Vad ska ni bedöma innan ni använder AI-verktyg med personuppgifter?

Publicerad 19 oktober 2026

Sammanfattning: Innan ni använder ett AI-verktyg med personuppgifter behöver ni kunna svara på fem frågor: vad är ändamålet, vilken rättslig grund har ni, vilken roll har leverantören och använder den era uppgifter för att träna sina modeller, hamnar uppgifterna i ett tredjeland, och leder behandlingen sannolikt till hög risk så att en konsekvensbedömning krävs. GDPR gäller fullt ut när AI behandlar personuppgifter, och AI-förordningen lägger till egna krav. Dess transparenskrav i artikel 50 tillämpas sedan den 2 augusti 2026. Dokumentera svaren innan verktyget tas i bruk.

Börja med ändamålet och vilka uppgifter som hamnar i verktyget

Personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål (artikel 5.1 b) och vara adekvata, relevanta och inte för omfattande (artikel 5.1 c). För AI-verktyg är det sällan verktyget i sig som avgör, utan användningsfallet. Att sammanfatta ett internt möte är något annat än att sortera jobbansökningar, även om det är samma tjänst.

Kartlägg därför vad som faktiskt skickas in och sparas:

• texter och frågor som användarna skriver in;
• dokument, e-post och bilagor som laddas upp eller som verktyget hämtar själv;
• mötesinspelningar och transkript;
• svaren, som också kan innehålla personuppgifter och sparas i historiken.

Saknar ni överblick över vilka AI-verktyg som används, börja med en inventering; se AI-inventering och AI governance.

Rättslig grund och information till de registrerade

Varje behandling behöver en av de rättsliga grunderna i artikel 6.1, och GDPR anger ingen grund som gäller för AI i allmänhet. För vissa interna AI-verktyg i privata verksamheter kan intresseavvägning (artikel 6.1 f) vara en relevant grund, men den behöver bedömas för det konkreta användningsfallet, och den gäller inte för offentliga myndigheter när de fullgör sina uppgifter. Kommunala bolag behöver därför bedöma vilken grund som gäller för just deras verksamhet.

Europeiska dataskyddsstyrelsens (EDPB) yttrande 28/2024 om AI-modeller beskriver de tre stegen i en intresseavvägning: att intresset är berättigat, att behandlingen är nödvändig för det, och att de registrerades intressen, rättigheter och friheter inte väger tyngre. Yttrandet lyfter särskilt de registrerades rimliga förväntningar. Dokumentera avvägningen.

Artiklarna 13 och 14 kräver information om bland annat ändamål, rättslig grund och mottagare. Fattas helt automatiserade beslut som har rättsliga följder eller på liknande sätt i betydande grad påverkar någon gäller artikel 22, och då ska ni också ge meningsfull information om logiken bakom.

Leverantören: biträdesvillkor och träning på era data

När leverantören behandlar personuppgifter för er räkning är den personuppgiftsbiträde, och artikel 28.3 kräver ett avtal där biträdet bara behandlar uppgifterna enligt era dokumenterade instruktioner. Får leverantören använda era uppgifter för egna ändamål, till exempel för att träna sina modeller, bestämmer den själv ändamålet och är för den delen inte bara biträde. Enligt artikel 28.10 ska ett biträde som i strid med förordningen bestämmer ändamål och medel anses vara personuppgiftsansvarigt för den behandlingen.

Kontrollera i villkoren:

• att det finns ett personuppgiftsbiträdesavtal som omfattar AI-funktionen, inte bara grundtjänsten;
• om prompter, filer och svar används för att träna eller förbättra leverantörens modeller, och om det går att stänga av;
• om villkoren skiljer sig mellan konsument- och företagsversionen av samma tjänst;
• vilka underbiträden som används och hur ni får besked om ändringar (artikel 28.2);
• hur länge prompter och svar sparas, och att uppgifterna raderas eller återlämnas när avtalet upphör (artikel 28.3 g).

Som exempel anger Microsoft att prompter, svar och data som hämtas via Microsoft Graph i Microsoft Copilot inte används för att träna grundmodellerna. Läs motsvarande uppgift för varje verktyg ni använder.

Enligt EDPB:s yttrande kan tillsynsmyndigheter också beakta om ni, när ni använder en modell som någon annan har utvecklat, har gjort en lämplig bedömning av att den inte har tagits fram genom olaglig behandling av personuppgifter. Bedömningens omfattning beror på riskerna.

Hamnar uppgifterna i ett tredjeland?

Kapitel V i GDPR gäller när personuppgifter görs tillgängliga för en mottagare utanför EU/EES (artikel 44), även via underleverantörer. En överföring kan bygga på ett beslut om adekvat skyddsnivå (artikel 45). För USA gäller kommissionens beslut för organisationer som deltar i EU-US Data Privacy Framework, så kontrollera att just mottagaren är certifierad. Annars behövs lämpliga skyddsåtgärder enligt artikel 46, oftast kommissionens standardavtalsklausuler, och en bedömning av mottagarlandet enligt EDPB:s rekommendationer 01/2020.

