll och medierättsliga risker

• Aktuella rättsfall och praktiska medierättsliga frågeställningar

Vem bör delta

Kursen riktar sig främst till advokater, biträdande jurister, bolagsjurister och jurister inom rättsväsendet. Kursen passar även andra yrkesverksamma som arbetar med eller kommer i kontakt med publiceringar, digital kommunikation eller medierättsliga frågor.

Efter kursen

Syftet med kursen är att ge dig en aktuell och praktiskt användbar förståelse för centrala medierättsliga frågor. Efter kursen har du bättre kunskap om hur regler kring yttrandefrihet, integritet, GDPR och upphovsrätt påverkar publiceringar, verksamheter och individer i praktiken. Du får också bättre förutsättningar att identifiera juridiska risker, göra tryggare bedömningar och hantera medierättsliga frågor i ditt arbete.

Läs MER OM KURSEN och— anmäl dig [här]

Medierätten i centrum när bankdirektör frias för påstådda brott

Högsta domstolen (HD) har meddelat sin dom i det uppmärksammade målet mot Swedbanks tidigare verkställande direktör. Domstolen ändrar hovrättens tidigare fällande dom och frikänner henne nu från åtalet i sin helhet. Det innebär att den tidigare fängelsedomen på ett år och tre månader rivs upp.

Bakgrunden till åtalet

Rättsprocessen tog sin början efter uttalanden som bankdirektören gjorde i media under 2018 och 2019 rörande misstänkt penningtvätt i Swedbanks estländska verksamhet. Åklagaren menade att hon genom sina svar i intervjuer med Svenska Dagbladet och TT lämnat vilseledande uppgifter som var ägnade att påverka bedömningen av banken ekonomiskt, vilket rubricerades som grovt svindleri eller grov marknadsmanipulation.

Meddelarfriheten väger tyngre än brottsbalken

Den centrala frågan i HD var inte huruvida uppgifterna i sig var sanna eller osanna, utan om de omfattades av grundlagsskyddad meddelarfrihet. HD konstaterar att uttalandena gjordes som svar på frågor från journalister i en sedvanlig intervjusituation. Eftersom syftet var att lämna uppgifter för offentliggörande i ett grundlagsskyddat medium (tidning och nyhetsbyrå), anses bankdirektören ha agerat som en meddelare.

Varför svindleri inte kunde prövas

Domstolen förklarar att meddelarfriheten innebär att en person som lämnar uppgifter till media i princip är fri från straffrättsligt ansvar, förutom vid vissa specifika meddelarbrott såsom spioneri eller högförräderi. Svindleri och marknadsmanipulation räknas inte som sådana undantag. Eftersom intervjuerna var ett led i journalistisk verksamhet för att säkerställa fri upplysning, hindrar grundlagen att hon döms för de aktuella brotten.

Miljonbelopp i rättegångskostnader

I och med att bankdirektören frikänns helt fastställer Högsta domstolen också att staten ska stå för hennes betydande rättegångskostnader i samtliga instanser. Totalt rör det sig om över 13 miljoner kronor för försvaret i tingsrätten, hovrätten och Högsta domstolen. Domstolen prutade dock något på ersättningen för arbetet i den sista instansen då prövningen där ansågs vara juridiskt avgränsad.

Analys av skillnaderna: Bevisning kontra princip

Skillnaden mellan hovrättens fällande dom och HD:s friande dom handlar om vilken lag man sätter främst. Hovrätten såg till de ekonomiska konsekvenserna av ett vilseledande och individens ansvar som företagsledare. HD såg istället till det principiella värdet av att medborgare, inklusive företagsledare, ska kunna tala med media utan rädsla för straff, så länge det sker inom ramen för journalistik. HD:s dom markerar att yttrandefrihetsgrundlagarna fungerar som ett paraply som skyddar även de som anklagas för marknadsmissbruk i intervjusituationer.

En stilla reflektion är hur den centrala rättsfrågan i målet, den tilltalades rätt att yttra sig i media i enlighet med våra yttrandefrihetsgrundlagar, har kunnat tolkas på så olika sätt i de olika instanserna i en rättsprocess som pågått under fem (5) år. OCH, vad hade hänt om bankdirektören lämnat uppgifterna till icke grundlagsskyddad media?

Du som har tillgång till JP Infonet kan läsa min fördjupade analys rörande detta där->

Se hur vi hjälper klienter i medierättsliga ärenden

Läs domen här

AI och Upphovsrätt- en föreläsning vid Stockholms universitet

Den 2 februari höll adv. Dag Wetterberg en föreläsning rörande AI och upphovsrätt för studenter som läser avancerad immaterialrätt på Stockholms universitet.

Utbildningen ska ge studenterna en förståelse hur AI fungerar rent tekniskt för att kunna göra upphovsrättsliga bedömningar och förstå vilka juridiska utmaningar den nya tekniken väcker.

Kursen bestod av en föreläsningstimme och en seminarietimme där de 27 studenterna delades in i sex grupper där de fick en seminariefråga var vilka de redogjorde för. Det uppstod många intressanta frågor och diskussioner.

