Den vanligaste frågan vi får från svenska företag är inte vad AI-agenterna kan göra – det är om de får göra det. Inkorgen innehåller personuppgifter. Kundregistret består av dem. Kan man släppa in en AI i det utan att bryta mot GDPR? Kort svar: ja, på samma villkor som ni släpper in vilken annan leverantör som helst i era system. Här är vad som faktiskt gäller.
GDPR förbjuder inte AI – den ställer krav på hanteringen
Det finns ingen paragraf som säger att AI inte får behandla personuppgifter. GDPR är teknikneutral: samma regler gäller oavsett om det är en människa, ett affärssystem eller en AI-agent som läser uppgifterna. Frågorna ni ska ställa är därför samma som för varje molntjänst:
- Var behandlas datan? Inom EU/EES, eller förs den över till tredje land?
- Vem är personuppgiftsbiträde, och finns ett biträdesavtal (DPA)?
- Vad används datan till – bara till att utföra tjänsten, eller även till att träna leverantörens modeller?
- Vem kan komma åt den, och loggas åtkomsten?
- Kan ni radera och få ut datan när ni vill?
En AI-leverantör som inte kan svara tydligt på de fem frågorna ska ni inte släppa in i era system – oavsett hur bra produkten är.
Fällan: träning på er data
Den största skillnaden mellan AI-tjänster göms i frågan om modellträning. Gratisversioner av populära AI-verktyg förbehåller sig ofta rätten att träna på det användarna skriver in – vilket betyder att kunduppgifter någon klistrar in i ett gratisverktyg kan bli del av en global modell. Det är därför "skugg-AI" – anställda som använder privata AI-konton i jobbet – är ett större GDPR-problem än någon upphandlad tjänst.
En seriös företagslösning ska garantera motsatsen: er data används för att utföra era uppgifter, ingenting annat. Hos Min Agent lagras er data i Azure i Sverige, AI-bearbetningen sker under Microsofts biträdesavtal, ingenting tränas på ert innehåll och varje kunds data hålls isolerad.
Human-in-the-loop är ett GDPR-argument
GDPR:s artikel 22 ger enskilda rätt att inte bli föremål för beslut som enbart grundas på automatiserad behandling, när besluten har rättsliga eller liknande betydande följder. För de flesta administrativa flöden är det inte tillämpligt – men principen pekar på något viktigare: automatiserade beslut utan mänsklig kontroll är en risk, juridiskt och praktiskt.
Agenter byggda med människan i loopen löser det i arkitekturen. När Rekryteringsagenten screenar ansökningar föreslår den och motiverar – men människan fattar beslutet, och det är dokumenterat i loggen. Det är inte bara god sed, det är precis den ordning tillsynsmyndigheten vill se.
Checklistan innan ni släpper in en AI-agent
- Biträdesavtal på plats. Leverantören behandlar personuppgifter för er räkning och ska skriva under ett DPA.
- EU-behandling bekräftad. Fråga var datan lagras och behandlas – och vad som gäller för underleverantörer.
- Ingen modellträning på er data. Ska stå svart på vitt.
- Behörigheter per agent. En agent ska bara komma åt det den behöver: mejlagenten inkorgen, fakturaagenten reskontran – inte allt.
- Logg och radering. Varje åtgärd ska kunna granskas i efterhand, och ni ska kunna avsluta och få datan raderad.
- Uppdatera registerförteckningen. AI-agenten är en ny behandling – för in den i er artikel 30-förteckning, precis som när ni införde CRM:et.
Vanliga frågor
Behöver vi göra en konsekvensbedömning (DPIA)?
Oftast inte för administrativa agenter som hanterar mejl, kalender och fakturor – det är samma slags behandling ni redan gör, med ett nytt verktyg. Behandlar ni känsliga personuppgifter i stor skala, eller använder AI för systematisk utvärdering av enskilda, kan en DPIA krävas. Er dataskyddskontakt avgör.
Får agenten läsa anställdas mejl?
Agenten arbetar i den anställdas egen inkorg, på den anställdas uppdrag – det är personen själv som godkänner utkast och sätter gränser. Det är något helt annat än arbetsgivarövervakning. Mappar och etiketter kan dessutom undantas helt.
Vad händer med datan om vi säger upp tjänsten?
Den raderas. Ni har rätt att få behandlingen avslutad och uppgifterna raderade eller återlämnade – det ska regleras i biträdesavtalet, med rimliga frister.
Räcker det att leverantören säger "GDPR-kompatibel"?
Nej. "GDPR-kompatibel" är marknadsföring, inte ett åtagande. Begär det konkreta: biträdesavtal, behandlingsort, underleverantörslista och träningsgaranti. En leverantör som har ordning svarar på en dag.
Vill ni gå igenom er situation konkret? Boka en demo så visar vi hur behörigheter, loggar och godkännandeflödet ser ut i praktiken – med er egen dataskyddskontakt i rummet om ni vill.
