En anställd har klistrat in personuppgifter i ChatGPT. Vad gör vi nu?
Kort svar
Behåll lugnet och agera snabbt. Ta reda på vilka uppgifter som skickats, till vilken tjänst och med vilken plan. Radera konversationen och stäng av träning. Bedöm om det är en personuppgiftsincident: innebär den sannolikt en risk för personerna ska den anmälas till Integritetsskyddsmyndigheten (IMY) inom 72 timmar. Är risken hög ska personerna också informeras. Dokumentera alltid händelsen – även när den inte behöver anmälas – och lär av den.
Vad räknas in i bedömningen?
| Ökar risken | Minskar risken |
|---|---|
| Känsliga personuppgifter, personnummer, kontonummer | Bara namn och jobbmejl |
| Många personer | Få personer |
| Gratisplan med träning | Företagsplan utan träning och med avtal |
| Uppgifterna kan inte raderas | Konversationen är raderad |
Förebygg i stället
Med GoalCube kan de anställda använda AI på riktiga uppgifter, eftersom AI:n bara ser koder. Och om ett namn ändå hamnar i AI:ns svar upptäcker GoalCubes läckkontroll det.
Så gör ni
- Stoppa vidare delning.Be den anställda sluta och ta en skärmbild.
- Ta reda på omfattningen.Vilka uppgifter, hur många personer, vilken tjänst och plan.
- Begränsa skadan.Radera konversationen, stäng av träning och kontakta leverantören om det går.
- Bedöm risken.Känsliga uppgifter, personnummer eller många personer ökar risken.
- Anmäl om det finns en risk.Till IMY inom 72 timmar efter att ni fick kännedom om incidenten.
- Dokumentera och lär.Alla incidenter ska dokumenteras internt. Uppdatera policy och utbildning.
Det här säger lagen
- Artikel 33 i GDPR – anmälan till tillsynsmyndigheten
- Inom 72 timmar, om det inte är osannolikt att incidenten medför en risk.
- Artikel 34 i GDPR – information till de registrerade
- Vid hög risk för personernas rättigheter.
Frågor och svar
Är det alltid en personuppgiftsincident?
Inte alltid. Har uppgifterna skickats till en företagsplan med PUB-avtal kan det snarare vara ett fel i ändamålet än en incident. Bedöm från fall till fall.
Hur undviker vi det nästa gång?
Ett bra alternativ: ett godkänt verktyg där AI:n bara ser pseudonymer, så att det inte spelar någon roll att den anställda använder riktiga uppgifter.
Källor
- Integritetsskyddsmyndigheten (IMY): personuppgiftsincidenter
- Förordning (EU) 2016/679 (GDPR) på EUR-Lex
Skriven av GoalCubes redaktion. Senast uppdaterad 11 oktober 2026. GoalCube hjälper er att följa AI-förordningen och GDPR. Det är inte juridisk rådgivning.
Bli en av de första.
Vi räknar med att lansera i november 2026. Anmäl er, så hör vi av oss när ni kan komma igång.