Här kan ni ta del av PP bilder från föreläsningen.

Se hur vi arbetar med utbildning.

Se hur vi arbetar med IT-rätt.

Köp boken “Ai Act” på Amazon

Tryckfrihetsförordningen och juryrättegången i en föränderlig medievärld

Denna artikeln är ett sammandrag av advokat Dag Wetterbergs anförande vid firandet av tryckfrihetsförordningens 259-årsdag på Kungliga Biblioteket.

Se hur vi hjälper klienter i medierättsliga frågor->

Adv. Dag Wetterberg föreläste i upphovsrätt vid Mitt universitetet

Föreläsningen behandLade följande delar varefter frågor besvardes och en diskussiOn fördes

Vad skyddas av upphovsrätten? Under föreläsningen med advokat Dag Wetterberg gicks grunderna i upphovsrätten igenom, med fokus på vad som faktiskt skyddas enligt lag. Upphovsrätten uppstår automatiskt när någon skapar ett litterärt eller konstnärligt verk, vilket kan innefatta allt från skönlitteratur, musik och film till datorprogram och byggnadskonst. Det är dock viktigt att känna till att det finns undantag; offentliga handlingar som lagtexter, myndighetsbeslut och officiella översättningar av dessa omfattas i regel inte av upphovsrättsligt skydd, även om ingående verk som kartor eller bilder kan göra det.

De ekonomiska och ideella rättigheterna Upphovsrätten består av två huvuddelar: den ekonomiska rätten och den ideella rätten. Den ekonomiska rätten, ofta kallad ensamrätten, ger upphovsmannen kontroll över exemplarframställning och hur verket görs tillgängligt för allmänheten. Den ideella rätten handlar istället om upphovsmannens personliga koppling till verket. Det innebär bland annat rätten att bli namngiven när verket används och en respekt för verket som skyddar mot kränkande ändringar eller sammanhang.

Bearbetning och juridiska gränsdragningar En intressant del av upphovsrätten rör vad som gäller när man vill ändra eller bygga vidare på någon annans verk. Huvudregeln är att översättningar eller bearbetningar kräver tillstånd från den ursprungliga upphovsmannen, så länge det inte rör sig om ett helt nytt och självständigt verk. Gränsdragningen kan vara svår, vilket illustrerades med kända rättsfall som "En svensk tiger" och konflikten kring ett fotografi av Christer Pettersson som användes som förlaga till en tavla.

Giltighetstid och viktiga undantag Upphovsrätten gäller inte för evigt, utan huvudregeln är att skyddet varar under upphovsmannens livstid och därefter i 70 år efter dödsfallet. Det finns också viktiga inskränkningar i ensamrätten för att balansera intressen, exempelvis citaträtten som ger andra rätt att citera ur verk under vissa förutsättningar, samt regler för nyhetsrapportering och information om dagshändelser. Dessutom berördes närstående rättigheter, som ger skydd åt utövande konstnärer (t.ex. musiker) och presspublikationer.

Avtal och konsekvenser vid intrång Avslutningsvis behandlades hur rättigheter kan övergå genom avtal, exempelvis i anställningsförhållanden eller genom organisationer som STIM. Det är viktigt att göra rätt för sig, då intrång i upphovsrätten kan leda till allvarliga konsekvenser. Detta innefattar allt från polisanmälan och civilrättslig talan i domstol till vitesförelägganden och krav på skadestånd. Kunskap om dessa regler är därför en trygghet för alla som skapar eller använder kreativt material.

Se Dag Wetterbergs PP bilder från föreläsningen vid Mitt universitet här

WETTERBERG är även ett utbildningsföretag- kontakta oss om ni vill att vi håller en utbildning inom våra rättsområden->

Inget skadestånd till medverkande i SVT:s Vaccinkrigarna

När den dolda kameran möter pandemins verklighet

I en tid präglad av oro och polarisering kring covid-19 sände SVT i december 2020 dokumentären "Vaccinkrigarna", en granskning som nu blivit föremål för ett prejudicerande avgörande i Högsta domstolen. För att tränga in i den slutna vaccinkritiska rörelsen använde sig journalisterna av kontroversiella metoder: de wallraffade. Genom falska identiteter och dolda kameror infiltrerade de nätverket för att avslöja hur desinformation spreds, vilket ledde till att en av rörelsens förgrundsgestalter, L.K., stämde staten. Hon menade att metoderna kränkte hennes rätt till privatliv enligt Europakonventionen, en talan som först vann gehör i tingsrätten men sedan avslogs i hovrätten.

Kärnan i konflikten rör de etiska och juridiska gränserna för undersökande journalistik. Journalisterna utgav sig för att vara vaccinkritiker som ville göra en film om vaccinrisker, men i själva verket dokumenterade de L.K.s uttalanden om en påstådd maktelit och antisemitiska konspirationsteorier. L.K. filmades inte bara på allmänna platser utan även i en privat lägenhet, vilket hon menade var ett djupt ingrepp i hennes personliga integritet då hon var helt ovetande om att hon medverkade i en granskning. Staten medgav att inspelningarna innebar ett ingrepp i hennes privatliv men hävdade att publiceringen var nödvändig med hänsyn till yttrandefriheten.

