AI och GDPR i praktiken — när blir en prompt en personuppgiftsfråga?

Det korta svaret: i samma ögonblick som prompten innehåller något som går att koppla till en levande människa. Då är inklistringen en behandling av personuppgifter enligt GDPR, med samma krav som all annan behandling, oavsett hur oskyldigt ärendet känns. Det långa svaret är intressantare, för gränsen går inte där många tror. Ett organisationsnummer kan vara en personuppgift, ett borttaget namn räddar sällan situationen, och en felklistring är inte automatiskt en anmälningspliktig incident. Här är svaren på de gränsfall som oftast ställer till det på små företag.

Vad i en prompt är en personuppgift?

Tumregeln är enkel: går uppgiften att koppla till en levande människa, direkt eller indirekt, är det en personuppgift. Namn och personnummer är självklara. De som förvånar är resten:

• Jobbmejladresser. [email protected] pekar ut en person och är en personuppgift, även om den är publik på bolagets sajt. En vanlig B2B-kundlista är alltså full av personuppgifter så fort kontaktpersoner står med.
• Organisationsnummer — ibland. Ett aktiebolags organisationsnummer är ingen personuppgift; bolaget är en juridisk person. En enskild firmas organisationsnummer är däremot ägarens personnummer, och därmed en personuppgift. Samma kolumn i ert register kan alltså växla karaktär rad för rad.
• Beskrivningar som pekar ut någon. "Vår säljare i Sundsvall" eller "kunden som reklamerade i mars" identifierar en person lika väl som namnet, om kretsen är liten. Mer om det strax.

Att prompten gäller jobbet ändrar ingenting. GDPR skiljer inte på snällt och elakt syfte, bara på om uppgifterna kan kopplas till en person och om behandlingen har stöd.

"Jag tog bort namnet innan jag klistrade in"

Det här är den vanligaste missuppfattningen, och den är värd ett eget avsnitt. Att byta ut namn mot "kunden" eller "NN" är pseudonymisering: en bra skyddsåtgärd, men uppgifterna förblir personuppgifter så länge någon kan lista ut vem det handlar om. IMY:s snabbguide om pseudonymisering är uttrycklig på den punkten, och GDPR gäller då fullt ut.

Anonymisering på riktigt kräver att ingen, med några rimliga medel, kan identifiera personen. Det är en hög ribba. "Vår största kund i Umeå som reklamerade i mars" klarar den inte: alla på ert företag, och åtskilliga utanför, vet vem det är. Samma sak med medarbetarfall: på ett bolag med tolv anställda finns ingen anonym "medarbetare som varit sjukskriven i höst".

Ribban gäller även åt andra hållet. Europeiska dataskyddsstyrelsen slog i sitt yttrande 28/2024 fast att inte ens en AI-modell som tränats på personuppgifter automatiskt kan räknas som anonym, eftersom uppgifter i vissa fall går att få ut ur modellen igen. Det som en gång matats in kan med andra ord leva kvar. Räkna därför text om verkliga kunder och kollegor som personuppgifter tills motsatsen är visad, och använd verktyg som är godkända för det.

Att klistra in är att behandla — och ansvaret är ert

När prompten innehåller personuppgifter är inklistringen en behandling enligt GDPR. Då krävs det som krävs för all behandling: en laglig grund, information till de registrerade om hur uppgifterna används, och ordning på vart uppgifterna tar vägen. IMY:s vägledning om GDPR och AI är tydlig med att personuppgiftsansvaret ligger kvar hos er som använder verktyget. Att leverantören är ett stort amerikanskt bolag flyttar inte ansvaret en millimeter.

