Får vi skicka personuppgifter till en amerikansk AI? Överföring till USA enligt GDPR
Kort svar
Ja, men bara på en grund. Är den amerikanska AI-leverantören ansluten till EU–US Data Privacy Framework (kommissionens beslut från juli 2023) kan överföringen ske med stöd av det. Annars används standardavtalsklausuler tillsammans med en bedömning av överföringen. EU:s tribunal bekräftade Data Privacy Framework i september 2025, men målet har överklagats till EU-domstolen. Den säkraste vägen är att låta de riktiga namnen stanna i EU: pseudonymisera innan uppgifterna skickas och behåll nyckeln hos er.
Tre vägar
| Väg | Vad det kräver | Risk |
|---|---|---|
| Data Privacy Framework | Leverantören är ansluten | Beror på målet i EU-domstolen |
| Standardavtalsklausuler | Avtal och bedömning av överföringen | Kräver arbete och dokumentation |
| Namnen stannar i EU | Pseudonymisering i EU före AI:n | Minst – men fortfarande personuppgifter för er |
Så håller GoalCube namnen i EU
| Kund | E-post | Ort | Ämne |
|---|---|---|---|
| Karin Lindgren | karin.lindgren@example.com | Uppsala | Återbetalning |
| Oskar Berglund | oskar.berglund@example.com | Västerås | Leverans |
| Ingrid Holmqvist | ingrid.holmqvist@example.com | Umeå | Reklamation |
| Johan Sandström | johan.sandstrom@example.com | Örebro | Leverans |
| Elsa Nyström | elsa.nystrom@example.com | Linköping | Återbetalning |
Ärende Hej, jag heter Karin Lindgren. Jag skickade tillbaka order 7012345678 för två veckor sedan men har inte fått några pengar. Sätt in dem på SE98 8000 0832 7900 0001 2345. Vänliga hälsningar, Karin
| Kund | E-post | Ort | Ämne |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | [STED] | Återbetalning |
| [PERSON_2] | [EMAIL_2] | [STED] | Leverans |
| [PERSON_3] | [EMAIL_3] | [STED] | Reklamation |
| [PERSON_4] | [EMAIL_4] | [STED] | Leverans |
| [PERSON_5] | [EMAIL_5] | [STED] | Återbetalning |
Ärende Hej, jag heter [PERSON_1]. Jag skickade tillbaka order [ID_1] för två veckor sedan men har inte fått några pengar. Sätt in dem på [IBAN_1]. Vänliga hälsningar, [PERSON_1]
Karin Lindgren och Elsa Nyström väntar på återbetalning och bör få svar i dag. Johan Sandström har väntat på ett paket i 10 dagar. Förslag till svar till Karin Lindgren: "Hej Karin Lindgren, tack för ditt tålamod. Pengarna är på väg och finns på ditt konto inom 5 bankdagar."
[PERSON_1] och [PERSON_5] väntar på återbetalning och bör få svar i dag. [PERSON_4] har väntat på ett paket i 10 dagar. Förslag till svar till [PERSON_1]: "Hej [PERSON_1], tack för ditt tålamod. Pengarna är på väg och finns på ditt konto inom 5 bankdagar."
| Kandidat | Född | Personnummer | Arbetsgivare | Erfarenhet |
|---|---|---|---|---|
| Ebba Lundqvist | 1985-03-12 | 850312-2380 | Norrkåsa Trä AB | 12 |
| Gustav Eklund | 1992-11-02 | 921102-4570 | Mälarlogistik Väst AB | 4 |
| Maria Strandberg | 1988-06-21 | 880621-3080 | Ljusnevik Metall AB | 9 |
| Anders Wikström | 1979-01-30 | 790130-4150 | Fyrisvik Pharma AB | 18 |
CV Ebba Lundqvist har i 12 år arbetat med budget och månadsrapporter på Norrkåsa Trä AB. Hon har infört ett nytt affärssystem och leder ett team på tre personer. Kontakt: ebba.lundqvist@example.com.
| Kandidat | Född | Personnummer | Arbetsgivare | Erfarenhet |
|---|---|---|---|---|
| [PERSON_1] | 40–49 år | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 år | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 år | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 år | [ID_4] | [VIRKSOMHED_4] | 18 |
CV [PERSON_1] har i 12 år arbetat med budget och månadsrapporter på [VIRKSOMHED_1]. Hen har infört ett nytt affärssystem och leder ett team på tre personer. Kontakt: [EMAIL_1].
Ebba Lundqvist och Maria Strandberg har mer än 5 års erfarenhet och bör kallas till intervju; fråga Maria Strandberg om erfarenhet av affärssystem (ERP). Gustav Eklund har 4 års erfarenhet; kravet är 5. Beslutet fattas av en människa.
