Nya konsumentkreditlagen: vad gäller för AI i kreditprövningen?

Den 20 november 2026 börjar en ny konsumentkreditlag gälla i Sverige. Riksdagen beslutade om den den 27 maj 2026, och den genomför EU:s andra konsumentkreditdirektiv, direktiv (EU) 2023/2225.[1][2]

För den som använder eller planerar att använda AI i kreditprocessen är lagen intressant av en särskild anledning. Den innehåller uttryckliga regler för vad som gäller när kreditprövningen bygger på automatiserad behandling av uppgifter. Det handlar om vilka uppgifter som får användas, vad konsumenten har rätt att få förklarat och när en människa ska kopplas in.

Observera: Artikeln ger en översikt och är inte juridisk rådgivning. Regelverk och vägledning förändras. Senast sakgranskad den 17 september 2026.

Det här ändras den 20 november 2026

Fler krediter omfattas

Skyddet utvidgas till fler kreditformer, bland annat vissa räntefria delbetalningslösningar som lämnas av tredje part. Företag som tidigare har legat utanför konsumentkreditlagens tillämpningsområde kan alltså omfattas av reglerna från och med i höst.[2]

Skärpt kreditprövning

Kreditprövningen ska göras i konsumentens intresse, och det införs tydligare regler för vilka uppgifter som ska beaktas när betalningsförmågan bedöms. Lagen innehåller också bestämmelser om ränte- och kostnadstak, om marknadsföring, om en förstärkt ångerrätt och om vad kreditgivaren ska göra när en konsument får betalningssvårigheter.[1][2]

Tillstånd, kunskap och kompetens

Fler aktörer som lämnar eller förmedlar krediter blir tillståndspliktiga och ställs under tillsyn, med krav på kunskap och kompetens hos personalen. Finansinspektionen har remitterat föreskrifter som preciserar bland annat vilka uppgifter som ska samlas in och verifieras vid kreditprövning, hur tillstånd söks och vilka kompetenskrav som gäller. FI föreslår att föreskrifterna ska träda i kraft samma dag som lagen, den 20 november 2026.[3]

När kreditprövningen är automatiserad

Direktivet, och därmed den svenska lagen, ställer särskilda krav när kreditprövningen bygger på automatiserad behandling. Konsumenten har rätt att:

• begära att en människa hos kreditgivaren går igenom bedömningen,

• få en meningsfull förklaring av hur bedömningen gjordes, inklusive vilka huvudsakliga variabler och vilken logik som använts och vilka risker som är förknippade med behandlingen,

• framföra sin ståndpunkt och begära att bedömningen och beslutet omprövas,

• bli informerad om dessa rättigheter.[4]

Det finns också gränser för underlaget. Särskilda kategorier av personuppgifter enligt artikel 9 i dataskyddsförordningen får inte användas i kreditprövningen, och inte heller uppgifter hämtade från sociala nätverk. Bedömningen ska bygga på nödvändiga och proportionerliga uppgifter om ekonomiska och finansiella förhållanden, som inkomster, utgifter och befintliga åtaganden.[4]

Om ett erbjudande eller ett pris anpassas till en enskild konsument med hjälp av automatiserad behandling av personuppgifter ska konsumenten få veta det.[4]

Vad händer med företagets data när ni använder AI?

Tre regelverk möts i samma process

En kreditprövning med AI-stöd berörs av tre regelverk samtidigt, och de svarar på olika frågor.

Konsumentkreditlagen reglerar själva kreditprövningen: vad som ska bedömas, vilka uppgifter som får användas och vilka rättigheter konsumenten har när behandlingen är automatiserad.

Dataskyddsförordningen reglerar behandlingen av personuppgifter. Artikel 22 gäller beslut som uteslutande grundas på automatiserad behandling och som har rättsliga följder eller på liknande sätt i betydande grad påverkar den registrerade. En kreditprövning kan falla in under den bestämmelsen, och då gäller särskilda villkor och skyddsåtgärder.[5]

AI-förordningen reglerar systemet. AI-system som är avsedda att användas för att bedöma kreditvärdighet eller fastställa kreditbetyg för fysiska personer klassas som högrisk enligt bilaga III, med undantag för system som används för att upptäcka finansiella bedrägerier. Efter ändringen genom den digitala omnibusförordningen börjar kraven på den typen av högrisksystem gälla den 2 december 2027.[6][7]

Tidsordningen är alltså den här: kraven på kreditprövningen gäller från den 20 november 2026, medan kraven på själva AI-systemet börjar gälla drygt ett år senare. Ett system som byggs nu kommer att omfattas av båda.

AI Act, NIS2, DORA och GDPR – vilka krav påverkar er AI-lösning?

