Personuppgiftsbiträdesavtal med AI-leverantören: Vad ska ni kontrollera?
Kort svar
När en AI-tjänst behandlar personuppgifter åt er är den personuppgiftsbiträde, och ni behöver ett personuppgiftsbiträdesavtal (PUB-avtal) enligt artikel 28 i GDPR. De stora tjänsterna har standardavtal i sina företagsplaner. Kontrollera särskilt: att uppgifterna bara behandlas enligt era instruktioner (ingen träning), var de behandlas och på vilken grund de överförs, underbiträden, radering och säkerhet. Gratis- och privatplaner har oftast inget avtal.
Så ser det ut hos de stora tjänsterna
| Tjänst | Abonnemang | Tränar på era data? | Data i EU? | Personuppgiftsbiträdesavtal? | Egna connectors? |
|---|---|---|---|---|---|
| ChatGPT OpenAI, USA | Business (tidigare Team) och Enterprise | Nej. Företagets data används inte för träning som standard. | Bara Enterprise: nya workspaces kan få data lagrade och behandlade i EU. Inte Business. | Ja. Personuppgiftsbiträdesavtalet ingår i avtalet (OpenAI Ireland för EU-kunder). | Ja. Egna connectors via utvecklarläget; en administratör slår på det. |
| Claude Anthropic, USA | Team och Enterprise | Nej. Data används inte för träning om inte företaget självt säger ja. | Nej. Data lagras i USA; det går inte att välja lagring i EU. | Ja. Personuppgiftsbiträdesavtalet ingår automatiskt i de kommersiella villkoren. | Ja. En ägare lägger till egna connectors för hela organisationen. |
| Microsoft 365 Copilot Microsoft, USA | Tillägg till Microsoft 365 för företag | Nej. Promptar, svar och företagets data används inte för träning. | Ja, inom EU Data Boundary. Men för nya EU-kunder kan förfrågningar behandlas utanför EU vid hög belastning (flex routing), vilket går att stänga av. | Ja. Omfattas av Microsofts produktvillkor och personuppgiftsbiträdesavtal. | Ja, via agenter i Copilot Studio. Licenskrav inte bekräftade. |
| Vibe (tidl. Le Chat) Mistral AI, Frankrike | Pro, Team och Enterprise | Pro och Team: ja som standard; en administratör måste stänga av det. Enterprise: nej. | Servrar i EU (Sverige). Vissa funktioner kan skicka data utanför EU; bara Enterprise kan stänga av det. | Ja. Om det omfattar Pro och Team är inte bekräftat. | Ja. En administratör kan lägga till egna connectors. |
| Gemini i Google Workspace Google, USA | Workspace Business och Enterprise | Nej. Workspace-data och promptar används inte för träning utan tillstånd. | Lagring och behandling i EU bara med Enterprise Plus eller tillägget Data Regions. Business: bara lagring. | Ja. En administratör måste godkänna det i administratörskonsolen om det inte redan ingår i avtalet. | Inte bekräftat för Gemini i Workspace. |
Kontrollerat 9 oktober 2026. Gratis- och privatabonnemang (ChatGPT Free/Plus, Claude Free/Pro, Gemini-appen, Vibe Free) har inget personuppgiftsbiträdesavtal och kan träna på data. De passar inte för företagets personuppgifter.
Fällan: AI-funktioner i andra verktyg
Många verktyg har fått AI-funktioner – CRM, bokföring, e-post. Kontrollera att avtalet också täcker AI-funktionen och om den skickar uppgifter vidare till ett underbiträde som OpenAI eller Anthropic.
Så gör ni
- Instruktioner.Uppgifterna får bara användas för att leverera tjänsten till er – inte för träning.
- Plats och överföring.Var behandlas uppgifterna, och på vilken grund?
- Underbiträden.Vilka är de, och hur får ni veta om ändringar?
- Radering och lagring.Hur länge sparas prompter och svar?
- Säkerhet och incidenter.Vilka åtgärder finns, och hur snabbt får ni veta om en personuppgiftsincident?
Det här säger lagen
- Artikel 28 i dataskyddsförordningen (GDPR) – personuppgiftsbiträden
- Punkt 3 räknar upp vad avtalet ska innehålla.
- Kommissionens standardavtalsklausuler (2021/915) – artikel 28
- Standardklausuler som kan användas som personuppgiftsbiträdesavtal.
Frågor och svar
Har ChatGPT ett PUB-avtal?
Ja, i Business och Enterprise. För kunder i EU ingås det med OpenAI Ireland.
Måste vi skriva under något hos Anthropic?
PUB-avtalet ingår automatiskt i Anthropics kommersiella villkor.
Är GoalCube personuppgiftsbiträde?
Ja. GoalCube behandlar personuppgifter åt er i EU och ingår ett PUB-avtal med er. AI-tjänsten får bara pseudonymer.
Källor
- Förordning (EU) 2016/679 (GDPR) på EUR-Lex
- Integritetsskyddsmyndigheten (IMY): personuppgiftsbiträden
Skriven av GoalCubes redaktion. Senast uppdaterad 11 oktober 2026. GoalCube hjälper er att följa AI-förordningen och GDPR. Det är inte juridisk rådgivning.
Bli en av de första.
Vi räknar med att lansera i november 2026. Anmäl er, så hör vi av oss när ni kan komma igång.