Får vi använda ChatGPT, Claude eller Copilot på personuppgifter?
Kort svar
Ja, det kan vara lagligt, men bara om ni har en rättslig grund, bara använder de uppgifter som behövs, har ett personuppgiftsbiträdesavtal med AI-leverantören och koll på överföringar utanför EU. Den säkraste vägen är att låta AI:n arbeta utan de riktiga namnen: pseudonymisera uppgifterna innan de skickas och behåll nyckeln hos er i EU. Pseudonymiserade uppgifter är fortfarande personuppgifter för er.
Vad säger GDPR?
Dataskyddsförordningen (GDPR) förbjuder inte AI. Men samma regler gäller som när ni använder personuppgifter på andra sätt:
- Ni behöver en rättslig grund och ett tydligt ändamål.
- Ni får bara använda de uppgifter som behövs för uppgiften (uppgiftsminimering).
- Behandlar AI-leverantören uppgifter för er räkning behöver ni ett personuppgiftsbiträdesavtal (PUB-avtal).
- Skickas uppgifter till ett land utanför EU behöver överföringen en särskild grund.
Det svåra är uppgiftsminimeringen. Ber ni AI:n sortera kundärenden behöver den veta vad kunden skriver – inte kundens namn, mejladress, telefonnummer och kontonummer.
Låt AI:n arbeta utan de riktiga namnen
Pseudonymisering betyder att namn, mejladresser, personnummer och andra uppgifter ersätts med fasta koder, till exempel [PERSON_1], innan uppgifterna skickas till AI:n. Nyckeln stannar hos er. När svaret kommer tillbaka sätts de riktiga namnen in igen – men bara hos er.
Så ser det ut i GoalCube Data Vault. Till vänster finns era data, som stannar i EU. Till höger är det som AI:n ser.
| Kund | E-post | Ort | Ämne |
|---|---|---|---|
| Karin Lindgren | karin.lindgren@example.com | Uppsala | Återbetalning |
| Oskar Berglund | oskar.berglund@example.com | Västerås | Leverans |
| Ingrid Holmqvist | ingrid.holmqvist@example.com | Umeå | Reklamation |
| Johan Sandström | johan.sandstrom@example.com | Örebro | Leverans |
| Elsa Nyström | elsa.nystrom@example.com | Linköping | Återbetalning |
Ärende Hej, jag heter Karin Lindgren. Jag skickade tillbaka order 7012345678 för två veckor sedan men har inte fått några pengar. Sätt in dem på SE98 8000 0832 7900 0001 2345. Vänliga hälsningar, Karin
| Kund | E-post | Ort | Ämne |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | [STED] | Återbetalning |
| [PERSON_2] | [EMAIL_2] | [STED] | Leverans |
| [PERSON_3] | [EMAIL_3] | [STED] | Reklamation |
| [PERSON_4] | [EMAIL_4] | [STED] | Leverans |
| [PERSON_5] | [EMAIL_5] | [STED] | Återbetalning |
Ärende Hej, jag heter [PERSON_1]. Jag skickade tillbaka order [ID_1] för två veckor sedan men har inte fått några pengar. Sätt in dem på [IBAN_1]. Vänliga hälsningar, [PERSON_1]
Karin Lindgren och Elsa Nyström väntar på återbetalning och bör få svar i dag. Johan Sandström har väntat på ett paket i 10 dagar. Förslag till svar till Karin Lindgren: "Hej Karin Lindgren, tack för ditt tålamod. Pengarna är på väg och finns på ditt konto inom 5 bankdagar."
[PERSON_1] och [PERSON_5] väntar på återbetalning och bör få svar i dag. [PERSON_4] har väntat på ett paket i 10 dagar. Förslag till svar till [PERSON_1]: "Hej [PERSON_1], tack för ditt tålamod. Pengarna är på väg och finns på ditt konto inom 5 bankdagar."
