GDPR och AI: vad lagen kräver innan ni tar ett AI-verktyg i bruk

GDPR gäller för AI på samma sätt som för all annan behandling av personuppgifter. Så snart ett AI-verktyg läser, sparar eller skapar uppgifter om en person behöver ni en rättslig grund, kunna svara på de registrerades frågor och ofta göra en konsekvensbedömning. Fattar verktyget beslut som påverkar människor ska en människa dessutom kunna pröva dem, och AI-förordningen lägger egna krav ovanpå allt detta.

Kort sagt

• GDPR gäller så fort AI behandlar personuppgifter, i träningsdata, i promptar och i det modellen svarar.
• Beslut som påverkar en person får sällan fattas helt automatiskt, och en människa ska kunna pröva dem.
• AI-förordningen lägger till krav på tillsyn, loggning och kunnighet, och GDPR gäller fortfarande fullt ut bredvid.

Vad betyder GDPR för AI i praktiken?

Dataskyddsförordningen, förordning (EU) 2016/679, är teknikneutral. Den gäller behandling av personuppgifter som helt eller delvis sker automatiserat, och ett AI-system är i det avseendet ett IT-system bland andra. Förordningen definierar personuppgifter brett, som varje upplysning som avser en identifierad eller identifierbar fysisk person. Behandling omfattar i stort sett allt som går att göra med uppgifterna, från insamling och lagring till sammanställning, användning och radering. Samma förordning sätter de grundprinciper som följer med in i varje AI-projekt: uppgifterna ska samlas in för särskilda ändamål, inte vara fler än vad som behövs, vara riktiga och inte sparas längre än nödvändigt.

När räknas AI-användning som personuppgiftsbehandling?

Det räcker att ett namn, en e-postadress eller ett ärende som går att knyta till en person passerar genom verktyget. En medarbetare som klistrar in ett kundmejl i en chattjänst för att få hjälp med svaret har behandlat personuppgifter, och verksamheten är personuppgiftsansvarig för den behandlingen. Det gäller även när leverantören uppger att inget sparas, eftersom behandlingen sker i samma stund som texten skickas. Leverantören av tjänsten är då i regel personuppgiftsbiträde, och ett biträdesavtal behöver finnas på plats innan uppgifterna börjar flöda.

Personuppgifter i träningsdata och i promptar

AI ger två ställen där personuppgifter dyker upp. Det första är träningsdata. Tränar eller finjusterar ni en modell på egna dokument är det en ny behandling, och ändamålet måste gå ihop med det uppgifterna ursprungligen samlades in för. Uppgifter som en gång gått in i en modell kan dessutom vara svåra att få ut igen, vilket gör det klokt att avgöra vad som får användas innan träningen börjar.

Det andra stället är det löpande arbetet: det som skickas in i en prompt och det som kommer tillbaka. Svaret är också en behandling, och en språkmodell kan formulera felaktiga uppgifter om en person med stor säkerhet, vilket berör principen om riktighet. Den som använder modellen behöver därför kunna se vad ett svar bygger på och rätta det som är fel innan det används.

Vilken rättslig grund behövs, och vilka rättigheter har de registrerade?

Berättigat intresse, samtycke eller avtal

GDPR räknar upp ett fåtal rättsliga grunder, och varje behandling måste vila på minst en av dem. För AI i ett företag är tre vanligast. Avtal fungerar när behandlingen behövs för att fullgöra ett avtal med den registrerade, till exempel för att besvara en kunds egen förfrågan. Berättigat intresse kräver en dokumenterad intresseavvägning där verksamhetens intresse vägs mot den registrerades. Samtycke måste vara frivilligt och går att återkalla, vilket gör det svårt att använda i anställningsförhållanden och i myndighetsutövning, där maktförhållandet är ojämnt.

Offentlig sektor står i en annan position. Myndigheter kan inte stödja sig på berättigat intresse för det de gör inom ramen för sina uppgifter, och behandlingen bygger då oftast på allmänt intresse eller myndighetsutövning. Rör det känsliga uppgifter, som hälsa, krävs dessutom ett särskilt undantag utöver den rättsliga grunden.

Rätten till information, rättelse och radering

De registrerade har rätt att få veta att deras uppgifter behandlas, för vilket ändamål och om automatiserat beslutsfattande förekommer, då med meningsfull information om logiken bakom. De har också rätt till tillgång, rättelse och radering. För ett AI-flöde betyder det att ni måste kunna hitta en persons uppgifter där de faktiskt ligger: i loggar, i sparade promptar och i svar som lagrats. Det är betydligt lättare att bygga in den möjligheten från början än att leta i efterhand.