I praktiken avgörs det mesta av avtalet med verktygsleverantören. När leverantören behandlar personuppgifter för er räkning är den ert personuppgiftsbiträde, och då kräver GDPR:s artikel 28 ett personuppgiftsbiträdesavtal som styr vad leverantören får göra med uppgifterna. Utan det avtalet är behandlingen hos leverantören inte förenlig med GDPR, hur bra verktyget än är. På företagsavtal (ChatGPT Business, Microsoft 365 med Copilot) finns sådana avtal normalt på plats; på ett privat gratiskonto finns inget biträdesavtal alls. Det är därför kontotypen är den verkliga vattendelaren — vi har gått igenom den frågan i detalj i artikeln om ChatGPT på jobbet.

När det redan har hänt: fel sak i fel verktyg

Förr eller senare klistrar någon in fel sak. Vad som händer då beror på två frågor: fanns personuppgifter med, och var verktyget godkänt för dem?

Godkänt verktyg för den datatypen: ingen incident. Notera gärna händelsen, men GDPR kräver inget mer.

Personuppgifter i ett verktyg utan avtal, till exempel ett privat gratiskonto: behandla det som en möjlig personuppgiftsincident. Radera chatten och historiken om det går. Bedöm risken för de personer uppgifterna gäller: vad fanns med, hur känsligt är det, vad kan det leda till? Dokumentera händelsen och bedömningen skriftligt — det kravet gäller alla incidenter, även dem ni aldrig anmäler. Och om det inte är osannolikt att incidenten medför risk för de berörda ska den anmälas till IMY inom 72 timmar från att ni upptäckte den. Har ni inte alla fakta inom 72 timmar går det att anmäla först och komplettera i efterhand.

Affärshemligheter utan personuppgifter: ingen GDPR-fråga alls. Bedöm skadan och informera berörd chef, men blanda inte in incidentrutinen för personuppgifter.

En sak till, hämtad ur vår egen policymall: den som rapporterar en felklistring ska inte bestraffas. Den dag någon tiger om en incident av rädsla för reaktionen har ni ett större problem än själva incidenten. Räkna med att 72-timmarsklockan i praktiken startar när misstaget upptäcks, inte när ledningen får veta.

Det här behöver ni inte göra

Avgränsningarna är lika viktiga som kraven:

• Ni behöver inte förbjuda AI. GDPR förbjuder inte AI-verktyg. Den kräver ordning på vad som matas in var, vilket är en helt annan och betydligt billigare sak.
• Ni behöver inget nytt regelverk. Reglerna ni redan följer för mejl, CRM och molnlagring är samma regler. Ett AI-verktyg är en ny mottagare av uppgifter, inte en ny juridik.
• Ni behöver inte anmäla varje misstag. Incidenter där risken för de berörda är osannolik dokumenteras internt med en motivering, och där slutar ärendet.
• Prompts utan koppling till personer är fria. "Skriv ett utkast till offertmall" eller "förklara den här paragrafen" innehåller inga personuppgifter och är ingen GDPR-fråga, på något konto.

Tre beslut som gör vardagen enkel

1. En godkänd verktygslista. Vilka verktyg får användas för personuppgifter och kunddata, och vilka bara för allmänt arbete? Kravet för den första kategorin är avtal med leverantören, inklusive biträdesavtal. Listan är kärnan i en AI-policy och ryms i en tabell.
2. Regeln om privata konton. Företagsdata hör hemma i företagets verktyg. Den regeln stänger den vanligaste läckan, den hjälpsamma anställda med ett gratiskonto.
3. En incidentrutin på en halvsida. Vem kontaktas, vad dokumenteras, vem bedömer om IMY ska ha en anmälan inom 72 timmar. Rutinen skrivs på tio minuter en lugn tisdag och är ovärderlig den dag det är bråttom.

Om ni vill ha allt färdigt

Besluten ovan går att fatta själv. Vill ni ha dem färdiga — policymall med verktygslista, utbildning på ~90 minuter, kunskapstest med intyg och en gränsfalls-FAQ som ger AI-ansvarig färdiga svar på just de här frågorna — finns AI-kompetenspaketet för 1 990 kr ex moms.