AI och GDPR: så samspelar AI-förordningen och dataskyddsförordningen

AI och GDPR gäller parallellt. Så snart ett AI-system behandlar personuppgifter, i träningsdata, i det användaren skriver in eller i det modellen svarar, gäller GDPR fullt ut. AI-förordningen lägger till krav efter systemets risknivå, oavsett om personuppgifter finns med. Att uppfylla det ena regelverket räcker aldrig för det andra.

Det viktigaste i korthet

• GDPR utlöses av personuppgifter. AI-förordningen utlöses av att ett AI-system släpps ut på marknaden eller används, med krav som skalar efter risk.
• Rollerna skiljer sig: personuppgiftsansvarig och personuppgiftsbiträde i GDPR, leverantör och tillhandahållare i AI-förordningen. Ett företag kan ha olika roller i de två lagarna.
• En DPIA enligt GDPR och en konsekvensbedömning avseende grundläggande rättigheter (FRIA) enligt AI-förordningen överlappar. Tillhandahållaren kan hänvisa till eller återanvända relevanta delar av en DPIA i sin FRIA.
• Den rättsliga grunden för att använda känsliga personuppgifter för att upptäcka och korrigera bias finns efter den digitala omnibusen i artikel 4a (som ersatt artikel 10.5). Den är en möjlighet, inte en skyldighet.
• IMY är tillsynsmyndighet för GDPR och, per oktober 2026, även marknadskontrollmyndighet för delar av AI-förordningen.
• Det billigaste sättet att uppfylla båda är en gemensam styrprocess: ett register, en kombinerad konsekvensbedömning, en leverantörsgranskning.

Gäller GDPR för AI?

Ja. Dataskyddsförordningen (GDPR) är teknikneutral och gäller så snart personuppgifter behandlas, oavsett om det sker i ett kalkylark eller i en stor språkmodell. IMY har varit tydlig med att frågan inte är vilken teknik som används, utan vem som bestämmer ändamålet med behandlingen och för vems räkning den sker.

Personuppgifter kan finnas på flera ställen i ett AI-system: i träningsdatan, i det användarna skriver in och i det modellen genererar. En medarbetare som klistrar in ett kundärende i en chattbot, en Copilot-utrullning som läser mejlkorgar, ett rekryteringsverktyg som läser CV:n – alla är behandling av personuppgifter. Varje led behöver hanteras enligt dataskyddsreglerna.

Samtidigt gäller AI-förordningen (EU AI Act), som i artikel 2.7 uttryckligen anger att den inte påverkar GDPR. Den som vill få en samlad bild av var organisationen står kan börja med Opsios gratis bedömning av er AI-styrning, som frågar om AI-register, roller, data och leverantörer i ett svep och tar cirka 40 minuter.

AI-förordningen och GDPR: jämförelse

Rättslig grund och GDPR:s grundprinciper

All behandling av personuppgifter kräver en rättslig grund, till exempel avtal, rättslig förpliktelse, berättigat intresse eller samtycke. Innan ni låter ett AI-system behandla personuppgifter måste ni kunna peka på vilken grund ni stödjer er på och för vilket ändamål. Europeiska dataskyddsstyrelsen (EDPB) har i sitt yttrande 28/2024 från december 2024 beskrivit när AI-modeller kan anses anonyma och hur berättigat intresse kan användas vid utveckling och användning av AI.

Utöver den rättsliga grunden gäller grundprinciperna, som blir särskilt knepiga med AI:

• Ändamålsbegränsning – data som samlats in för ett syfte får inte fritt återanvändas för att träna en modell för något annat.
• Uppgiftsminimering – behandla bara de uppgifter som behövs, vilket utmanar tendensen att mata modeller med så mycket data som möjligt.
• Öppenhet – de registrerade ska informeras om att och hur deras uppgifter används i AI.
• Korrekthet – generativ AI kan hitta på felaktiga uppgifter om personer, vilket är en dataskyddsrisk i sig.
• Lagringsminimering – uppgifter ska inte sparas längre än nödvändigt, vilket gäller både träningsdata och loggar över användarnas inmatningar.

De registrerades rättigheter, som rätten till rättelse och radering, kan vara svåra att tillgodose när uppgifter väl har bakats in i en tränad modell. Det är ett skäl att noga tänka igenom vilka personuppgifter som över huvud taget behöver ingå i träningen.

Där regelverken möts i praktiken

Personuppgifter i träning och användning

Att träna en modell på personuppgifter, skicka personuppgifter i en prompt och generera svar om identifierbara personer är behandling enligt GDPR. Ni behöver rättslig grund, ändamålsbegränsning, uppgiftsminimering, gallringsregler och, när en leverantör behandlar data åt er, ett personuppgiftsbiträdesavtal. För högrisksystem lägger artikel 10 i AI-förordningen till krav på datastyrning: tränings-, validerings- och testdata ska vara relevanta, tillräckligt representativa och så långt möjligt fria från fel.