[PERSON_1] och [PERSON_3] har mer än 5 års erfarenhet och bör kallas till intervju; fråga [PERSON_3] om erfarenhet av affärssystem (ERP). [PERSON_2] har 4 års erfarenhet; kravet är 5. Beslutet fattas av en människa.
| Leverantör | Kontaktperson | Konto | Löper ut |
|---|---|---|---|
| Vättervik Komponenter AB | Lars Åkesson | SE71 6000 0000 0001 2345 6789 | 2027-01-31 |
| Botnia Pilvi Oy | Aino Virtanen | FI21 1234 5600 0007 85 | 2026-12-31 |
| Ätradalens Precisionsteknik AB | Simon Ekdahl | SE02 3000 0000 0382 0174 5102 | 2028-06-30 |
| Höglandets Förpackning AB | Sofia Dahlberg | SE59 9500 0099 6026 0418 5013 | 2027-03-31 |
Villkor Vättervik Komponenter levererar specialkomponenter till Projekt Fjällkristall. Priset räknas upp varje år med konsumentprisindex plus 3 %. Ansvaret är begränsat till 10 % av det årliga avtalsvärdet. Vid ändringar, kontakta Lars Åkesson.
| Leverantör | Kontaktperson | Konto | Löper ut |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Villkor [VIRKSOMHED_1] levererar specialkomponenter till [PROJEKT_1]. Priset räknas upp varje år med konsumentprisindex plus 3 %. Ansvaret är begränsat till 10 % av det årliga avtalsvärdet. Vid ändringar, kontakta [PERSON_1].
Avtalet med Vättervik Komponenter AB förlängs automatiskt om det inte sägs upp senast den 31 oktober. Det är viktigt för ett internt projekt, så omförhandla hellre priset än säg upp avtalet. Avtalet med Höglandets Förpackning AB förlängs också automatiskt; fristen är den 31 december.
Avtalet med [VIRKSOMHED_1] förlängs automatiskt om det inte sägs upp senast den 31 oktober. Det är viktigt för ett internt projekt, så omförhandla hellre priset än säg upp avtalet. Avtalet med [VIRKSOMHED_4] förlängs också automatiskt; fristen är den 31 december.
Fiktiva uppgifter. Till vänster det som stannar i EU; till höger det AI:n i USA ser.
AI:n i USA ser [PERSON_1], inte Anna Lindqvist. Nyckeln ligger hos GoalCube i EU, och namnen sätts bara in i svaret hos er.
Så gör ni
- Ta reda på var uppgifterna behandlas.Läs leverantörens avtal och er plan.
- Kontrollera grunden.Anslutning till Data Privacy Framework eller standardavtalsklausuler.
- Skicka så lite som möjligt.Namn, e-postadresser och id-nummer behövs sällan.
- Behåll nyckeln i EU.Med pseudonymisering i EU lämnar de riktiga namnen aldrig EU.
- Ha en plan B.Om Data Privacy Framework faller ska ni kunna fortsätta.
Det här säger lagen
- Artiklarna 44–49 i GDPR – överföring till tredjeländer
- Överföring bara med beslut om adekvat skyddsnivå, lämpliga skyddsåtgärder eller undantag.
- Genomförandebeslut (EU) 2023/1795 – EU–US Data Privacy Framework
- Beslut om adekvat skyddsnivå för anslutna amerikanska företag från och med 10 juli 2023.
- Genomförandebeslut (EU) 2021/914 – standardavtalsklausuler
- Standardklausuler för överföring till tredjeländer.
Frågor och svar
Gäller Data Privacy Framework fortfarande?
Ja, i oktober 2026. EU:s tribunal ogillade en talan i september 2025, men avgörandet har överklagats till EU-domstolen (mål C-703/25 P). Följ utvecklingen och ha en plan B.
Är det en överföring om AI:n bara ser pseudonymer?
Pseudonymiserade uppgifter är fortfarande personuppgifter för er, så reglerna gäller. Men risken för personerna är mycket mindre när de riktiga namnen och nyckeln stannar i EU.
Hur är det med Microsofts EU Data Boundary?
Den håller de flesta uppgifter i EU, men kontrollera undantag som flex routing för Copilot.
Källor
- Genomförandebeslut (EU) 2023/1795 på EUR-Lex
- Data Privacy Framework: lista över anslutna företag
- IMY: överföring av personuppgifter till tredjeland
Skriven av GoalCubes redaktion. Senast uppdaterad 11 oktober 2026. GoalCube hjälper er att följa AI-förordningen och GDPR. Det är inte juridisk rådgivning.
Bli en av de första.
Vi räknar med att lansera i november 2026. Anmäl er, så hör vi av oss när ni kan komma igång.