AI GDPR: så använder du AI med rätt dataskydd

Du kan använda AI och följa GDPR, men när personuppgifter behandlas måste det finnas ett tydligt ändamål, en rättslig grund och lämpliga skyddsåtgärder. Kontrollera därför vilka uppgifter AI-tjänsten får, hur leverantören använder dem och vilka rättigheter de registrerade har. Ett företagsabonnemang eller en avstängd träningsfunktion räcker inte i sig.

Här får du en praktisk genomgång av AI och GDPR för svenska verksamheter. Guiden hjälper dig att ställa rätt frågor före ett införande, men ersätter inte en juridisk bedömning av den specifika behandlingen.

AI och GDPR: när gäller reglerna?

GDPR gäller när personuppgifter behandlas. Det spelar ingen roll om verktyget kallas chattbot, språkmodell, AI-assistent eller analysplattform. Att mata in, lagra, sammanfatta och analysera personuppgifter är exempel på behandling.

En personuppgift är information som direkt eller indirekt kan knytas till en levande person. Det kan vara ett namn, en e-postadress, en röstinspelning eller en kombination av befattning, arbetsplats och händelser.

I praktiken kan personuppgifter finnas i:

• kundmejl som ska sammanfattas,
• mötesanteckningar med namn och åsikter,
• ansökningar och bedömningar vid rekrytering,
• supportärenden, avtal och interna dokument,
• AI-genererade slutsatser om identifierbara personer.

Att ta bort namnet räcker inte alltid. Om personen fortfarande kan identifieras är uppgifterna inte anonyma. Pseudonymiserade uppgifter omfattas fortfarande av GDPR. Verkligt anonym information faller däremot utanför förordningen, men anonymisering kräver mer än en snabb redigering.

Börja med ändamål och rättslig grund

Fråga först: Vad ska AI hjälpa oss att göra, och varför behövs personuppgifter? Ett tydligt ändamål kan vara att sortera inkommande supportärenden. ”Vi vill testa AI” är däremot för vagt för att styra en ansvarsfull behandling.

Nästa steg är att fastställa rättslig grund. Beroende på situation kan exempelvis avtal, rättslig förpliktelse, uppgift av allmänt intresse eller intresseavvägning vara aktuellt. Grunden måste passa den faktiska behandlingen. Att ett kundavtal finns innebär inte automatiskt att all AI-användning är nödvändig för avtalet.

Samtycke är inte en universallösning. Det måste bland annat vara frivilligt, informerat och möjligt att återkalla. I arbetslivet kan beroendeställningen göra samtycke olämpligt.

Om uppgifterna redan finns i verksamheten får de inte automatiskt användas för ett nytt AI-ändamål. Bedöm om den nya användningen är förenlig med det ursprungliga ändamålet och om informationen till de registrerade behöver uppdateras.

Känsliga personuppgifter kräver extra prövning

Uppgifter om exempelvis hälsa, politiska åsikter och fackligt medlemskap har särskilt skydd. Då behövs normalt både en rättslig grund och ett tillämpligt undantag från förbudet att behandla känsliga personuppgifter. Även uppgifter om lagöverträdelser omfattas av särskilda regler.

Låt därför inte medarbetare lägga in läkarintyg, rehabiliteringsärenden eller liknande material i en allmän AI-chatt utan en särskild bedömning och beslutade skyddsåtgärder.

AI-leverantörer och GDPR: kontrollera hela dataflödet

Kartlägg vad som händer från uppladdning till radering. Personuppgifter kan förekomma i promptar, bilagor, svar, loggar, säkerhetskopior och anslutna datakällor. En integration kan dessutom ge AI-tjänsten åtkomst till betydligt mer information än användaren tänkt sig.

Verksamheten är ofta personuppgiftsansvarig för sin användning, medan leverantören kan vara personuppgiftsbiträde. Men rollerna måste bedömas utifrån vem som faktiskt bestämmer ändamål och medel. En leverantör kan också vara självständigt ansvarig för vissa behandlingar.

Kontrollpunkt	Fråga att ställa
Roller och avtal	Finns ett personuppgiftsbiträdesavtal när det behövs?
Träning	Används inmatningar eller svar för att förbättra modeller?
Lagring	Hur länge sparas information, och hur fungerar radering?
Underbiträden	Vilka andra företag får behandla uppgifterna?
Åtkomst	Vilka kan läsa materialet, inklusive supportpersonal?
Överföringar	Kan uppgifter överföras till eller göras tillgängliga i tredjeland?

Ett besked om ”lagring inom EU” besvarar inte alla frågor. Undersök även fjärråtkomst och underbiträden. Vid tredjelandsöverföringar krävs stöd enligt GDPR:s överföringsregler, exempelvis ett tillämpligt adekvansbeslut eller lämpliga skyddsåtgärder. Ytterligare bedömningar och åtgärder kan behövas.

Dataminimering gör AI-användningen tryggare

Det enklaste sättet att minska dataskyddsrisker är ofta att inte skicka personuppgifter alls. Be AI skapa en mall för ett kundsvar i stället för att klistra in hela kundhistoriken.

