AI och GDPR 2026 — vad du måste veta som företagare

En kund mejlar sitt personnummer i en supportfråga. Du klistrar in hela mejlet i ChatGPT för att få hjälp att formulera ett svar. Utan att tänka efter har du precis skickat en persons känsliga uppgifter till en amerikansk molntjänst — och beroende på hur du gjort det kan det räknas som en GDPR-överträdelse. Det här händer på svenska kontor varje dag, och de flesta som gör det vet inte ens att de tagit en risk.

2026 är året då AI-användning och dataskydd på allvar krockar för småföretagare. EU:s AI Act rullas ut i etapper samtidigt som GDPR fortsätter gälla precis som förut, och de två regelverken pekar ofta i liknande riktning men reglerar olika saker. Den här artikeln reder ut vad du faktiskt måste göra, vad du bör dokumentera, och de tre fällor som får flest småföretag på fall.

GDPR och AI Act — två regelverk, samma mål

Det är lätt att blanda ihop GDPR och AI Act, men de svarar på olika frågor. GDPR handlar om personuppgifter: vilka uppgifter du samlar in, varför, hur länge du sparar dem och vem som får se dem. Det har gällt sedan 2018 och ändras inte för att du börjar använda AI — det gäller precis lika mycket när en algoritm hanterar uppgifterna som när en människa gör det.

AI Act är nyare och bredare. Den reglerar själva AI-systemet: hur riskabelt det är, vilken transparens som krävs, och vilka system som är förbjudna helt (till exempel AI som poängsätter medborgares beteende, så kallad "social scoring"). För de flesta småföretag som använder färdiga verktyg som ChatGPT, Claude eller Gemini för texter, bilder och analyser hamnar du i den lägsta riskkategorin — men det betyder inte att du är befriad från alla krav.

Enkelt uttryckt: GDPR frågar "vilka uppgifter rör detta och har du rätt att behandla dem?". AI Act frågar "hur riskabelt är verktyget du använder, och vet användaren att den pratar med en AI?". Ett litet företag som använder AI för marknadsföringstexter, kundsupport eller interna rapporter berörs oftast mest av GDPR-sidan — men det är värt att känna till båda för att slippa överraskningar.

Vad du redan idag får — och inte får — göra med AI

Att mata in kunduppgifter i en chatbot

Det finns inget generellt förbud mot att använda AI-verktyg med kunddata, men du måste ha koll på var uppgifterna hamnar. Gratisversioner av många AI-tjänster använder som standard det du skriver in för att träna framtida modeller, vilket innebär att uppgifterna lämnar din kontroll helt. Betalversioner och företagsavtal (till exempel ChatGPT Team/Enterprise, Claude for Work eller Microsoft Copilot) har oftast inställningar som stänger av datainsamling för träning — men det sker inte automatiskt bara för att du betalar. Kontrollera inställningarna, inte bara prislappen.

Tumregeln: skriv aldrig in personnummer, hälsouppgifter, betalkortsnummer eller andra känsliga uppgifter i ett AI-verktyg om du inte aktivt verifierat att leverantören har ett giltigt personuppgiftsbiträdesavtal med dig och att uppgifterna inte används för träning. Är du osäker, avidentifiera texten innan du klistrar in den — byt namn mot "Kund A", ta bort personnummer och kontouppgifter.

AI-genererat innehåll om verkliga personer

Om du använder AI för att sammanfatta kundsamtal, generera profiler eller skapa marknadsföringssegment baserat på riktiga personers beteende, räknas det som personuppgiftsbehandling precis som vilken annan analys som helst. Det innebär att du behöver en rättslig grund (oftast berättigat intresse eller samtycke), och att personerna i vissa fall har rätt att få veta att deras uppgifter behandlats automatiserat. Helt AI-genererade texter om påhittade exempel-kunder är däremot inget dataskyddsproblem — problemet uppstår först när riktiga personers uppgifter är inblandade.

Uppgifter som skickas till USA — vad gäller?

De flesta stora AI-leverantörer — OpenAI, Anthropic, Google, Microsoft — har sina huvudservrar i USA, vilket väcker frågan om överföring av personuppgifter till tredje land. Sedan EU-US Data Privacy Framework (DPF) trädde i kraft är det tillåtet att överföra data till amerikanska företag som certifierat sig under ramverket, utan att du behöver teckna egna standardavtalsklausuler (SCC). Det är värt att faktiskt kontrollera att din specifika leverantör är certifierad — listan finns publikt hos det amerikanska handelsdepartementet — snarare än att bara anta att "stora amerikanska techbolag är okej".