Högsta domstolen ställdes därmed inför den svåra uppgiften att väga två tunga intressen mot varandra: skyddet för den enskildes privatliv (artikel 8) mot yttrande- och informationsfriheten (artikel 10). Domstolen konstaterar att användandet av dolda kameror och falska identiteter, särskilt i en privat miljö, tveklöst utgör ett betydande integritetsintrång och att L.K. med fog känt sig lurad. Men vågskålen tippar ändå över till SVT:s fördel. Eftersom dokumentären sändes mitt under en brinnande pandemi bedöms allmänintresset av att granska vaccinmotståndet som "mycket stort", vilket gör att yttrandefriheten väger extra tungt.

Avgörande för utgången var också L.K.s egen roll i samhällsdebatten. Trots att hon inte är politiker eller makthavare i formell mening, ansåg Högsta domstolen att hon genom sitt ordförandeskap i en förening och sin aktiva roll på nätet självmant klivit ut i offentligheten. En person som frivilligt söker spridning för sina idéer måste tåla en hårdare granskning än en privatperson. Domstolen bedömde dessutom att wallraffandet var en "sista utväg" och att det hade varit svårt för journalisterna att få fram informationen på något annat sätt.

Sammanfattningsvis innebär domen att staten inte behöver betala skadestånd till L.K. Högsta domstolen slår fast att även om smygfilmning och falska identiteter kränker den personliga integriteten, så är sådana metoder tillåtna om syftet är att avslöja missförhållanden i en fråga av mycket stort allmänintresse. Eftersom L.K. agerade som en offentlig debattör i en fråga som rörde folkhälsan under en pandemi, vägde allmänhetens rätt till insyn (yttrandefriheten) tyngre än hennes rätt till privatliv

Se hur vi hjälper klienter i MEDIERÄTTsliga spörsmål

Läs domen här.

Wetterberg deltog vid Institutet för Immaterialrätt och Marknadsrätt - IFIMs- julseminarium 2025

Den 19 december deltog advokat Dag Wetterberg vid Institutet för Immaterialrätt och Marknadsrätt (IFIM) vid Stockholms universitets julseminarium 2025 där alla inbjudna skulle ta med sig en julklapp i form av ett forskningsämne i enlighet med följande anmodan:

“Som en julklapp från dig till IFIM vill vi att du tar med dig en immaterialrättslig fråga som just du anser vore förtjänt av en ordentlig genomlysning.”

Det presenterades en hel del mycket intressanta ämnen (alla skrevs upp på en tavla) varvid WETTERBERG bidrog med följande julklapp (kursiv text nedan):

Artikel 4 i DSM-direktivet har skapat en komplex juridisk dynamik genom att tillåta kommersiell text- och datautvinning som huvudregel samtidigt som upphovsmän ges en möjlighet att förhindra detta genom en så kallad opt-out. Den centrala konflikten ligger i kravet att dessa förbehåll måste göras på ett maskinläsbart sätt för onlineinnehåll vilket i praktiken flyttar bevisbördan och det tekniska ansvaret från den som utvinner data till den som skapar den. Detta innebär att rätten till det egna verket blir beroende av teknisk kompetens snarare än juridiskt ägandeskap då otydligheten kring vad som utgör en giltig maskinläsbar kod riskerar att göra upphovsmännens förbehåll verkningslösa gentemot avancerade AI-modeller som tränas på enorma datamängder.

En akademiskt intressant frågeställning är huruvida kravet på maskinläsbarhet utgör en proportionerlig begränsning av upphovsrätten eller om avsaknaden av en universell teknisk standard i realiteten skapar ett system av tvångslicensiering för generativ AI. Ur ett rättsekonomiskt perspektiv uppstår frågan om transaktionskostnaderna för att tekniskt skydda sina verk blir så höga för enskilda kreatörer att deras ensamrätt urholkas vilket leder till en diskussion om huruvida lagstiftningen oavsiktligt prioriterat teknisk effektivitet framför egendomsskydd. Problematiken ställs på sin spets när man analyserar om strikta tekniska krav för opt-out är förenliga med internationella åtaganden som Bernkonventionens trestegstest och egendomsskyddet i EU:s stadga om de grundläggande rättigheterna.

Analysen kräver slutligen en granskning av spänningen mellan teknikneutralitet och rättssäkerhet där tolkningen av begreppet maskinläsbarhet avgör vem som bär risken när tekniken misslyckas med att identifiera ett förbehåll. Om AI-utvecklare framgångsrikt kan hävda att ett förbehåll ignorerades på grund av felaktigt format innebär det att teknisk kod i praktiken ersätter den traditionella upphovsrättsliga principen om att tillstånd krävs för nyttjande. Därmed blir den avgörande akademiska uppgiften att utreda om balansen i direktivet har tippat för långt till förmån för teknisk innovation på bekostnad av kulturellt skapande och om lagstiftaren har abdikerat normgivningsmakten till de tekniska standardiseringsorganen. 

