Boka steg 1

RegelverkGäller sedan 25 maj 2018Tillsyn: IMY

GDPR.Personuppgifter i AI-flöden.

GDPR gäller varje gång ett AI-verktyg behandlar uppgifter om en person: en kund, en hyresgäst eller en anställd. Det räcker att någon klistrar in en felanmälan med namn och adress i en AI-tjänst. Ni är personuppgiftsansvariga och ska kunna visa rättslig grund, avtal med leverantören och var uppgifterna hamnar.

Vad regeln kräver

Det här gäller.

  1. Rättslig grund för varje ändamål.

    Varje behandling behöver en rättslig grund enligt artikel 6, till exempel avtal, rättslig förpliktelse eller berättigat intresse efter en intresseavvägning. Att uppgifterna redan finns i ert affärssystem betyder inte automatiskt att ni får använda dem i ett nytt AI-flöde för ett annat ändamål.

  2. Avtal med AI-leverantören.

    En leverantör som behandlar personuppgifter för er räkning är personuppgiftsbiträde. Enligt artikel 28 ska det finnas ett personuppgiftsbiträdesavtal, och biträdet får bara behandla uppgifterna enligt era instruktioner. IMY pekar särskilt på frågan om leverantören tränar sin modell på det ni skriver in.

  3. Konsekvensbedömning vid hög risk.

    Om en behandling sannolikt innebär hög risk ska ni göra en konsekvensbedömning innan ni börjar, enligt artikel 35. Det gäller bland annat när automatiserad behandling används för att systematiskt och omfattande bedöma personer, och bedömningen ligger till grund för beslut som har rättsliga följder eller på liknande sätt påverkar personerna i betydande grad. AI som bedömer anställdas prestation eller prövar hyresgästers ansökningar kan hamna där.

  4. Överföring utanför EU och EES.

    Hamnar uppgifterna utanför EU och EES krävs stöd i kapitel V. För USA finns sedan 10 juli 2023 ett beslut om adekvat skyddsnivå, men det gäller bara mottagare som är anslutna till EU-U.S. Data Privacy Framework. Annars behövs andra skyddsåtgärder, oftast EU-kommissionens standardavtalsklausuler (SCC). Då ska ni också bedöma om lagarna i mottagarlandet gör att klausulerna fungerar i praktiken, en så kallad överföringsbedömning (TIA), och vid behov lägga till fler skyddsåtgärder.

  5. Automatiserade beslut och incidenter.

    Enligt artikel 22 har en person rätt att slippa beslut som enbart bygger på automatiserad behandling och som påverkar hen i betydande grad. Läcker personuppgifter via ett AI-verktyg ska incidenten som regel anmälas till IMY inom 72 timmar.

Var tiden går

Tiden går åt till att hålla koll på vilka uppgifter som går in i vilka AI-verktyg.

Personuppgifter finns i serviceärenden, felanmälningar, offerter, personalakter och mejl. Varje nytt verktyg kräver att ni kontrollerar avtal, lagringsplats och rättslig grund. Registerförteckningen och informationen till kunder, hyresgäster och anställda ska sedan hållas aktuella.

Så hjälper AI

Mindre handpåläggning. Samma krav.

  1. Karta över personuppgifter i AI-flöden.

    AI går igenom era verktyg och integrationer och sammanställer vilka uppgifter som går in, varifrån, till vilken leverantör och i vilket land. Underlaget blir ett utkast till registerförteckningen som ni granskar.

  2. Granskning av leverantörsavtal.

    AI läser biträdesavtal och villkor och markerar det som ska kontrolleras: underbiträden, lagringsland, träning på era data och radering. En människa bedömer och beslutar.

  3. Maskning innan uppgifter skickas vidare.

    I flöden som felanmälningar och serviceärenden kan namn, personnummer och telefonnummer tas bort eller ersättas innan texten går till en AI-modell, när ärendet inte kräver dem.

  4. Utkast till DPIA och stöd vid begäran.

    AI tar fram ett första utkast till konsekvensbedömning utifrån förteckningen. När en hyresgäst eller anställd begär registerutdrag eller radering hjälper AI till att söka fram uppgifterna i era system.

Frågor

Det ni brukar undra.

Får medarbetare klistra in kundmejl i en AI-tjänst?
Det beror på tjänsten. Med biträdesavtal, känd lagringsplats och villkor som hindrar att leverantören använder uppgifterna för egna syften går det att bygga ett lagligt flöde. I en konsumenttjänst med privat konto har ni i regel inte den kontrollen. IMY rekommenderar tydliga riktlinjer för hur AI får användas.
Måste vi alltid göra en DPIA när vi använder AI?
Nej. Kravet gäller när behandlingen sannolikt innebär hög risk. Att låta AI skriva om en offerttext är något annat än att låta AI bedöma anställda. Gör en bedömning per flöde och dokumentera den.
Får vi använda amerikanska AI-leverantörer?
Ja, om överföringen har stöd i GDPR. EU:s tribunal fann 3 september 2025 att beslutet om Data Privacy Framework är giltigt. Kontrollera om leverantören är ansluten till Data Privacy Framework eller vilka skyddsåtgärder avtalet bygger på, och om uppgifterna kan lagras inom EU.
Ändras GDPR för AI?
Kommissionen föreslog 19 november 2025 ändringar i GDPR i ett digitalt omnibuspaket, bland annat om AI. Förslaget var inte antaget när sidan kontrollerades i september 2026. I dag gäller GDPR som den är skriven.

Berör

Installation Bygg Fastighet Service Tillverkning Logistik

Källor

Senast kontrollerad 23 september 2026. Sidan förklarar regeln i klartext och är inte juridisk rådgivning. Läs alltid källan och stäm av med er jurist.

Ni har testat länge nog.

Boka steg 1 Se en vanlig tisdag med AI i drift