GDPR gäller för AI så fort ett AI-system behandlar personuppgifter, oavsett om du tränar en modell, finjusterar en eller bara låter ditt team klistra in kunduppgifter i en assistent. Du behöver ett dokumenterat ändamål, en rättslig grund för varje steg, en konsekvensbedömning avseende dataskydd där risken är hög, och ett sätt för människor att få ett mänskligt beslut när ett automatiserat beslut påverkar dem. EU:s AI-förordning ligger ovanpå detta och lägger till egna skyldigheter, bland annat om transparens. Den här guiden förklarar hur de två regelverken hänger ihop för ett B2B SaaS-bolag och vad du bör göra först.

Det är allmän information, inte juridisk rådgivning. Ditt dataskyddsombud eller din jurist bör bekräfta hur något av detta gäller för ditt bolag.

Kort sagt

Innehållsförteckning

Hur GDPR gäller för AI

GDPR reglerar personuppgifter, inte teknik. En analys av lagen konstaterar att AI inte nämns uttryckligen, och att artikel 22 om automatiserat beslutsfattande fungerar som en indirekt kontroll av AI. Allt annat följer av de allmänna principerna: laglighet, korrekthet, öppenhet, ändamålsbegränsning, uppgiftsminimering, riktighet, lagringsminimering, säkerhet och ansvarsskyldighet.

För ett SaaS-bolag är den praktiska frågan enkel. Ser AI:n namn, e-postadresser, användningsloggar kopplade till en användare, supportärenden, fakturor eller något annat som identifierar en person? Om ja gäller GDPR, även om AI:n är ett verktyg som du har köpt och inte byggt själv.

Ändamål och rättslig grund, steg för steg

Den brittiska dataskyddsmyndighetens vägledning säger att du för varje enskild behandling i utveckling och driftsättning av AI bör identifiera och dokumentera dess ändamål och en lämplig rättslig grund innan du behandlar något alls. Den säger också att särskilda kategorier av personuppgifter kräver ett separat villkor. Vägledningen gäller UK GDPR, som nära speglar EU:s regler, och är en användbar referens för resonemanget.

Samma vägledning säger att träning och driftsättning är olika steg och kan vila på olika rättsliga grunder. En grund som fungerar för att bygga en modell täcker inte automatiskt användningen av den på aktuella kunddata.

Skriv i praktiken en rad per AI-användningsfall:

  1. Vad är ändamålet (till exempel att sammanfatta supportärenden)?
  2. Vilka personuppgifter läser den?
  3. Vad är den rättsliga grunden (avtal, berättigat intresse, samtycke, rättslig förpliktelse)?
  4. Vem är personuppgiftsansvarig och vem är personuppgiftsbiträde?
  5. Var lagras och behandlas data?

Om du vill ha en genomgång på enkel svenska av hur du väljer och dokumenterar en rättslig grund och tillämpar de grundläggande principerna visar den här texten om grundläggande dataskyddsprinciper i GDPR samma resonemang tillämpat på ett bokningssystem, och logiken går att överföra till AI-projekt.

Ändamålsbegränsning, minimering och riktighet

Den nederländska dataskyddsmyndigheten anger ändamålsbegränsning, uppgiftsminimering och riktighet som centrala GDPR-krav för AI. Var och en påverkar direkt hur du bygger.

Samma nederländska vägledning pekar på artikel 32: du behöver lämpliga tekniska och organisatoriska åtgärder, med hänsyn till den senaste utvecklingen, behandlingens sammanhang och riskerna för individer.

Vad EDPB sa om AI-modeller

I december 2024 utfärdade Europeiska dataskyddsstyrelsen yttrande 28/2024 om AI-modeller. En akademisk översikt av yttrandet förklarar att modeller som tränats på personuppgifter kan behålla eller härleda information om identifierbara personer, och därför inte bara kan antas vara anonyma. Den behandlar också hur berättigat intresse kan motiveras efter att träningen är klar. Slutsatsen för köpare: acceptera inte att "modellen är anonym" från en leverantör utan att fråga hur det har bedömts.