Enligt advokat Dag Wetterberg finns det ett genuint intresse från praktiker att få denna fråga belyst på ett fördjupat sätt varvid den lämpar sig osedvanligt bra för en avhandling.

God jul IFIM och tack för inbjudan!

God Jul & ett gott nytt år! 🌟

Vi vill tacka våra klienter, samarbetspartners och leverantörer för ännu ett fantastiskt och lyckosamt år!

I år skänker vi pengar till Frälsningsarmén och Söderkåren ❤️🎅🌟

Läs om den nya EU förordningen rörande politisk reklam

Från och med den 10 oktober 2025 börjar EU-förordningen om transparens och inriktning när det gäller politisk reklam att tillämpas. Det är Mediemyndigheten som har fått i uppdrag av regeringen att vara nationell kontaktpunkt och behörig tillsynsmyndighet för efterlevnaden av förordningen. IMY är tillsynsmyndighet för ett par av bestämmelserna.

Syftet med förordningen är att man ska få bättre förutsättningar att känna igen politisk reklam och ta ställning till budskapet i reklamen. Förordningen syftar även till att den politiska reklamen görs med respekt för rätten till skydd för personuppgifter.

Med förordningen införs bland annat krav på transparensmärkning och transparensmeddelande om vem som står bakom reklamen, vilket val eller process som reklamen är kopplad till, beloppet som har betalats och eventuell användning av så kallad inriktningsteknik. 

Vid politisk onlinereklam ställer förordningen särskilda krav på användning av inriktningsteknik och annonsleveransteknik som inbegriper personuppgiftsbehandling (se artikel 18–19 i förordningen). IMY är behörig tillsynsmyndighet för efterlevnaden av dessa artiklar. Dataskyddsförordningen gäller i tillämpliga delar vid bland annat övervakningen av tillämpningen av artiklarna.

Till exempel krävs att den personuppgiftsansvariga har samlat in personuppgifterna från den registrerade och att den registrerade har samtyckt till riktad politisk reklam. Inriktnings- och annonsleveransteknik får inte användas för profilering med användning av känsliga personuppgifter, till exempel om en persons politiska åsikter eller religiösa övertygelser. Det är vidare förbjudet att använda inriktnings- och annonsleveransteknik som inbegriper personuppgiftsbehandling mot någon som är yngre än 17 år. 

En registrerad kan från och med den 10 oktober 2025 lämna in klagomål hos IMY mot en personuppgiftsansvarig om det rör sig om riktad politisk reklam online och en eventuell överträdelse av artiklarna 18–19 i förordningen. Om det rör sig om överträdelser mot någon av de andra artiklarna i förordningen så är Mediemyndigheten ansvarig myndighet.

När är förordningen tillämplig?

Reglerna i förordningen omfattar bland annat politiska partier, kampanjorganisationer, företag och andra aktörer som sprider politiska budskap. Reglerna gäller politisk reklam som sprids inom EU, offentliggörs i en eller flera medlemsstater eller riktas till unionsmedborgare. Detta oberoende av var tillhandahållaren av politiska reklamtjänster är etablerad eller var sponsorn är bosatt eller etablerad. En sponsor är den fysiska eller juridiska personen på vars begäran eller för vars räkning ett politiskt reklammeddelande utarbetas, placeras, främjas, publiceras, tillhandahålls eller sprids. 

Reglerna gäller både under och utanför valperioder och omfattar även icke-valrelaterade politiska budskap. Förordningen reglerar inte innehållet i den politiska reklamen.

Vad anses vara politisk reklam?

Begreppet innebär vissa slags åtgärder – utarbetande, placering, främjande, publicering, tillhandahållande eller spridning – oberoende av metod, av ett budskap som normalt tillhandahålls mot ersättning eller genom intern verksamhet eller som en del av en politisk reklamkampanj.

För att sådana aktiviteter ska utgöra politisk reklam krävs därtill att de:

• utförs av, för eller på uppdrag av en politisk aktör eller för dennes räkning eller

• kan och är utformat för att påverka resultat av ett val, folkomröstning, röstbeteende eller en lagstiftnings- eller regleringsprocess.

Aktiviteter som avser budskap av rent privat eller rent kommersiellt slag faller utanför begreppet. 

Behörig tillsynsmyndighet

Mediemyndigheten är behörig tillsynsmyndighet för efterlevnaden av förordningen. IMY är endast behörig myndighet när det gäller inriktnings- och annonsleveransteknik som inbegriper behandling av personuppgifter i samband med politisk onlinereklam. Det innebär bland annat att IMY inte är behörig myndighet för reglerna som gäller politisk reklam oberoende av metod.

Se hur vi hjälper organisationer i medierättsliga frågor

Se hur vi hjälper organisationer rörande IT rättsliga frågor

Förordningstexten

Nya AI regleringar började att gälla den 2a augusti- hur påverkar detta er organisation?