Om leverantören inte är certifierad under DPF behöver du istället stödja överföringen på standardavtalsklausuler eller en annan giltig överföringsmekanism, vilket i praktiken oftast redan ingår i leverantörens standardavtal om du tecknat ett företagskonto. Återigen landar rådet i samma punkt som tidigare: gratiskonton och privata konton saknar ofta dessa skyddsnivåer helt, medan företagsavtal normalt reglerar frågan åt dig.

Vad du måste dokumentera

Dokumentationskraven skrämmer många småföretagare i onödan. Du behöver inte en jurist på heltid — men du behöver kunna visa att du tänkt igenom vad du gör.

Registerföring och rättslig grund

Om AI-verktyget behandlar personuppgifter (kunddata, anställdas uppgifter, ansökningar) ska det finnas med i ditt register över behandlingar, precis som alla andra IT-system du använder. Ange vilken data som förs in, i vilket syfte, och vilken rättslig grund du stödjer dig på. Det räcker ofta med några rader per AI-verktyg — men de raderna måste finnas.

Riskbedömning (DPIA) — när krävs det?

En konsekvensbedömning avseende dataskydd (DPIA) krävs när behandlingen sannolikt innebär hög risk för de registrerades rättigheter — till exempel vid storskalig profilering, automatiserat beslutsfattande som påverkar individer (som att en AI sorterar bort jobbansökningar), eller behandling av känsliga uppgifter i stor skala. De flesta småföretag som använder AI för texter och intern effektivisering hamnar under den tröskeln, men så fort AI:n används för att fatta eller påverka beslut om enskilda kunder eller anställda — anställning, kreditbedömning, prissättning per person — bör du göra en DPIA innan du sätter igång.

Personuppgiftsbiträdesavtal med AI-leverantörer

Varje gång en extern AI-tjänst behandlar personuppgifter åt dig fungerar leverantören som ett personuppgiftsbiträde, och då krävs ett skriftligt avtal (DPA, Data Processing Agreement) som reglerar hur de får hantera datan. De flesta seriösa leverantörer erbjuder standardavtal som du kan teckna via företagskontot. Gratisversioner och privata konton saknar ofta den här möjligheten helt, vilket är ännu ett skäl att flytta företagets AI-användning till betalda företagsplaner så snart den blir regelbunden.

Ett litet företags AI-resa: från kaos till kontroll

Tänk dig ett bemanningsföretag med tolv anställda. Under 2025 började flera i teamet använda AI för att skriva platsannonser, sammanfatta CV:n och svara på kandidaters mejl — helt spontant, var och en med sitt eget gratiskonto. I mars 2026 upptäcker ägaren att en rekryterare klistrat in fullständiga ansökningshandlingar, inklusive personnummer och tidigare löneuppgifter, i ett privat AI-konto för att "sammanfatta kandidaten snabbare".

Ägaren gör tre saker samma vecka. Först tecknas ett företagsavtal med en AI-leverantör som erbjuder ett giltigt personuppgiftsbiträdesavtal och avstängd datainsamling för träning. Sedan skrivs en enkel AI-policy på en sida, med tydliga regler för vad som får matas in. Slutligen utses en kontaktperson — i det här fallet ägaren själv — som godkänner nya AI-verktyg innan de börjar användas. Ingen anmälan till IMY behövde göras eftersom inget faktiskt läckt utanför företaget, men bolaget gick från noll kontroll till en dokumenterad, hållbar rutin på mindre än en vecka. Det är den typen av snabb, pragmatisk fix de flesta småföretag faktiskt behöver — inte ett stopp för AI-användningen, utan struktur runt den.

De tre vanligaste fällorna

Efter att ha läst igenom hur AI-relaterade dataskyddsärenden faktiskt brukar uppstå hos mindre företag, återkommer samma tre misstag om och om igen.