| Kandidat | Född | Personnummer | Arbetsgivare | Erfarenhet |
|---|---|---|---|---|
| Ebba Lundqvist | 1985-03-12 | 850312-2380 | Norrkåsa Trä AB | 12 |
| Gustav Eklund | 1992-11-02 | 921102-4570 | Mälarlogistik Väst AB | 4 |
| Maria Strandberg | 1988-06-21 | 880621-3080 | Ljusnevik Metall AB | 9 |
| Anders Wikström | 1979-01-30 | 790130-4150 | Fyrisvik Pharma AB | 18 |
CV Ebba Lundqvist har i 12 år arbetat med budget och månadsrapporter på Norrkåsa Trä AB. Hon har infört ett nytt affärssystem och leder ett team på tre personer. Kontakt: ebba.lundqvist@example.com.
| Kandidat | Född | Personnummer | Arbetsgivare | Erfarenhet |
|---|---|---|---|---|
| [PERSON_1] | 40–49 år | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 år | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 år | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 år | [ID_4] | [VIRKSOMHED_4] | 18 |
CV [PERSON_1] har i 12 år arbetat med budget och månadsrapporter på [VIRKSOMHED_1]. Hen har infört ett nytt affärssystem och leder ett team på tre personer. Kontakt: [EMAIL_1].
Ebba Lundqvist och Maria Strandberg har mer än 5 års erfarenhet och bör kallas till intervju; fråga Maria Strandberg om erfarenhet av affärssystem (ERP). Gustav Eklund har 4 års erfarenhet; kravet är 5. Beslutet fattas av en människa.
[PERSON_1] och [PERSON_3] har mer än 5 års erfarenhet och bör kallas till intervju; fråga [PERSON_3] om erfarenhet av affärssystem (ERP). [PERSON_2] har 4 års erfarenhet; kravet är 5. Beslutet fattas av en människa.
| Leverantör | Kontaktperson | Konto | Löper ut |
|---|---|---|---|
| Vättervik Komponenter AB | Lars Åkesson | SE71 6000 0000 0001 2345 6789 | 2027-01-31 |
| Botnia Pilvi Oy | Aino Virtanen | FI21 1234 5600 0007 85 | 2026-12-31 |
| Ätradalens Precisionsteknik AB | Simon Ekdahl | SE02 3000 0000 0382 0174 5102 | 2028-06-30 |
| Höglandets Förpackning AB | Sofia Dahlberg | SE59 9500 0099 6026 0418 5013 | 2027-03-31 |
Villkor Vättervik Komponenter levererar specialkomponenter till Projekt Fjällkristall. Priset räknas upp varje år med konsumentprisindex plus 3 %. Ansvaret är begränsat till 10 % av det årliga avtalsvärdet. Vid ändringar, kontakta Lars Åkesson.
| Leverantör | Kontaktperson | Konto | Löper ut |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Villkor [VIRKSOMHED_1] levererar specialkomponenter till [PROJEKT_1]. Priset räknas upp varje år med konsumentprisindex plus 3 %. Ansvaret är begränsat till 10 % av det årliga avtalsvärdet. Vid ändringar, kontakta [PERSON_1].
Avtalet med Vättervik Komponenter AB förlängs automatiskt om det inte sägs upp senast den 31 oktober. Det är viktigt för ett internt projekt, så omförhandla hellre priset än säg upp avtalet. Avtalet med Höglandets Förpackning AB förlängs också automatiskt; fristen är den 31 december.
Avtalet med [VIRKSOMHED_1] förlängs automatiskt om det inte sägs upp senast den 31 oktober. Det är viktigt för ett internt projekt, så omförhandla hellre priset än säg upp avtalet. Avtalet med [VIRKSOMHED_4] förlängs också automatiskt; fristen är den 31 december.
Fiktiva data. Peka på ett namn eller en pseudonym för att se vad som hör ihop.
Lägg märke till att "Hon" blir "Hen". Kön är sällan relevant för uppgiften och får inte kunna påverka en bedömning.
Testa själva
Skriv eller klistra in en text. Lägg till era egna hemliga ord – till exempel ett projektnamn eller en viktig kund – och se vad AI:n skulle få.
Vad pseudonymisering inte löser
Pseudonymisering är ett starkt verktyg, men det löser inte allt:
- Uppgifterna är fortfarande personuppgifter för er. Ni behöver fortfarande rättslig grund, avtal och koll på gallring.
- Fritext kan avslöja en person. "Vår enda kvinnliga ingenjör i Luleå" går att känna igen utan namn. GoalCube visar därför en igenkänningsrisk för varje post.