Förpliktelser för AI-modeller för allmänna ändamål enligt EU:s AI-förordning trädde i kraft den 2 augusti 2025

Den 2 augusti 2025 markerar en viktig milstolpe i regleringen av artificiell intelligens (AI), då de flesta skyldigheter rörande AI-modeller för allmänna ändamål (GPAI-modeller) i EU:s AI-förordning börjar tillämpas. Dessa regler syftar till att främja innovation, samtidigt som de säkerställer en hög skyddsnivå för hälsa, säkerhet och grundläggande rättigheter. EU-kommissionen har publicerat vägledningar och en mall för att hjälpa leverantörer att förstå och uppfylla sina skyldigheter.

Vad är en AI-modell för allmänna ändamål?

Enligt AI-förordningen definieras en GPAI-modell som en AI-modell som uppvisar betydande generalitet och på ett kompetent sätt kan utföra ett brett spektrum av distinkta uppgifter. Detta inkluderar modeller som är tränade på stora mängder data med hjälp av självövervakad inlärning i stor skala. En modell betraktas som en GPAI-modell oavsett hur den släpps ut på marknaden och kan integreras i en mängd olika nedströmssystem eller applikationer. Modeller som används enbart för forskning, utveckling eller prototyper innan de släpps på marknaden är undantagna. Framträdande exempel på GPAI-modeller inkluderar ChatGPT-4 och DALL-E.

Vägledningen fastställer ett indikativt kriterium för att avgöra när en modell anses vara en GPAI-modell. Kriteriet baseras på mängden beräkningsresurser som används för att träna modellen mätt i floating-point operations (FLOP), samt modellens modaliteter. En modell anses indikativt vara en GPAI-modell om dess training compute är större än 1023 FLOP och den kan generera språk (text eller audio), text-till-bild eller text-till-video. EU-kommissionen noterar dock att den slutgiltiga bedömningen fortfarande baseras på om modellen faktiskt uppvisar betydande generalitet och kan utföra ett brett spektrum av uppgifter.

GPAI-modeller med systemrisk

En särskild klass av GPAI-modeller är de som kan utgöra en systemrisk. Dessa är modeller med high-impact capabilities, vilket innebär kapacitet som motsvarar eller överstiger den som finns i de mest avancerade modellerna. En GPAI-modell antas ha high-impact capabilties om den kumulativa mängden som används för dess träning är större än 1025 FLOP.

Leverantörer av sådana modeller måste utan dröjsmål och senast inom två veckor anmäla detta till Europeiska AI-byrån (AI Office) när detta kriterium uppnås eller det blir känt att det kommer att uppnås. I sin anmälan kan leverantören lägga fram argument för att visa att modellen, på grund av sina specifika egenskaper, inte utgör en systemrisk. Att presentera sådana argument innebär inte att leverantörens skyldigheter under tiden som utredningen pågår. För leverantörer av GPAI-modeller med systemrisk tillkommer ytterligare skyldigheter, såsom att kontinuerligt bedöma och mildra systemrisker och rapportera allvarliga incidenter.

Vem är leverantören?

Vägledningen klargör att en leverantör är en juridisk eller fysisk person som utvecklar en GPAI-modell eller låter en modell utvecklas och sedan släpper ut den på marknaden under sitt eget namn eller varumärke, oavsett om det är mot betalning eller gratis. En modell anses placeras på marknaden när den för första gången görs tillgänglig på unionsmarknaden. Detta kan ske genom olika metoder, som till exempel via API:er, direkt nedladdning eller när en modell integreras i en chatbot som görs tillgänglig på EU-marknaden.

En downstream modifier, det vill säga en aktör som modifierar en GPAI-modell, kan också bli leverantör av den modifierade modellen. Detta sker om modifieringen leder till en signifikant förändring i modellens generalitet, kapacitet eller systemrisk. Ett indikativt kriterium är att training compute som används för modifieringen är större än en tredjedel av training compute för originalmodellen. Om originalmodellens training compute är okänt, kan tröskelvärdet baseras på en tredjedel av 10 ^ 23 FLOP (för GPAI-modeller) eller en tredjedel av 1025 FLOP (för GPAI-modeller med systemrisk).

Skyldigheter och undantag

Alla leverantörer av GPAI-modeller måste uppfylla vissa skyldigheter. Dessa inkluderar att:

- upprätta och hålla uppdaterad teknisk dokumentation för modellen, inklusive tränings- och testprocessen,

- tillhandahålla information och dokumentation till nedströmsleverantörer som vill integrera modellen i sina AI-system,

- ha en policy för att följa EU:s upphovsrättslagstiftning, och

- upprätta och göra en tillräckligt detaljerad sammanfattning av innehållet som använts för träningen offentligt tillgänglig.

