Kort svar: ja, svenska företag får använda AI-tjänster som ChatGPT, Microsoft Copilot och Claude. Men så fort medarbetarna skriver in personuppgifter i dem – ett kundnamn, ett mejl, ett CV – gäller GDPR fullt ut. Och då är det ert företag som ansvarar, inte AI-bolaget.
Därför blir det ofta fel
Det vanligaste problemet är inte tekniken utan vardagen. En medarbetare klistrar in ett kundmejl och ber AI:n formulera ett svar. En annan laddar upp ett avtal för att få en sammanfattning. Ingen har gjort något illasinnat, men personuppgifter har skickats till en extern tjänst utan att någon vet vart de tog vägen, hur länge de sparas eller om de används för att träna AI-modeller.
Det här behöver ni ha på plats
- En företagsversion av tjänsten. Konsumentversionerna har ofta andra villkor än företagsavtalen, till exempel när det gäller om det ni skriver får användas för att träna AI-modellerna. Kontrollera alltid villkoren för just den version ni använder.
- Ett personuppgiftsbiträdesavtal. När en leverantör behandlar personuppgifter åt er krävs ett avtal som reglerar hur det får ske. Utan det saknas grunden för att använda tjänsten med personuppgifter.
- Koll på var datan tar vägen. Överföringar av personuppgifter till länder utanför EU kräver ett giltigt stöd, till exempel EU:s dataskyddsramverk med USA för certifierade amerikanska bolag. Det är lagligt i dag, men det är ert ansvar att veta vilket stöd som gäller.
- Tydliga regler för medarbetarna. Vad får skrivas in, och vad får aldrig skrivas in? Personnummer, hälsouppgifter och kunduppgifter är bra exempel på saker som inte ska in i en AI-tjänst utan skydd.
- Utbildning. Regler fungerar bara om folk förstår dem. EU:s AI-förordning kräver dessutom att personal som använder AI har tillräcklig kunskap om det.
Ett tryggare upplägg
Ett sätt att minska risken är att låta tekniken skydda er. Med ett DLP-filter maskeras definierade typer av uppgifter, som namn och personnummer, innan texten når AI-modellen, och sätts tillbaka i svaret efteråt. Inget filter fångar allt, men det tar bort de vanligaste misstagen. Det är upplägget bakom Valv, där data dessutom lagras i Sverige och AI-modellerna körs i EU.
Sammanfattning
AI-tjänsterna är inte förbjudna – men de kräver samma omsorg som alla andra system som hanterar kunddata. Börja med att ta reda på vilka AI-verktyg som redan används hos er. Det brukar vara fler än man tror.
Den här texten är en allmän vägledning, inte juridisk rådgivning. Kontrollera alltid aktuella villkor hos respektive leverantör och vid behov med en jurist.