1. Privata konton för företagsbruk

Anställda registrerar personliga AI-konton med sin jobbmejl och använder dem för kunddata, eftersom det är snabbare än att vänta på ett företagsavtal. Problemet: företaget har ingen kontroll över datainställningarna, inget avtal med leverantören, och ingen möjlighet att radera datan om en anställd slutar. Fixen är enkel men kräver disciplin: sätt upp ett eller ett fåtal godkända företagskonton med rätt avtal, och gör det till policy att privata AI-konton aldrig används med kunddata.

2. Att anta att "AI-genererat" betyder "anonymt"

Många tror att om en AI omformulerat eller sammanfattat text är den automatiskt avidentifierad. Det stämmer inte. Om en AI sammanfattar "Anna Andersson, 45 år, klagade på leveransen den 3 mars" till en kortare text som fortfarande går att koppla till Anna, är det fortfarande en personuppgift — bara omskriven. Avidentifiering kräver att du aktivt tar bort eller byter ut de identifierande delarna, inte bara att texten blivit kortare.

3. Ingen som äger frågan internt

I många småföretag är AI-användningen spontan och spridd — var och en löser sina egna uppgifter med sitt eget favoritverktyg, utan att någon har helhetsbilden. Resultatet blir att ingen vet exakt vilka verktyg som används, med vilken data, eller vilka avtal som finns på plats. Lösningen behöver inte vara byråkratisk: utse en person (ofta ägaren själv i ett litet bolag) som har koll på vilka AI-verktyg som används i verksamheten och godkänner nya innan de tas i bruk.

Så bygger du en enkel AI-policy för företaget

Du behöver inte ett femtio sidor långt dokument. En AI-policy för ett litet företag får plats på en A4 och bör täcka fem saker:

1. Godkända verktyg. Lista vilka AI-tjänster som är okej att använda i jobbet, och kräv att nya verktyg godkänns innan de tas i drift.
2. Vad som aldrig får matas in. Personnummer, hälsodata, betalkortsuppgifter, lösenord och affärshemligheter — definiera det tydligt så att ingen behöver gissa.
3. Krav på företagskonton. Kunddata får bara behandlas via konton med giltigt personuppgiftsbiträdesavtal, aldrig via privata gratiskonton.
4. Mänsklig kontroll av output. Bestäm vilka typer av AI-genererat material (kundmejl, beslutsunderlag, marknadsföring) som alltid måste läsas igenom av en människa innan det går ut.
5. En ansvarig kontaktperson. Namnge vem i företaget som svarar på frågor om AI-användning och håller koll på nya verktyg och regeländringar.

Skriv ner policyn, dela den med hela teamet, och ta upp den igen om ett halvår — regelverket är i rörelse och det som gäller idag kan justeras när nästa del av AI-etik-lagstiftningen träder i kraft.

Vad händer om något går fel ändå?

Om ett AI-verktyg av misstag exponerat eller läckt personuppgifter gäller samma regler som för vilken annan dataincident som helst: du har som huvudregel 72 timmar på dig att anmäla en allvarlig personuppgiftsincident till Integritetsskyddsmyndigheten (IMY). Ha därför koll på vilka AI-verktyg som hanterar personuppgifter innan något händer, inte efteråt — det är mycket lättare att agera snabbt om du redan vet vilka system som är inblandade och vem hos leverantören du ska kontakta.

Sanktionerna för GDPR-brott kan bli kännbara även för små bolag, men i praktiken är IMY betydligt mer intresserade av att se att du agerat i god tro och rättat till problemet snabbt, än att döma ut maxbelopp för ett företag med tio anställda som gjort ett ärligt misstag. Det som straffar hårdast är upprepad slarvighet och avsaknad av dokumentation — inte enstaka misstag som hanterats korrekt.

Om du vill bygga upp en mer systematisk relation till AI i företaget, kan det vara värt att kombinera den här policyn med grundläggande rutiner för att faktagranska AI-genererat innehåll och sätta upp tydliga guardrails för hur verktygen får användas i vardagen. Är du helt ny på AI i verksamheten, är vår guide AI för småföretagare en bra startpunkt innan du går vidare med policyfrågorna.

Apan tycker: GDPR och AI Act låter som två byråkratiska mastodonter, men i grunden handlar båda om samma sunda förnuft — fråga dig alltid vems uppgifter du hanterar och om du har rätt att göra det. Sätt upp företagskonton, skriv ner en enkel policy, och sov gott om natten istället för att hoppas att ingen upptäcker att halva teamet klistrar in kunddata i sina privata ChatGPT-konton. 🐒