Vägledningen tillhandahåller undantag från vissa skyldigheter för leverantörer av modeller som släpps under en free and open-source licence, förutsatt att de inte utgör en systemrisk. För att kvalificera sig för undantagen måste licensen tillåta åtkomst, användning, modifiering och distribution av modellen, och dess parametrar, arkitektur och användningsinformation måste göras offentligt tillgängliga. Undantagen gäller dock inte för skyldigheterna gällande upphovsrättspolicyn eller den offentliga sammanfattningen av träningsinnehållet.

Upphovsrätt

Copyright kapitlet i The General-Purpose AI Code of Practice syftar till att ge en djupare förståelse för hur leverantörer kan uppfylla skyldigheterna i artikel 53(1)(c) och (d) i AI-förordningen . Kapitlet är relevant för användningen av upphovsrättsskyddat material i träningsdata och i modellernas utdata.

För de leverantörer som använder upphovsrättsligt skyddat material finns det flera åtaganden att ta hänsyn till. Leverantörerna måste implementera en policy för att följa EU:s upphovsrättslagstiftning. Detta inkluderar åtgärder för att säkerställa att innehåll som hämtas via web crawlers har hämtats på ett lagligt sätt. Leverantörer åtar sig att inte kringgå tekniska skyddsåtgärder som paywalls och att utesluta webbplatser som erkänts av EU-domstolar eller myndigheter som ihärdigt och i kommersiell skala gör intrång i upphovsrätten.

Vidare måste leverantörer respektera machine readable protocols för att hantera upphovsrättsinnehavarnas reservationer av rättigheter (opt-out) enligt artikel 4(3) i direktiv (EU) 2019/790 . Detta innebär att deras web crawlers ska läsa och följa instruktioner i robots.txt och andra liknande protokoll som är vedertagna inom branschen eller av standardiseringsorganisationer. Leverantörer måste också offentliggöra information om de web crawlers de använder och de åtgärder de vidtar för att uppfylla dessa opt-out-protokoll, samt erbjuda en mekanism för upphovsrättsinnehavare att automatiskt bli informerade när sådan information uppdateras.

En annan viktig del är att införa åtgärder för att hindra risken för upphovsrättsintrång i de utdata som modellen genererar. Detta kan ske genom tekniska skyddsåtgärder som förhindrar att modeller reproducerar träningsinnehåll på ett sätt som gör intrång i upphovsrätten. Leverantörerna måste även upprätta en s k acceptable use policy för att förhindra upphovsrättsintrång i modellens användarvillkor. Slutligen ska leverantörer ha en kontaktpunkt för elektronisk kommunikation med upphovsrättsinnehavare och en mekanism för att hantera klagomål på ett skyndsamt sätt.

Efterlevnad och tillsyn

Skyldigheterna för GPAI-modeller som placeras på marknaden den 2 augusti 2025 eller senare träder i kraft från och med detta datum. För modeller som redan fanns på marknaden före detta datum gäller en övergångsperiod, och de måste uppfylla kraven senast den 2 augusti 2027.

EU-kommissionens AI-byrå har exklusiv behörighet att övervaka och kontrollera efterlevnaden av dessa skyldigheter. Tillsynen kommer dock att vara samarbetsinriktad, och kommissionens bötesbefogenheter träder i kraft först den 2 augusti 2026. Leverantörer som frivilligt ansluter sig till den godkända General-purpose AI Code of Practice kan visa att de uppfyller sina skyldigheter och kommer att gynnas av ökat förtroende från kommissionen. Om de inte ansluter sig, förväntas de kunna visa sin efterlevnad på andra sätt och kan bli föremål för fler förfrågningar om information från AI-byrån.

_____

Se hur vi hjälper klienter med IT rätt

Se hur vi hjälper klienter med Upphovsrätt

Läs The General-Purpose AI Code of Practice här->

Hugo Wetterberg starts his summer internship at WETTERBERG

We are happy to announce that Hugo Wetterberg has started his summer internship at WETTERBERG. He will work the whole summer with client specific matters within the firms core areas: Media Law and IT Law.

Hugo studies law and economics at the University of Stockholm.

 We are happy to have him here!

Extrem GDPR Sanktion

Den irländska dataskyddsmyndigheten (DPC) meddelade den andra maj i år ett beslut rörande TikTok Technology Limited. Teknikjätten har ålagts böter på hela femhundratrettio miljoner euro (5 774 005 500 kr) efter en omfattande utredning. DPC fann att företaget brutit mot dataskyddsförordningen GDPR på flera punkter gällande hanteringen av europeiska användares personuppgifter och deras överföring till Kina.

Merparten av bötesbeloppet, fyrahundraåttiofem miljoner euro, härrör från olagliga dataöverföringar av personuppgifter från EU-användare till Kina. DPC konstaterade att TikTok misslyckats med att verifiera, garantera och demonstrera att uppgifterna, som bland annat var föremål för fjärråtkomst av personal i Kina, åtnjöt en skyddsnivå som är väsentligen likvärdig med den som garanteras inom EU. Företaget hade inte heller tillräckligt bedömt hur kinesisk lagstiftning, såsom lagar om kontraspionage och anti-terrorism, vilka TikTok själva identifierat som avvikande från EU-standard, kunde påverka skyddet för dessa uppgifter.

