AI och GDPR för småföretag: vad du behöver veta innan du matar in kunduppgifter

Integritetsskyddsmyndigheten, IMY, publicerade i februari 2025 vägledningen GDPR vid användning av generativ AI. Den riktar sig i första hand till offentlig förvaltning, men IMY skriver att ”riktlinjerna är i huvudsak vägledande även för privata verksamheter och andra som använder generativ AI”.

Vägledningen pekar bland annat på att du ska:

• klargöra om du är personuppgiftsansvarig eller personuppgiftsbiträde,
• ha en rättslig grund för behandlingen,
• se efter om uppgifterna lämnar EU och EES,
• bedöma riskerna: ”Bedöm riskerna med användningen och säkerställ lämplig säkerhet.”

I normalfallet är du personuppgiftsansvarig för uppgifterna du matar in. Leverantören kan vara personuppgiftsbiträde. Då kräver GDPR att behandlingen styrs av ett avtal: ”Processing by a processor shall be governed by a contract or other legal act” (artikel 28).

På Free, Pro och Max kan dina chattar och kodsessioner användas för att förbättra Claude om du tillåter det i integritetsinställningarna. Inkognitochattar används inte. Team, Enterprise och API beskrivs i separata villkor. Läs Anthropics sida om modellträning och villkoren för din plan innan du lägger in kunduppgifter.

1. Lägg inte in personuppgifter som uppgiften inte kräver. Byt namn mot ”kund A” när du ber om en text.
2. Kontrollera var leverantören behandlar data och vilka villkor som gäller för din plan.
3. Stäng av användning för modellförbättring där det går, eller välj en plan med affärsvillkor.
4. Skriv i din integritetspolicy vilka verktyg du använder.
5. Spara en kort anteckning om vad du använder verktyget till och varför.

Jag är inte jurist. Guiden återger vad IMY, GDPR och Anthropic skriver, med länkar. Har du en ny eller svår fråga kan du titta på IMY:s Innovationsportal eller prata med en jurist.