Generativ AI i företaget: vad IMY säger om GDPR

Vad säger IMY i korthet?

Vad säger IMY om att använda generativ AI i en verksamhet?

Enligt IMY är den verksamhet som använder generativ AI personuppgiftsansvarig och skyldig att välja system som gör det möjligt att följa dataskyddsförordningen. Generativ AI är inte ett ändamål i sig utan ett medel, så ändamålen ska anges och göras tydliga för medarbetarna (IMY, 5 februari 2025).

Är AI-leverantören personuppgiftsbiträde?

IMY skriver att leverantören kan vara personuppgiftsbiträde, och att det då krävs ett personuppgiftsbiträdesavtal. Det förutsätter att leverantören inte har något eget ändamål med behandlingen, till exempel att använda uppgifterna för att vidareutveckla AI-systemets grundmodell.

Behövs en konsekvensbedömning för generativ AI?

IMY kräver en riskbedömning innan behandlingen börjar. En konsekvensbedömning behövs om hög risk är sannolik, till exempel vid ny teknik, stor skala, känsliga uppgifter eller automatiserade beslut. Det är inte alltid fallet och bedöms från fall till fall.

Vad står i IMY:s vägledning om GDPR vid användning av generativ AI?

GDPR vid användning av generativ AI (IMY-2024-9162), IMY, 5 februari 2025 · PDF

Skriven för offentlig förvaltning, men enligt IMY i huvudsak vägledande även för privata verksamheter.

• Den verksamhet som använder generativ AI för sitt uppdrag är personuppgiftsansvarig. En leverantör kan vara personuppgiftsbiträde, och då krävs ett personuppgiftsbiträdesavtal.
• Leverantören är biträde bara om den inte har något eget ändamål med behandlingen, till exempel att använda uppgifterna för att vidareutveckla grundmodellen. Annars kan den också vara personuppgiftsansvarig.
• Som personuppgiftsansvarig har verksamheten en skyldighet att välja generativa AI-system som gör det möjligt att säkerställa att behandlingen följer dataskyddsförordningen.
• Generativ AI är inte ett ändamål i sig utan ett medel. Ändamålen ska anges och göras tydliga för medarbetarna.
• Genom att bara ange de mest relevanta personuppgifterna i en prompt kan behandlingen begränsas. Verksamheten kan också tekniskt begränsa vad användare kan mata in, och behörigheterna ska följa med in i AI-systemet.
• Ju större riskerna är, desto högre krav ställs på den rättsliga grunden.
• Överförs personuppgifter till ett land utanför EU/EES måste särskilda villkor i dataskyddsförordningen vara uppfyllda. För USA kan det vara uppfyllt om leverantören omfattas av EU-U.S. Data Privacy Framework.
• Risker ska bedömas innan behandlingen med generativ AI påbörjas och följas upp löpande. Dataläckage till en extern tjänst nämns som en risk.
• En konsekvensbedömning behövs om hög risk är sannolik, till exempel vid ny teknik, stor skala, känsliga uppgifter eller automatiserade beslut. Det är inte alltid fallet.
• Allmänt tillgängliga eller integrerade AI-tjänster bör användas under verksamhetens ledning och översyn, och det ska vara tydligt för medarbetarna vad tjänsten får användas till och vilken information som får behandlas. Se också över om integritetspolicyn behöver uppdateras.

Vilken checklista kan företaget göra av det?

En praktisk läsning av IMY:s vägledning, i den ordning IT, dataskyddsombud och verksamhet brukar ta sig an den.

1. Ange ändamålen

   Per användningsfall: vilken uppgift, vilken avdelning, vilka uppgifter. Att använda generativ AI är inget ändamål.

2. Klarlägg rollerna

   Ni är personuppgiftsansvariga. Är leverantören biträde? Bara om den inte använder uppgifterna för egna ändamål som träning.

3. Teckna personuppgiftsbiträdesavtal

   Med leverantören, inklusive underbiträden och var uppgifterna behandlas.

4. Välj system som gör efterlevnad möjlig

   Ingen träning på era uppgifter, ingen lagring av innehållet, känd behandlingsplats.

5. Begränsa vad som går in i en prompt

   Bara de mest relevanta personuppgifterna, tekniska spärrar där det går, och behörigheter som följer med.

6. Kontrollera tredjelandsöverföringar

   Vet för varje modell om uppgifterna lämnar EU/EES, och på vilken grund.

7. Bedöm riskerna innan start

   Riskbedömning före, uppföljning löpande, och en konsekvensbedömning när hög risk är sannolik.

8. Styr medarbetarnas användning

   Vad tjänsten får användas till, vilken information som får behandlas, och vem som följer upp.

Hur hjälper en AI-gateway med den praktiska delen?

Ändamål, rättslig grund, konsekvensbedömning och riktlinjer är fortfarande ert arbete. Standard Compute, en AI-gateway till ledande och öppna modeller, sköter den tekniska delen av flera punkter på listan: var promptar behandlas, vem som sparar dem, vem som får använda vilken modell och vad som har hänt.

Frågor från IT, dataskydd och säkerhet

Förbjuder IMY ChatGPT eller Copilot på jobbet?

Nej. IMY:s vägledning förbjuder inga verktyg. Den kräver angivna ändamål, klara roller och avtal, system som gör efterlevnad möjlig, en riskbedömning före start och tydliga ramar för medarbetarna.

Gör en AI-gateway företaget GDPR-kompatibelt?

Nej. En gateway löser en teknisk del: var promptar behandlas, lagring, godkända leverantörer och modeller, och loggar. Ändamål, rättslig grund, konsekvensbedömning, information till de registrerade och riktlinjer är fortfarande ert ansvar.

Var behandlar Standard Compute promptar?

Med en Europaregel går era promptar in och ut genom vår gateway i Finland och betjänas bara av godkända europeiska inferensendpoints, utan reservväg utanför Europa. Kan ingen endpoint betjäna förfrågan avvisas den innan något skickas.

Sparar Standard Compute innehållet i förfrågningar?

Vi behandlar era promptar i minnet för att betjäna varje förfrågan och skriver dem aldrig till lagring eller loggar. Förfrågningsposter innehåller bara metadata: modell, leverantör, tokens, kostnad och status.

Officiella källor

Sammanfattningen bygger på dessa texter, lästa 9 november 2026. Den ersätter varken texterna själva eller juridisk rådgivning.

• GDPR vid användning av generativ AI (IMY-2024-9162) (IMY, 5 februari 2025) · PDF

Läs också