Utöver detta bötfälldes TikTok med fyrtiofem miljoner euro för brister i transparens gentemot sina användare. Deras Integritetspolicy från oktober 2021 ansågs otillräcklig eftersom den varken tydligt namngav de tredjeländer, inklusive Kina, dit personuppgifter överfördes, eller tillräckligt förklarade arten av de behandlingsåtgärder som utgjorde överföringen, specifikt fjärråtkomst från Kina till data lagrad i Singapore och USA. Denna överträdelse pågick från den tjugonionde juli 2020 till den första december 2022.

Som en del av beslutet har TikTok beordrats att inom sex månader rätta till sina databehandlingsrutiner så att de överensstämmer med GDPR:s krav. Om detta inte sker riskerar företaget att dess dataöverföringar till Kina helt stoppas, efter en period för eventuellt överklagande. Situationen förvärrades av att TikTok i april 2025 meddelade DPC att de upptäckt att begränsad EES-användardata faktiskt hade lagrats på servrar i Kina, tvärtemot tidigare lämnade uppgifter, vilket DPC ser mycket allvarligt på och överväger ytterligare åtgärder kring.

Detta beslut från den irländska dataskyddsmyndigheten markerar en kraftfull åtgärd mot en stor teknikaktör och understryker vikten av att följa GDPR, särskilt när det gäller internationella dataöverföringar och skyldigheten att vara transparent mot användare. DPC betonade att det höga skyddet inom EU måste bibehållas även när data förs ut ur unionen, och att TikToks "Project Clover" inte var tillräckligt för att undvika de korrigerande åtgärderna i detta skede. 

__________________________

Se hur vi hjälper klienter att undvika GDPR-sanktioner

DPC

WETTERBERG lectures at SSE Business Lab

WETTERBERG Advokatbyrå is also A Company that offers lectures & seminars

 We hold training courses for clients, universities and other organisations.

 This week we will hold a training concerning the AI Act at SSE Business Lab.

 Based on the literary work AI Act by attorney Dag Wetterberg, the participants will get an introduction to the AI Act and what it means in practice and how they should handle the challenges and how to comply based on their different business models (for instance in the field of medicine)..

Get in touch if you are interested in becoming more familiar with the AI Act and if your organization wants a practical, pleasant and fun introduction regarding the regulation.  

Advokaten uppmärksammar AI Act

HD:s beslut rörande Journalistik vs. Integritet

Högsta domstolen (”HD”) har i ett beslut slagit fast att det finns en gräns för hur personuppgifter får spridas trots att det är fråga journalistik och att skyddet för individers integritet måste beaktas. HD har alltså gjort en avvägning mellan yttrandefrihet och integritet.

HD har prövat med vilken rätt en organisation haft att få ut allmänna handlingar i brottmål, såsom domar och stämningsansökningar, utan inskränkningar. Hovrätten hade tidigare beslutat att handlingarna skulle lämnas ut men med ett förbehåll som förbjöd organisationen från att sprida personuppgifter såsom namn, personnummer och adresser till allmänheten och betalande kunder. Organisationen överklagade Hovrättens beslut till HD, vilka nu tagit ställning i ett beslut om begränsningen var förenlig med lagstiftningen.

En central fråga i målen har varit om handlingarna omfattades av sekretess enligt offentlighets- och sekretesslagen, särskilt i relation till EU:s Dataskyddsförordning (“GDPR”) och den s k Kompletteringslagen (Lag (2018:218) med kompletterande bestämmelser till GDPR. HD konstaterade att risken för att de begärda uppgifterna skulle behandlas i strid med dataskyddsreglerna var tillräckligt stor för att sekretess skulle gälla. HD skriver i sina beslut att ett massutlämnande av brottmålsdomar, där känsliga personuppgifter finns med, kräver skyddsåtgärder för att inte strida mot GDPR.

Organisationen har argumenterat för att deras verksamhet är journalistisk och därmed skyddad av yttrandefrihetsgrundlagen. Högsta domstolen höll med om att journalistisk verksamhet kan ge anledning till undantag från GDPR, men slog fast att detta inte innebär en obegränsad rätt att sprida personuppgifter. Domstolen betonade att det måste ske en avvägning mellan rätten till yttrandefrihet och rätten till skydd för personuppgifter, där integritetsskyddet väger tungt.

Domstolen beslutade därför att hovrättens förbehåll skulle kvarstå, men med vissa justeringar. Det innebär att organisationen inte får tillhandahålla handlingarna i sin helhet till allmänheten eller betalande kunder om detta skulle ge direkt tillgång till personuppgifter. Vidare får organisationen inte erbjuda sökmöjligheter i handlingarna som gör det möjligt att enkelt hitta namn, personnummer eller adresser.

Målet avgjordes av Högsta domstolen i en sammansättning med sju ledamöter där tre justitieråd från Högsta förvaltningsdomstolen ingick. Tre justitieråd var dock skiljaktiga. Två av dem ansåg att överklagandet borde bifallas och att den ena organisationen borde få tillgång till handlingarna utan begränsningar, med argumentet att deras verksamhet är journalistisk och därmed undantagen från GDPR. Ett tredje justitieråd menade att målet borde ha avskrivits och att det inte ens fanns förutsättningar för att lämna ut handlingarna med förbehåll.

