Vilka AI-verktyg lagrar data i EU? Snabbguide för svenska företag

Två saker först, så blir resten enklare.

EU-lagring är inte ett absolut lagkrav. GDPR tillåter att data hanteras i USA om det sker med rätt avtal och skyddsmekanismer. EU-lagring gör dock er bedömning enklare och mindre känslig för svängningar i rättsläget, så där leverantören erbjuder det är det ett rimligt förstahandsval.

Det som avgör är vilken version ni köper. Gratis- och privatversioner av samma verktyg har ofta helt andra villkor, bland annat att det ni matar in kan användas för att träna leverantörens modeller. Allt nedan gäller betalda företagsversioner, per augusti 2026.

Verktyg för verktyg

ChatGPT Business (hette Team till 2025): tränar inte på er data enligt avtal, men EU-lagring finns inte på den här nivån. Data lagras i USA. EU-lagring kräver Enterprise-nivån.

ChatGPT Enterprise: EU-lagring kan väljas, men bara för nya arbetsytor och bara vid uppsättningen; valet går inte att ändra i efterhand. Slå på det aktivt när kontot skapas.

Microsoft 365 Copilot: hanteras inom Microsofts EU Data Boundary, och avtalen ingår i ert befintliga M365-avtal, ofta den enklaste vägen för bolag som redan kör Microsoft. Två fällor dock. Webbsökningen i Copilot skickar sökfrågor till Bing, som ligger utanför både EU-gränsen och M365-villkoren; den går att stänga av centralt. Under 2026 införde Microsoft dessutom "flex routing", en inställning som kan låta själva AI-bearbetningen ske utanför EU vid kapacitetstoppar. Kontrollera hur den står i er adminpanel. Kom också ihåg att Copilot ser allt användaren ser: städa behörigheterna i er miljö innan ni slår på den.

Google Gemini (Workspace): tränar inte på er data inom Workspace-avtalet, och sedan sommaren 2026 stödjer även Gemini-appen Googles dataregioner, så att lagring kan styras till EU. Kontrollera att just er Workspace-nivå omfattar funktionerna ni slår på; stödet skiljer mellan utgåvorna.

Claude Team/Enterprise (Anthropic): bra verktyg, men apparna lagrar data i USA och Anthropic erbjuder ingen EU-lagring i produkten man köper. EU-drift av Claude-modellerna finns bara via molnleverantörers API:er (till exempel AWS-regioner i Frankfurt och Stockholm), vilket är en annan sak än appen. Vill ni använda Claude behöver er bedömning alltså acceptera USA-lagring med personuppgiftsbiträdesavtal.

DeepL Pro: EU-bolag (Tyskland), tränar inte på Pro-kunders texter. Vanlig fälla: gratisversionen har andra villkor än Pro.

Mötesbottar (Fireflies, Otter med flera): villkoren varierar för mycket för en tabell. Bedöm alltid individuellt. Oavsett verktyg gäller att en mötesbot i externa möten kräver att motparten informerats. Sedan den 2 augusti 2026 ställer AI-förordningen dessutom uttryckliga krav på AI-transparens.

Mönstret att komma ihåg

Betald företagsversion, aktivt vald EU-lagring där den finns, tecknat personuppgiftsbiträdesavtal och central administration. Det är den kombination som brukar gå att godkänna för internt arbete hos de stora leverantörerna. Gratisversioner och nya, okända verktyg behöver bedömas var för sig innan någon använder dem med företagsdata.

Gratisverktygen som redan används på jobbet, då? Rimlig tumregel tills ni bedömt annat: gratis webbchattbotar är okej för research och text utan företagsdata (inga kund-, person- eller affärsuppgifter), och inget mer. Vill någon mer än så: företagskonto enligt ovan.

Ett exempel på hur det går fel. Säg att en e-handlare med fyra personer i kundtjänst börjar använda ett AI-verktyg för att skriva svar på kundmejl. Verktyget är bra, men den som satte upp det tog gratisversionen, och varje inklistrat kundmejl innehåller namn, adress och ordernummer. Efter några månader har kundernas uppgifter dag efter dag passerat ett konto utan avtal, där leverantören enligt villkoren får använda innehållet för träning. Det är en personuppgiftsincident som ingen upptäckt, och den dag en kund eller IMY frågar finns inget avtal att peka på. Med mönstret ovan hade samma verktyg köpts i företagsversion, med biträdesavtal och EU-lagring där det fanns, och kundtjänsten hade kunnat arbeta likadant utan att företaget stod med ett GDPR-ärende.

En sista sak: leverantörerna ändrar villkoren löpande. Flera uppgifter i den här artikeln såg annorlunda ut för ett år sedan. Kontrollera mot leverantörens egna avtalssidor innan beslut, och skriv datum i er egen bedömning. Vilka datatyper varje verktyg ska godkännas för hos just er kan ingen tabell svara på, för det beror på era kundavtal. Det hör hemma i er AI-policy, och hur den skrivs har vi gått igenom i AI-policy för småföretag — vad den ska innehålla.

Vill ni ha allt färdigt finns AI-kompetenspaketet för 2 990 kr ex moms: verktygsfacit som hålls uppdaterat när leverantörerna ändrar villkoren, checklista för leverantörsbedömning, policymall och utbildning. Det är uppdateringen som ett egenbyggt facit oftast saknar: bedömningen gjordes en gång och följde sedan inte med när villkoren ändrades.