Att filerna lagras inom EU räcker inte alltid. Microsoft anger till exempel att vissa AI-modeller från tredje part, som Microsoft använder som underbiträden, för närvarande är undantagna från EU Data Boundary. För kunder i EU/EFTA är de modellerna avstängda som standard och används bara om en administratör slår på dem. Med inställningen Flex routing kan dessutom själva AI-bearbetningen i Copilot ske i USA, Kanada eller Australien under perioder med hög belastning; den är påslagen som standard för tenanter som skapats efter den 25 mars 2026. Valet av modell och tenantens inställningar kan alltså påverka var uppgifterna behandlas, så kontrollera aktuell dokumentation och inställningarna innan verktyget godkänns.

När krävs en konsekvensbedömning?

Artikel 35.1 kräver en konsekvensbedömning när en typ av behandling, särskilt med användning av ny teknik, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. Integritetsskyddsmyndighetens (IMY) förteckning innehåller nio kriterier, och som huvudregel ska en konsekvensbedömning göras om minst två är uppfyllda. Ny teknik är ett av kriterierna. Räknas AI-användningen som ny teknik räcker det alltså med ett kriterium till, till exempel:

• utvärdering eller poängsättning av människor, som urval bland jobbsökande;
• personer i underläge eller beroendeställning, som anställda, barn eller patienter;
• känsliga personuppgifter eller uppgifter av mycket personlig karaktär;
• behandling i stor omfattning eller samkörning av uppgifter på sätt som de registrerade inte kunnat förvänta sig.

Bedömningen ska bland annat innehålla en beskrivning av behandlingen, en bedömning av nödvändighet och proportionalitet, en riskbedömning och de åtgärder ni planerar (artikel 35.7). Om bedömningen visar en hög risk som ni inte kan minska ska ni samråda med IMY innan ni börjar (artikel 36). Får ett befintligt system nya AI-funktioner kan en tidigare konsekvensbedömning behöva uppdateras; se när en konsekvensbedömning behöver uppdateras.

AI-förordningen: transparenskraven och datumen

AI-förordningen, förordning (EU) 2024/1689, gäller parallellt med GDPR. Dess datum har ändrats genom förordning (EU) 2026/1744, den digitala omnibusförordningen om AI, som trädde i kraft den 27 juli 2026. Den sköt inte upp transparenskraven i artikel 50, som tillämpas sedan den 2 augusti 2026:

• Leverantörer av AI-system som interagerar direkt med människor ska se till att människorna informeras om att de interagerar med ett AI-system, om det inte är uppenbart (artikel 50.1).
• Leverantörer av system som genererar syntetiskt ljud, bild, video eller text ska märka utdata i maskinläsbart format (artikel 50.2). System som släppts ut på marknaden före den 2 augusti 2026 har till den 2 december 2026 på sig.
• Tillhandahållare av system för känsloigenkänning eller biometrisk kategorisering ska informera de personer som exponeras (artikel 50.3).
• Tillhandahållare ska upplysa om deepfakes, och text som publiceras för att informera allmänheten i frågor av allmänt intresse ska anges som AI-genererad, om den inte har granskats av en människa och någon har redaktionellt ansvar (artikel 50.4).

En organisation som använder ett AI-system under eget överinseende i sin verksamhet är tillhandahållare (artikel 3.4). Låter ni utveckla ett AI-system, till exempel en chattbot på er webbplats, och tar det i bruk under eget namn eller varumärke kan ni i stället vara leverantör (artikel 3.3). Kraven för högrisksystem enligt bilaga III, där AI för rekrytering och urval ingår, tillämpas från den 2 december 2027. Leverantörer och tillhandahållare ska dessutom vidta åtgärder för att främja AI-kunnighet hos sin personal (artikel 4 i dess ändrade lydelse).

Checklista innan verktyget tas i bruk

1. Användningsfallet, ändamålet och de personuppgifter som skickas in är beskrivna.
2. Rättslig grund är vald och, vid intresseavvägning, dokumenterad.
3. Informationen till de registrerade är uppdaterad.
4. Personuppgiftsbiträdesavtal finns och omfattar AI-funktionen, och frågan om träning på era uppgifter är besvarad.
5. Underbiträden och eventuella tredjelandsöverföringar är kända och har stöd i kapitel V.
6. Behovet av konsekvensbedömning är bedömt och dokumenterat, även när svaret är nej.
7. Transparenskraven i artikel 50 är kontrollerade för de användningsfall där de gäller.
8. Behandlingen finns i registret över behandlingar och i er AI-inventering.

Ska ni införa ett AI-verktyg som behandlar personuppgifter? Vi hjälper er att bedöma rättslig grund, leverantörsvillkor och överföringar, och att genomföra en konsekvensbedömning (DPIA) när den behövs. Läs mer om vårt arbete med dataskydd och integritet, eller kontakta oss.

Källor: förordning (EU) 2016/679 (GDPR); förordning (EU) 2024/1689 (AI-förordningen) och förordning (EU) 2026/1744; EDPB, yttrande 28/2024 och rekommendationer 01/2020; IMY om konsekvensbedömning och förteckningen enligt artikel 35.4 och om överföring till tredje land; Europeiska kommissionen, Adequacy decisions; Microsoft Learn, Data, Privacy, and Security for Microsoft Copilot, sidorna om AI-leverantörer som underbiträden och Flex routing (EU and EFTA). Verifierat 2026-10-03.

Den här texten är allmän information och inte juridisk rådgivning. Regler, vägledning och leverantörsvillkor för AI ändras snabbt; bedöm alltid ert eget användningsfall.