- AI:n kan fortfarande ha fel. Beslut om människor ska fattas av en människa – se artikeln om mänskligt beslut enligt artikel 22 i GDPR.
Så gör ni
- Skriv ner användningen.Vad ska AI:n hjälpa till med, och vilka uppgifter ska den använda? Det är första steget mot både GDPR och AI-förordningen.
- Kontrollera rättslig grund och ändamål.Ni måste ha en rättslig grund för att behandla uppgifterna, och det nya ändamålet måste passa ihop med det som de samlades in för.
- Granska AI-leverantören.Har ni ett PUB-avtal? Använder leverantören era data för att träna sina modeller? Var behandlas uppgifterna?
- Ta bort det AI:n inte behöver.Namn, mejladresser, personnummer, kontonummer och adresser behövs sällan för att lösa uppgiften. Ersätt dem med pseudonymer innan uppgifterna skickas.
- Behåll nyckeln i EU.Visa bara de riktiga namnen hos er själva, till exempel när AI:ns svar kommer tillbaka.
- Överväg en konsekvensbedömning.Bedömer AI:n till exempel kandidater eller anställda systematiskt kan en konsekvensbedömning avseende dataskydd (DPIA) vara ett krav.
Det här säger lagen
- Artikel 5 i dataskyddsförordningen (GDPR) – principerna
- Bland annat ändamålsbegränsning och uppgiftsminimering: använd bara de uppgifter som behövs för ändamålet.
- Artikel 4.5 och skäl 26 i GDPR – pseudonymisering
- Uppgifter som inte kan kopplas till en person utan en nyckel som förvaras separat. Den som har nyckeln behandlar fortfarande personuppgifter.
- Artiklarna 25 och 32 i GDPR – inbyggt dataskydd och säkerhet
- Pseudonymisering nämns uttryckligen som en åtgärd som kan skydda de registrerade.
- Artikel 28 i GDPR – personuppgiftsbiträden
- Behandlar en leverantör personuppgifter för er räkning ska det finnas ett personuppgiftsbiträdesavtal.
- Artikel 35 i GDPR – konsekvensbedömning
- Krävs när en behandling sannolikt leder till en hög risk, till exempel systematisk bedömning av personer.
- Artikel 44 i GDPR – överföringar utanför EU
- Personuppgifter får bara skickas till länder utanför EU/EES på en särskild grund, till exempel ett beslut om adekvat skyddsnivå eller standardavtalsklausuler.
Frågor och svar
Är pseudonymiserade uppgifter anonyma?
Nej. Så länge någon – till exempel ni själva – har nyckeln till de riktiga namnen är uppgifterna fortfarande personuppgifter enligt GDPR. Pseudonymisering minskar risken, men befriar er inte från reglerna.
Får vi klistra in ett CV direkt i ChatGPT?
Det kan vara lagligt med en rättslig grund och ett avtal med leverantören, men ett CV innehåller mycket som AI:n inte behöver: namn, adress, ålder och ofta kön. Det är just sådana uppgifter som kan påverka en bedömning. Ta bort dem eller ersätt dem med pseudonymer först.
Tränar AI:n på våra data?
Det beror på tjänsten och ert avtal. Många företagsversioner använder som standard inte kunddata för träning, men kontrollera det i ert eget avtal och era inställningar.
Vad gäller om leverantören finns utanför EU?
Då behöver överföringen en särskild grund. Med pseudonymisering i EU lämnar de riktiga namnen inte EU alls – AI:n får bara pseudonymer.
Gäller det också konfidentiella affärsuppgifter?
GDPR gäller bara personuppgifter, men samma metod skyddar även kundnamn, avtal, priser och interna projektnamn. I GoalCube kan ni skriva in era egna hemliga ord, som alltid döljs.
Källor
- Förordning (EU) 2016/679 (GDPR) på EUR-Lex
- Integritetsskyddsmyndigheten (IMY): vägledningar om dataskydd
Skriven av GoalCubes redaktion. Senast uppdaterad 11 oktober 2026. GoalCube hjälper er att följa AI-förordningen och GDPR. Det är inte juridisk rådgivning.
Bli en av de första.
Vi räknar med att lansera i november 2026. Anmäl er, så hör vi av oss när ni kan komma igång.