AI-chatt och GDPR – vad gäller för ert företag?
Datalagring, databehandlaravtal och ansvarsfrågan – det här behöver ni veta innan ni lanserar en AI-chatt.
Är AI-chattar förenliga med GDPR? Vi går igenom vad som gäller för svenska företag: datalagring, databehandlaravtal och frågorna ni ska ställa leverantören.
En besökare skriver sitt personnummer i chatten på er hemsida, trots att ingen bett om det. Var hamnar uppgiften, hur länge sparas den och vem ansvarar om det går fel? De frågorna avgör om er AI-chatt är GDPR-säker eller inte. Den här guiden går igenom vad som faktiskt gäller, vilka frågor ni ska ställa leverantören och var de vanligaste misstagen görs.
Snabbsvar: Ja, AI-chattar kan vara förenliga med GDPR – men det kräver att ni har ett databehandlaravtal med leverantören, vet var konversationerna lagras, att data inte används för att träna modeller utan stöd, och att ni kan radera uppgifter på begäran. Ansvaret ligger hos er som personuppgiftsansvarig, inte hos leverantören.
Varför är en AI-chatt en GDPR-fråga över huvud taget?
För att besökare skriver personuppgifter i chatten oavsett vad ni tänkt er. Namn, mejladresser, ordernummer och ibland känsliga uppgifter dyker upp i fritextfält – det ligger i sakens natur. Så fort det sker behandlar ni personuppgifter, och då gäller dataskyddsförordningen fullt ut.
Det går inte att avtala bort med en rad i chattfönstret om att inte skriva personuppgifter. Ni måste utgå från att det händer och bygga hanteringen därefter. Det är skillnaden mellan att vara förberedd och att hoppas på det bästa.
Vem bär ansvaret – vi eller leverantören?
Ni. Som företaget bakom hemsidan är ni personuppgiftsansvarig, medan chatleverantören normalt är personuppgiftsbiträde. Det betyder att det är ert ansvar att välja en leverantör som hanterar uppgifterna korrekt – och att relationen regleras i ett databehandlaravtal.
Saknar leverantören databehandlaravtal är det ett avgörande skäl att välja bort dem, oavsett hur bra produkten ser ut. Vår erfarenhet är att detta är den enskilt vanligaste bristen när företag testar gratisverktyg: tjänsten fungerar, men det juridiska underlaget finns inte.
Vilka frågor ska vi ställa leverantören innan vi skriver avtal?
Fem frågor räcker långt. En seriös leverantör svarar tydligt på alla fem utan att slingra sig – och svaren ska stå i avtalet, inte bara sägas i säljmötet.
Var lagras konversationerna? Inom EU/EES är utgångspunkten. Lagring i tredje land kräver särskilda skyddsåtgärder som ni i så fall ska få dokumenterade.
Används våra data för att träna modeller? Svaret ska vara nej, eller ett tydligt beskrivet undantag som ni aktivt godkänner.
Hur länge sparas konversationerna? Det ska finnas en bestämd gallringstid, inte ‘tills vidare’.
Hur går radering till? Ni ska kunna radera en enskild persons uppgifter på begäran, inom rimlig tid och utan specialprojekt.
Vilka underbiträden används? Leverantören bygger nästan alltid på andra tjänster. Ni har rätt att veta vilka, och var de finns.
Vad skiljer en GDPR-säker AI-chatt från en vanlig?
Skillnaden syns inte i chattfönstret – den ligger i arkitekturen bakom. Här är de punkter där lösningarna skiljer sig mest åt i praktiken.
Område | GDPR-säker lösning | Typisk gratistjänst |
|---|---|---|
Avtal | Databehandlaravtal med tydliga roller och underbiträdeslista | Standardvillkor som ni inte kan påverka, ofta utan biträdesavtal |
Lagring | Dokumenterad lagringsplats och bestämd gallringstid | Otydligt var data hamnar och hur länge den sparas |
Träning | Era konversationer används inte för modellträning | Data kan användas för träning enligt villkoren |
Radering | Radering av enskilda personers uppgifter på begäran | Ingen praktisk möjlighet att radera enskilda konversationer |
Vilka misstag ser vi oftast i praktiken?