Vad det innebär praktiskt för en kreditgivare

Rätten till en meningsfull förklaring är det krav som ställer högst krav på den tekniska lösningen. För att kunna förklara en enskild bedömning i efterhand behöver organisationen kunna svara på fyra frågor för varje beslut:

1. Vilken version av modellen, reglerna och promptarna användes vid tillfället?

2. Vilka uppgifter låg till grund för bedömningen, och varifrån kom de?

3. Vilka variabler påverkade utfallet mest?

4. Vem granskade, och vad ändrades vid granskningen?

Det förutsätter versionshantering och loggning som är byggd för ändamålet, inte rekonstruktion i efterhand. Loggarna behöver samtidigt hanteras enligt dataskyddsreglerna, med gallring och åtkomstkontroll.

Mänsklig granskning behöver också vara verklig. Den som granskar ska ha mandat att ändra beslutet, tillräcklig kompetens för att förstå underlaget och tid att göra det. En bekräftelseknapp i ett gränssnitt är inte en granskning.

Ett tredje område är datakällorna. Eftersom uppgifter från sociala nätverk och känsliga personuppgifter inte får ingå i kreditprövningen behöver ni veta exakt vilka källor som når modellen, även indirekt via tredjepartsdata eller berikning.

Behörighetsstyrd AI med Microsoft Entra ID – så fungerar åtkomsten

Var AI kan göra nytta utan att bli en högriskfråga

Alla AI-tillämpningar i en kreditverksamhet är inte kreditprövning. Sammanfattning av inkommande underlag, sökning i intern dokumentation, stöd till kundtjänst i frågor om villkor och ångerrätt, utkast till standardbrev och kvalitetssäkring av interna rutiner är exempel på användning som inte i sig innebär att systemet bedömer någons kreditvärdighet.

Gränsdragningen behöver ändå göras användningsfall för användningsfall, och den behöver dokumenteras. Ett system som i praktiken påverkar utfallet i bedömningen är en del av bedömningen, oavsett vad det kallas internt. AI-förordningen har undantag för system som bara utför snäva procedurella uppgifter, men den som åberopar ett undantag ska kunna visa underlaget för sin bedömning.[6]

Checklista före den 20 november

1. Kontrollera om verksamheten omfattas av det utvidgade tillämpningsområdet och om tillstånd krävs.

2. Kartlägg var i kreditprocessen automatiserad behandling förekommer i dag, inklusive regelmotorer och scoringmodeller som inte kallas AI.

3. Gå igenom datakällorna och säkerställ att känsliga personuppgifter och uppgifter från sociala nätverk inte ingår i underlaget.

4. Bygg eller verifiera loggningen så att en enskild bedömning kan förklaras i efterhand.

5. Beskriv rutinen för mänsklig granskning: vem, vilket mandat, vilken kompetens och inom vilken tid.

6. Ta fram texterna som informerar konsumenten om rätten till förklaring, omprövning och mänsklig granskning.

7. Se över kompetenskraven för berörd personal och komplettera utbildningen.

8. Dokumentera bedömningen av om era AI-system kan bli högrisk enligt bilaga III, inför den 2 december 2027.

Följ FI:s föreskriftsarbete

Föreskrifterna som preciserar kreditprövningen var vid tidpunkten för den här artikeln remitterade, inte beslutade. Kontrollera Finansinspektionens beslutade föreskrifter innan ni fastställer interna rutiner, och håll koll på Konsumentverkets vägledning för marknadsföring och information.[3]

Från idé till pilot: vad är PoC, prototyp och pilot?

Läs mer om säkerheten i Violet AI Plattform

Källor

1. Sveriges riksdag, En ny konsumentkreditlag (betänkande 2025/26:CU26): https://www.riksdagen.se/sv/dokument-och-lagar/dokument/betankande/en-ny-konsumentkreditlag_hd01cu26/

2. Regeringen, Ny konsumentkreditlag för stärkt konsumentskydd: https://www.regeringen.se/pressmeddelanden/2026/01/ny-konsumentkreditlag-for-starkt-konsumentskydd/

3. Finansinspektionen, FI föreslår nya föreskrifter och allmänna råd om krediter i konsumentförhållanden: https://www.fi.se/sv/publicerat/nyheter/2026/fi-foreslar-nya-foreskrifter-och-allmanna-rad-om-krediter-i-konsumentforhallanden/

4. Direktiv (EU) 2023/2225 om konsumentkreditavtal, EUR-Lex: https://eur-lex.europa.eu/eli/dir/2023/2225/oj/swe

5. Förordning (EU) 2016/679 (dataskyddsförordningen), EUR-Lex: https://eur-lex.europa.eu/eli/reg/2016/679/oj/swe

6. Förordning (EU) 2024/1689 (AI-förordningen), EUR-Lex: https://eur-lex.europa.eu/eli/reg/2024/1689/oj/swe

7. Förordning (EU) 2026/1744 (digital omnibusförordning om AI), EUR-Lex: https://eur-lex.europa.eu/eli/reg/2026/1744/oj/swe