Känsliga personuppgifter för att upptäcka bias

Särskilda kategorier av personuppgifter, som hälsa, etniskt ursprung, religiös övertygelse, sexuell läggning, fackligt medlemskap och biometriska och genetiska uppgifter, får som huvudregel inte behandlas enligt artikel 9 i GDPR. Samtidigt kräver det ofta just sådana uppgifter att upptäcka om ett system diskriminerar.

Den digitala omnibusen, förordning (EU) 2026/1744, strök artikel 10.5 och införde en ny artikel 4a om behandling av särskilda kategorier av personuppgifter för att upptäcka och korrigera bias. Artikel 4a (som ersatt artikel 10.5) omfattar leverantörer och tillhandahållare av högrisksystem och, under vissa villkor, även andra AI-system och AI-modeller. Den ger en möjlighet, inte en skyldighet att göra bias-kontroller. Behandlingen ska vara strikt nödvändig, inte kunna ersättas med syntetiska eller anonymiserade data och omges av skyddsåtgärder: pseudonymisering, åtkomstbegränsning, ingen överföring till tredje part och radering när biasen är korrigerad. Skälen ska dokumenteras i registret över behandlingar.

En vardaglig risk är att känsliga uppgifter smyger in via fritext, till exempel när medarbetare klistrar in kundärenden eller sjukintyg i ett AI-verktyg. Inför tydliga regler för vad som får matas in och tekniska spärrar där det går.

Automatiserade beslut: artikel 22 och högrisk-AI

Artikel 22 i GDPR ger personer rätt att inte bli föremål för beslut som enbart grundas på automatiserad behandling och som har rättsliga eller liknande betydande följder, med snäva undantag och skyddsåtgärder som mänsklig inblandning. AI-förordningen angriper samma problem från systemets sida: högrisksystem ska byggas för mänsklig tillsyn (artikel 14), tillhandahållaren ska ge tillsynen till kompetenta personer (artikel 26), och berörda kan begära en förklaring av beslut som fattats med vissa högrisksystem (artikel 86).

Ta en bank som använder en kreditmodell för privatlån. Enligt GDPR behöver banken rättslig grund, ska förklara logiken och erbjuda mänsklig prövning om beslutet är helt automatiserat. Enligt AI-förordningen är kreditvärdering högrisk i bilaga III, och banken som tillhandahållare ska göra en FRIA. Mänsklig tillsyn hjälper för båda lagarna, men bara om den som granskar har verklig befogenhet och tid att ändra beslutet.

Transparens

Integritetspolicyn ska beskriva AI-relaterad behandling. Artikel 50 i AI-förordningen lägger till egna krav: tala om för människor att de pratar med en chattbot, upplys om känsloigenkänning och märk deepfakes. Arbetstagare ska informeras innan ett högrisksystem används på arbetsplatsen. En gemensam genomgång av integritetstexter, chattbotens hälsningsfras och märkningar kan uppfylla båda.

DPIA och FRIA

AI-förordningen förutser överlappet. Artikel 26.9 säger att tillhandahållare av högrisksystem ska använda leverantörens bruksanvisning när de gör en DPIA. Efter omnibusen ger artikel 27.4 tillhandahållaren möjlighet att hänvisa till eller återanvända relevanta delar av en DPIA i konsekvensbedömningen. FRIA är bredare: den omfattar alla grundläggande rättigheter, som icke-diskriminering och tillgång till tjänster, inte bara integritet. Vem som måste göra en och vad den ska innehålla beskrivs i konsekvensbedömning avseende grundläggande rättigheter. Efter omnibusen gäller FRIA-kravet för system i bilaga III från 2 december 2027.

Datahemvist: var hamnar datan?

Många AI-tjänster är molnbaserade och kan innebära att data behandlas utanför EU/EES. GDPR ställer särskilda krav på sådana tredjelandsöverföringar. För svenska företag, inte minst inom offentlig sektor och reglerade branscher, är datahemvist ofta avgörande. Ta reda på var leverantören lagrar och behandlar data, om det finns alternativ inom EU och vilka garantier som gäller.

Där medarbetare använder generativ AI med kund- eller personaldata kan en EU-hostad AI-gateway som pseudonymiserar personuppgifter innan de når modellen, blockerar hemligheter och loggar varje anrop minska exponeringen enligt GDPR och samtidigt ge spårbarhet. Det är vad Opsio Vault AI är byggt för.