Om personuppgifter behövs ska du begränsa dem till det som är relevant. Ersätt identifierande detaljer där det går och kontrollera även dokumentens metadata, kommentarer och bilagor.

Ett praktiskt arbetssätt är att:

• använda påhittade exempel vid utbildning och test,
• begränsa integrationers åtkomst till nödvändiga mappar,
• bestämma lagringstider och rutiner för radering,
• skilja testmiljöer från verkliga kund- och personaluppgifter,
• granska AI-svar innan de förs in i verksamhetens system.

Bra instruktioner hjälper också. På sidan lär dig prompting kan du utveckla hur du beskriver uppgifter utan att skicka med onödigt underlag. Tänk dock på att en prompt som säger ”spara inte detta” inte ersätter avtal eller tekniska inställningar.

Säkerhet, transparens och människors rättigheter

GDPR kräver lämplig säkerhet utifrån riskerna. För AI kan det innebära behörighetsstyrning, stark autentisering, kryptering och kontrollerad loggning. Även loggar behöver skydd och lagringstider.

Externt innehåll kan innehålla instruktioner som försöker få en AI-assistent att lämna ut information eller utföra olämpliga åtgärder. Läs mer om AI-säkerhet och prompt injection när ni kopplar modeller till dokument eller andra system.

Informera de registrerade begripligt om behandlingen enligt GDPR:s informationskrav. Beskriv bland annat ändamål, rättslig grund, mottagare och lagringstid. Informationen ska spegla hur lösningen faktiskt används.

Planera också för registerutdrag, rättelse, radering och andra tillämpliga rättigheter. Kan ni hitta en persons uppgifter i chattar och anslutna system? Kan felaktiga AI-genererade uppgifter rättas? Radering är inte en ovillkorlig rättighet i alla situationer, men verksamheten måste kunna hantera begäranden korrekt.

När behövs en konsekvensbedömning för AI och GDPR?

En konsekvensbedömning avseende dataskydd, ofta kallad DPIA, krävs när en behandling sannolikt leder till hög risk för människors rättigheter och friheter. AI innebär inte automatiskt att en sådan bedömning behövs, men ny teknik tillsammans med exempelvis omfattande profilering eller känsliga uppgifter kan tala för det.

Bedömningen ska göras innan behandlingen börjar. Beskriv behandlingen, pröva nödvändighet och proportionalitet och identifiera risker samt skyddsåtgärder. Involvera dataskyddsombudet om verksamheten har ett. Om hög risk kvarstår trots åtgärder kan förhandssamråd med tillsynsmyndigheten krävas.

Var försiktig med automatiserade beslut

GDPR har särskilda regler för beslut som enbart grundas på automatiserad behandling och får rättsliga eller liknande betydande följder. Det kan exempelvis bli aktuellt vid kreditprövning eller urval i rekrytering.

En människa som bara godkänner AI:s förslag rutinmässigt innebär inte nödvändigtvis meningsfull mänsklig kontroll. Granskaren behöver kompetens, relevant information och verklig möjlighet att ändra beslutet. Kontrollera om behandlingen omfattas av reglerna och om ett undantag med nödvändiga skyddsåtgärder är tillämpligt.

GDPR och EU AI Act gäller parallellt

GDPR reglerar behandling av personuppgifter. EU AI Act innehåller andra krav på AI-system och deras användning, bland annat utifrån risk och aktörens roll. Att uppfylla den ena förordningen innebär inte att den andra automatiskt är uppfylld.

Börja med vår sammanfattning av EU AI Act för helhetsbilden. Använd sedan checklistan om EU AI Act för företag för att strukturera det fortsatta arbetet. Kontrollera vilka bestämmelser och tillämpningsdatum som gäller för just er lösning.

Vanliga frågor

Får man lägga personuppgifter i en AI-chatt enligt GDPR?

Ja, det kan vara tillåtet, men det kräver bland annat ett tydligt ändamål, rättslig grund och lämpliga skyddsåtgärder. Leverantörens villkor, roller, säkerhet och eventuella tredjelandsöverföringar behöver granskas. Använd inte en privat eller icke godkänd tjänst för verksamhetens personuppgifter.

Räcker det att stänga av träning för att uppfylla GDPR?

Nej. Avstängd träning kan minska en risk, men uppgifter kan fortfarande lagras, loggas och behandlas för andra ändamål. Ni behöver även bedöma avtal, åtkomst, lagringstider, rättslig grund och registrerades rättigheter.

Hur börjar ett mindre företag med AI och GDPR?

Välj en avgränsad uppgift med låg risk och använd helst inga personuppgifter i det första testet. Utse en ansvarig, granska tjänsten och skriv enkla regler för medarbetarna. Dokumentera bedömningarna innan användningen utökas.

Vill du bygga en trygg grund för AI på jobbet? Börja med Akademin AI:s gratis AI-kurs och utveckla din förståelse steg för steg.