Målet visar på en komplex juridisk avvägning mellan rätten till insyn i rättsliga handlingar och skyddet för enskildas personuppgifter. Att tre av sju domare var skiljaktiga visar även att rätten i detta mål tycker att det är komplicerad materia utan självklara och enkla svar.

__________________

Läs beslutet här

Se hur vi hjälper organisationer i medierättsliga frågor

Dag Wetterberg releases the book: AI Act

About the book 📗

”This book -AI Act - is written based on my own interests as a lawyer in IT law. After working for many years as a legal advisor to the creative industries with a focus on copyright, I have been involved in many technology shifts, from cassette tapes to CDs and from CDs to making works (such as this) available via databases. I have been in negotiations with the world's largest media companies and also been an advisor to both large and small publishers of creative works.

Among all the technology shifts I've been involved in, there's probably nothing that can compare to what's happening in AI right now. At the same time as we gain access to an extremely large amount of knowledge and can solve complicated tasks more quickly, this technology can of course also be used for opposite purposes, destructive purposes.

This book has the ambition that you - as a reader - will gain an insight, understanding and knowledge of the AI Act, which is a legislation in the EU but which is of importance for American companies making business in Europe since these companies also have to apply the AI Act. Therefore, it is time to prepare and understand what the Ai Act is all about.

My book has the ambition to be the reader's guide to quickly gain an insight and understanding of what the AI Act is about and how to prepare for and comply with it.

I hope you will enjoy the book 📗”

Dag Wetterberg

See how we can help you to prepare for the AI Act

Mittuniversitetet- Kommunikationsjuridik och etik

Den 18:e december 2024, undervisade Dag Wetterberg vid Mittuniversitetet på kursen Kommunikationsjuridik och etik. På kursen är boken Medierätt obligatorisk kurslitteratur.

Seminariet handlade om förhållandet mellan yttrandefriheten och den personliga integriteten.

 Dag Wetterberg uttalar sig enligt följande:

Den personliga integriteten och yttrandefriheten kan ibland utgöra varandras motsatser. Den ena rättigheten, yttrandefriheten, skyddar vår rätt att yttra oss och att inte bli censurerade. Den andra rättigheten ska skydda vår rätt till integritet, bland annat att inte förekomma i sammanhang där vi inte vill delta. Rättigheterna kan ofta ses som varandras motpoler, vilket innebär att lagstiftaren måste hitta en balans mellan dessa grundlagsfästa rättigheter.

 Den första delen av seminariet behandlade grundläggande frågor rörande yttrandefriheten. Studenterna förväntades att kunna diskutera, reflektera och kommentera de grundläggande begreppen inom TF/YGL samt grundläggande frågor rörande integritet och de undantag som görs i tillämplig integritetslagstiftning.

 Vi gick igenom och diskuterade följande grundläggande begrepp:

Yttrandefrihetsrättsliga begrepp

                               Censurförbudet;

-                               Offentlighetsprincipen;

-                               Meddelarfriheten;

-                               Anskaffningsskydd;

-                               Delegationsreglerna;

-                               Tryckfrihetsbrotten;

-                               Förtal (rättspraxis och förtalsbedömningar);

-                               Hets mot folkgrupp (läs särskilt om Åke Green-målet);

-                               Ensamansvar, ensam åklagare och juryrättegång;

-                               Medieombudsmannen.

                                  Personlig integritet

Integritetsrättsliga begrepp

-                               principerna,

-                               laglig grund,

-                               känsliga personuppgifter,

-                               klar och tydlig information,

-                               registrerades rätt till tillgång (pågående behandlingar),

-                               sanktioner och (knäckfrågan)->

Hur förhåller sig integritetslagstiftningen till tryck- och yttrandefriheten?

Därefter delades studenterna in in i tre grupper varvid de aktuella frågorna diskuterades och föredrogs.

Sammantaget blev det en spännande seminarium med många bra diskussioner och frågor.

________

ARTIKEL I ADVOKATEN: EU:s AI-förordning och hög risk

EU:s AI-förordning börjar stegvis gälla efter ikraftträdandet den 1 augusti 2024. Enligt advokat Dag Wetterbergs mening är AI-förordningen minst lika komplicerad och utmanande som dataskyddsförordningen, GDPR.

Mest utmanande är troligen de så kallade högrisk-AI-systemen. I artikeln utforskar Dag Wetterberg vad leverantörer och tillhandahållare av högrisk-AI-system bör förbereda sig på inför att AI-förordningen blir gällande lag.

Advokaten nr 7 2024 SE HUR VI ARBETAR MED AI Act

Advokaten nr 7 2024

Advokaten nr 7 2024

Advokaten n3 7 2024

Advokaten nr 7 2024

SE HUR VI ARBETAR MED AI Act