Att välja AI-leverantör med båda regelverken i åtanke

När ni köper en AI-tjänst som behandlar personuppgifter blir leverantören oftast personuppgiftsbiträde, och ni behöver ett biträdesavtal. Frågor att ställa innan ni skriver på:

• Var lagras och behandlas data, och erbjuds datahemvist inom EU?
• Används våra data för att träna leverantörens modeller, och kan vi välja bort det?
• Vilka underbiträden används, och i vilka länder?
• Hur stöder leverantören de registrerades rättigheter, till exempel radering?
• Vilken roll har leverantören enligt AI-förordningen, och finns bruksanvisning, loggar och dokumentation för högrisksystem?

En fullständig frågelista finns i checklistan för leverantörsbedömning av AI.

En gemensam styrprocess för båda

Två separata projekt ger dubbla register, dubbla enkäter och motstridiga besked till medarbetarna. En gemensam modell har sex delar:

1. Ett register. Varje AI-användning registreras med båda uppsättningarna uppgifter: roll och risknivå enligt AI-förordningen, och personuppgiftsroll, datakategorier, rättslig grund och gallring enligt GDPR. Registret över behandlingar och AI-registret ska hänvisa till varandra.
2. En grind för nya verktyg. Nya AI-verktyg går igenom en granskning som täcker förbjudna metoder, risknivå, artikel 50, behov av DPIA och informationssäkerhet.
3. En kombinerad konsekvensbedömning. För högrisk-AI med personuppgifter görs DPIA och FRIA i samma dokument, med gemensam systembeskrivning och riskregister.
4. En leverantörsgranskning som ställer både dataskydds- och AI-frågor.
5. Ett utbildningsprogram. Lägg in dataskydd i åtgärderna för AI-kunnighet enligt artikel 4; se vilken AI-utbildning AI-förordningen kräver.
6. Tydligt ägarskap. Dataskyddsombudet ger råd om personuppgifter, en ansvarig för AI-styrning följer AI-förordningen. De ska sitta i samma granskning.

Har ni luckor på dataskyddssidan kan Opsio hjälpa till med GDPR-efterlevnad.

Vanliga frågor

Ersätter AI-förordningen GDPR för AI?

Nej. Artikel 2.7 i AI-förordningen anger att den inte påverkar GDPR. När ett AI-system behandlar personuppgifter gäller GDPR fullt ut: rättslig grund, öppenhet, de registrerades rättigheter, säkerhet och DPIA. AI-förordningen lägger till krav ovanpå, beroende på risknivå och roll. Planera därför för båda från början.

Får vi mata in kunddata i ett publikt AI-verktyg?

Var försiktiga. Att klistra in personuppgifter i ett publikt verktyg kan innebära en otillåten överföring och förlust av kontroll, särskilt om data används för att träna leverantörens modeller. Använd företagsanpassade tjänster med tydliga villkor, biträdesavtal och helst datahemvist inom EU, och reglera inmatningen i er AI-policy.

Är en DPIA samma sak som en FRIA?

Nej, men de överlappar. En DPIA enligt artikel 35 i GDPR bedömer risker för enskilda vid behandling av personuppgifter. En FRIA enligt artikel 27 i AI-förordningen bedömer hur ett högrisksystem påverkar alla grundläggande rättigheter. Enligt artikel 27.4 kan tillhandahållaren hänvisa till eller återanvända relevanta delar av en DPIA i sin FRIA, och många gör dem som en gemensam bedömning.

Vad är IMY:s roll när det gäller AI?

IMY är tillsynsmyndighet för GDPR och, per oktober 2026, även marknadskontrollmyndighet enligt AI-förordningen för bland annat biometri, brottsbekämpning och kreditvärdering utanför finanssektorn. IMY har också tillsammans med DIGG tagit fram riktlinjer för generativ AI i offentlig förvaltning. En och samma granskning kan alltså röra båda lagarna.

Vilka sanktionsavgifter är högst, GDPR eller AI-förordningen?

AI-förordningens högsta nivå är högre: upp till 35 miljoner euro eller 7 procent av global årsomsättning för förbjudna metoder, mot 20 miljoner euro eller 4 procent i GDPR. För de flesta andra brott mot AI-förordningen är taket 15 miljoner euro eller 3 procent. Eftersom lagarna är separata kan en incident leda till avgifter enligt båda.

Få en samlad bild av era AI- och datarisker

Med Opsios kostnadsfria AI-förordningsbedömning svarar ni på svenska i fjorton steg, cirka 40 minuter. När ni skickar in skrivs fyra styrdokument utifrån era svar: en AI-policy för medarbetare, ett ramverk för AI governance, en checklista för AI-leverantörer och en mall för riskbedömning av AI, plus en mognadsbild över tio områden. Dokumenten levereras på engelska som Word-filer ni kan redigera. Gratis och utan förpliktelser.

Den här artikeln är allmän information, inte juridisk rådgivning. Kontrollera den konsoliderade texten till förordning (EU) 2024/1689 i dess lydelse enligt förordning (EU) 2026/1744. Uppgifterna gäller per oktober 2026.