Det vanligaste misstaget är inte att välja fel teknik utan att hoppa över hemläxan: chatten lanseras utan att någon uppdaterat integritetspolicyn, utan biträdesavtal och utan att kundtjänsten vet vad de ska svara när någon frågar om sina uppgifter.
Ett annat mönster är att GDPR-frågan behandlas som ett hinder att ta sig förbi i stället för ett urvalskriterium. Vi tycker tvärtom att den är ert bästa filter: leverantörer som svarar tydligt på datafrågorna brukar också vara noggranna i resten av leveransen. Otydliga svar på enkla frågor är en varningssignal som sällan ljuger.
Grunderna i hur AI-chattar fungerar har vi samlat i vår genomgång av vad AI-chatbots är.
När räcker inte den här guiden?
Den här texten är en praktisk vägledning, inte juridisk rådgivning. Hanterar ni känsliga personuppgifter – hälsodata, uppgifter om barn, fackligt medlemskap – eller verkar ni i en reglerad bransch som vård, bank eller försäkring, bör ni ta in dataskyddskompetens innan ni lanserar. Detsamma gäller om chatten ska fatta beslut som påverkar enskilda, inte bara svara på frågor.
Kom också ihåg att GDPR inte är den enda regleringen som rör AI. Kraven utvecklas, och en leverantör som följer utvecklingen åt er är värd mer än en som lämnar bevakningen till er.
Vanliga frågor om AI-chattar och GDPR
Måste vi be besökaren om samtycke innan de använder chatten?
Inte nödvändigtvis – vilken rättslig grund som gäller beror på vad chatten gör och vilka uppgifter som behandlas. Det ni alltid behöver är transparens: besökaren ska enkelt kunna se att det är en AI, vad som händer med konversationen och var man läser mer. Hur grunderna ska bedömas i ert fall är en fråga för ert dataskyddsarbete.
Vad händer om någon skriver sitt personnummer i chatten?
Då behandlar ni uppgiften, oavsett att ni inte bett om den. En bra lösning har rutiner för detta: begränsad lagringstid, möjlighet att radera konversationen och i vissa fall automatisk maskning av känsliga mönster. Fråga leverantören hur just det scenariot hanteras – det är ett bra test av hur genomtänkt lösningen är.
Behöver vi uppdatera vår integritetspolicy?
Ja. Chatten är en ny behandling av personuppgifter och ska beskrivas i policyn: vad som samlas in, varför, hur länge det sparas och vilka biträden som är inblandade. Det är ett litet arbete som ofta glöms bort – och en av de första sakerna en granskning tittar på.
Är amerikanska AI-modeller ett problem i sig?
Inte automatiskt, men det ställer krav på hur lösningen är byggd. Avgörande är var era konversationer lagras, vilka avtalsmekanismer som används för eventuella överföringar och om data används för träning. En leverantör ska kunna redovisa detta i klartext – kan de inte det är det svaret ni behöver.
Vem får böterna om något går fel – vi eller leverantören?
Tillsynen riktas i första hand mot er som personuppgiftsansvarig. Leverantören kan hållas ansvarig för brister i sin del, men ni kan inte peka på dem och gå fria. Det är därför valet av leverantör och innehållet i databehandlaravtalet är en ledningsfråga, inte en teknisk detalj.
Kan vi använda chatthistoriken för att förbättra vår verksamhet?
Ja, och det är en av de största vinsterna – konversationerna visar exakt vad era kunder undrar över. Men gör det på aggregerad nivå: mönster, vanliga frågor och kunskapsluckor. Att analysera enskilda identifierbara konversationer för andra syften än de uppgivna kräver att ni tänkt igenom den rättsliga grunden först.
GDPR-frågan är hanterbar om ni ställer rätt frågor innan avtalet skrivs i stället för efter. Vill ni gå igenom hur en GDPR-säker AI-chatt skulle se ut för er verksamhet kan ni kontakta oss.