Vad säger artikel 22 om automatiserade beslut?

Artikel 22 i dataskyddsförordningen ger den registrerade rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inklusive profilering, om beslutet har rättsliga följder eller på liknande sätt i betydande grad påverkar personen. Undantagen är när beslutet behövs för ett avtal, när det är tillåtet enligt lag eller när personen gett sitt uttryckliga samtycke. Även då ska den registrerade ha rätt till mänskligt ingripande, rätt att framföra sina synpunkter och rätt att bestrida beslutet.

Vad krävs för mänsklig prövning?

En prövning räknas bara om den är verklig. Personen som granskar behöver befogenhet att ändra utfallet, kompetens att bedöma det och tillgång till samma underlag som systemet använde. En stämpel som sätts på hundra förslag i rad utan att någon läser dem gör ett automatiserat beslut lika automatiserat som förut.

Så är Kapacitis moduler byggda. Kundtjänst i mejl läser inkomna kundmejl och skriver svarsförslag i er ton, och ni godkänner innan något skickas. Bokföringsagenten läser kvitton och fakturor och föreslår kontering, och inget bokförs förrän er ekonomiansvarige har godkänt förslaget. Diarieföringen föreslår nämnd, handläggare och diarienummer för en inkommen handling, och en människa registrerar. I alla tre stannar det automatiserade steget vid ett underlag, och beslutet ligger hos en person.

Profilering och vad den innebär för ert AI-system

Profilering är automatiserad behandling som bedömer personliga egenskaper, till exempel för att förutsäga någons arbetsprestation, ekonomiska situation eller beteende. Ett system som sorterar kundmejl efter ämne profilerar normalt inte. Ett system som poängsätter kunder, sökande eller medborgare gör det, och då gäller både reglerna om profilering och ofta kravet på konsekvensbedömning.

När krävs en konsekvensbedömning för AI-system?

När en DPIA krävs

Artikel 35 i dataskyddsförordningen kräver en konsekvensbedömning avseende dataskydd när en behandling, särskilt med ny teknik, sannolikt leder till hög risk för fysiska personers rättigheter och friheter. Förordningen pekar ut tre lägen där den alltid krävs: systematisk och omfattande bedömning av personliga aspekter som grundas på automatiserad behandling och leder till beslut med rättsliga följder, behandling i stor omfattning av känsliga uppgifter och systematisk övervakning av allmän plats i stor omfattning. AI som fattar eller förbereder beslut om människor hamnar lätt i det första.

Vad bedömningen ska innehålla

Bedömningen ska beskriva behandlingen och dess ändamål, pröva om den är nödvändig och proportionerlig, bedöma riskerna för de registrerade och redovisa de åtgärder som ska hantera riskerna. Kvarstår en hög risk trots åtgärderna ska ni samråda med tillsynsmyndigheten innan behandlingen börjar. Bedömningen görs innan verktyget tas i bruk och ses över när något väsentligt ändras, till exempel när AI-modellen byts.

Hur förhåller sig GDPR till AI-förordningen?

AI-förordningen, förordning (EU) 2024/1689, reglerar AI-systemen själva, efter hur riskfylld användningen är. Den gäller parallellt med GDPR och ändrar inte dataskyddsreglerna. Ett AI-system som behandlar personuppgifter måste alltså uppfylla båda. Förordningens artikel 27 kräver i vissa fall en konsekvensbedömning avseende grundläggande rättigheter, och där den krävs ska den komplettera den konsekvensbedömning som redan gjorts enligt GDPR.

Var kraven överlappar

Mänsklig tillsyn finns i båda regelverken. GDPR kräver mänsklig prövning av vissa beslut, och AI-förordningen kräver att högrisksystem är byggda för att människor ska kunna övervaka dem och att den som använder systemet låter personer med rätt kompetens och befogenhet utöva tillsynen. Konsekvensbedömningarna hänger också ihop, eftersom bedömningen av grundläggande rättigheter bygger vidare på den dataskyddsbedömning ni redan gjort. Loggning är den tredje överlappningen, eftersom spårbarhet behövs både för att visa ansvar enligt GDPR och för att uppfylla förordningens krav på högrisksystem.

Var AI-förordningen lägger till nya krav

AI-förordningen inför förbud mot vissa användningar, krav på AI-kunnighet hos personalen, krav på transparens när människor interagerar med AI och en lång rad krav på högrisksystem, från riskhantering till dokumentation. Den har också en egen tidsplan som skiljer sig från GDPR. Hur riskklasserna och datumen ser ut beskriver vi på sidan om AI-förordningen och AI-agenter, och den konkreta att göra-listan finns i vår checklista för AI-förordningen.

Hur följer ni reglerna utan att stoppa AI-arbetet?

Var datan bearbetas och vem som ser den

Den enklaste dataskyddsrisken att undvika är den som uppstår när uppgifter lämnar er kontroll. Skickas en prompt till en AI-tjänst utanför EU gäller reglerna om överföring till tredje land, med de bedömningar och skydd som följer. Körs modellen i stället på en server ni kontrollerar försvinner den frågan för det materialet.

ALEX är byggd efter den principen. Varje kund får en egen server i EU, och data delas aldrig med någon annan kund. Det känsliga, och allt som ingen regel täcker, går till en lokal språkmodell, och molnet används bara om ni väljer det och bara för det ni klassat som icke känsligt. Varje roll ser bara det den ska se. Vi tecknar personuppgiftsbiträdesavtal med varje kund och tränar aldrig någon modell på era uppgifter utan ett separat skriftligt godkännande. Detaljerna, från underbiträden till radering, står i hur ALEX loggar och begränsar data.

Mänskligt godkännande som rutin

Mänsklig prövning fungerar bäst när den ingår i varje steg. I ALEX skickas, bokförs eller ändras inget innan rätt person har läst och sagt ja, och ett ja är knutet till en viss text och en viss person. Allt skrivs in i en signerad logg med extern tidsstämpel som er revisor kan kontrollera själv. Det ger er underlag både för den registrerades frågor och för att visa vem som beslutade vad. Kapaciti bygger AI-medarbetare där varje steg som rör en persons ärende går via mänskligt godkännande och lämnar ett spårbart kvitto, så att kraven på prövning och ansvar är inbyggda i arbetssättet, inte ett tillägg i efterhand.

Vad betyder det för er i praktiken?

Innan ett AI-verktyg börjar arbeta med personuppgifter behöver ni ha svar på några frågor. Listan nedan är en startpunkt, och mer om biträdesavtal, tredje land och automatiserade beslut finns på sidan om GDPR och AI.

• Vilka personuppgifter verktyget faktiskt kommer att se, i promptar, dokument och svar.
• Vilken rättslig grund behandlingen vilar på, och om en intresseavvägning är dokumenterad.
• Om ett biträdesavtal finns och var leverantören behandlar uppgifterna.
• Om verktyget fattar eller förbereder beslut som påverkar personer, och vem som prövar dem.
• Om behandlingen kräver en konsekvensbedömning, och om den är gjord.
• Hur ni hittar, rättar och raderar en persons uppgifter i hela flödet.
• Hur användningen klassas enligt AI-förordningen.

Låt verktyget arbeta i skuggläge först, där det läser och föreslår utan att något går skarpt. Då ser ni vilka uppgifter som passerar och hur förslagen ser ut innan någon behöver lita på dem.

Hur kommer ni igång med Kapaciti?

Välj Kapaciti när ni vill införa AI utan att ge upp kontrollen över personuppgifterna. ALEX körs på egen AI-kapacitet: en lokal språkmodell på en server i EU som bara är er, och inget skickas till en AI-tjänst i molnet om ni inte väljer det. Vi bryr oss om att det blir rätt, så inget skickas, bokförs eller ändras utan ert ja, och uppdrag som inte håller tackar vi nej till, även när de går att fakturera. Hur det fungerar för verksamheter med höga krav beskriver vi under AI för reglerad verksamhet.

Kapaciti tar uppdrag i hela Sverige och Europa, och det går fortare med oss eftersom grunden i ALEX är byggd och provad, så ni börjar inte från noll. Den som bygger är den ni pratar med, från första samtalet till utbildningen av er personal. Vi börjar med ett samtal om er vecka, går vidare med Kartläggningen och låter sedan ALEX arbeta en skuggvecka där den läser och föreslår, så att ni ser resultatet i era egna ärenden innan något går skarpt.

Vi svarar senast nästa arbetsdag. Boka 30 minuter

Källor

• Dataskyddsförordningen, förordning (EU) 2016/679, EUR-Lex (hämtad 14 november 2026)
• AI-förordningen, förordning (EU) 2024/1689, EUR-Lex (hämtad 14 november 2026)