Där EU:s AI-förordning kompletterar GDPR

De två lagarna har olika ursprung. Enligt en studie från Europaparlamentet bygger AI-förordningen på en produktsäkerhetsmodell, medan GDPR skyddar personuppgifter genom rättigheter och principer. Samma studie noterar att skyldigheter kan överlappa: en konsekvensbedömning avseende grundläggande rättigheter (FRIA) och en konsekvensbedömning avseende dataskydd (DPIA) kan dubblera varandra, och skyldigheter kring transparens och loggning kan vara överflödiga.

Rollerna skiljer sig också åt. GDPR använder personuppgiftsansvariga och personuppgiftsbiträden. AI-förordningen använder leverantör, importör, distributör och användare. Ett SaaS-bolag kan vara leverantör av sina egna AI-funktioner och samtidigt användare av någon annans modell, och vara personuppgiftsansvarig eller personuppgiftsbiträde för de personuppgifter som berörs. Kartlägg varje roll per användningsfall.

GDPR EU:s AI-förordning
Utgångspunkt Personuppgifter och människors rättigheter AI-systemet och dess risknivå
Nyckelroller Personuppgiftsansvarig, personuppgiftsbiträde Leverantör, användare (deployer), importör, distributör
Typiska dokument Register över behandling, konsekvensbedömning (DPIA) Teknisk dokumentation, loggar, FRIA för vissa högrisktillämpningar
Mänsklig medverkan Rätt att inte bli föremål för enbart automatiserade beslut som har rättsliga följder Mänsklig tillsyn för högrisksystem

Vissa nationella myndigheter har påpekat att ett system kan följa den ena lagen och ändå bryta mot den andra, och därför behövs ett angreppssätt från fall till fall. Den belgiska myndigheten tillägger att AI-förordningen bygger på ansvarsskyldigheten i GDPR med formell incidentrapportering och styrning med människa i loopen.

NIS2 är en tredje del, och den handlar om cybersäkerhet och riskhantering för verksamheter som omfattas, inte om AI specifikt. Om ert företag omfattas av tillämpningsområdet hör de säkerhetsåtgärder ni inför kring AI-system hemma i samma riskprocess. Om ni omfattas är en fråga för juridisk rådgivare.

Transparenskrav när AI möter människor

Transparens finns i båda lagarna, och människor blandar ofta ihop dem.

Tidpunkten är viktig. Kommissionens AI Act Service Desk anger att skyldigheterna i artikel 50 blev tillämpliga den 2 augusti 2026, och att leverantörer av system som släppts på marknaden före det datumet har till den 2 december 2026 på sig att uppfylla vissa krav på markering och detektering.

För ett SaaS-företag är de vanliga fallen en chatbot i er produkt eller i supportwidgeten samt genererad text eller bilder som ni publicerar. Märk chatboten som AI och kontrollera hur era verktyg markerar genererat innehåll. Vill ni fördjupa er i artiklarna 4 och 50, se vår guide till artiklarna 4 och 50 i EU:s AI-förordning för SaaS.

Supportspecialist som testar en chatbot i produkten

DPIA, mänsklig tillsyn och automatiserade beslut

Tre skyddsåtgärder kommer upp oftast.

DPIA. Den belgiska myndigheten förklarar att en DPIA krävs i vissa fall, bland annat vid behandling med hög risk och vid användning av ny teknik. Den nederländska myndigheten säger på liknande sätt att en sådan behövs när algoritmiska system behandlar personuppgifter och riskerna för den personliga integriteten är höga. Om ni är osäkra, genomför en. Det är billigare än att senare förklara varför ni inte gjorde det.

Mänsklig tillsyn. AI-förordningen kräver mänsklig tillsyn för högrisksystem under utveckling, driftsättning och användning, och samma belgiska källa anger det vid sidan av kravet på FRIA.

Automatiserade beslut. Enligt GDPR har människor rätt att inte bli föremål för beslut som enbart grundas på automatiserad behandling och som har rättsliga följder för dem. Om en AI-agent skulle kunna avgöra vem som får ett avtal, en kreditgräns eller tillgång till en tjänst, bygg in ett steg för mänskligt godkännande i processen.

En checklista för AI-förordningen för SaaS-team

Kommissionens översikt över AI-förordningen anger att högrisksystem måste omfatta riskbedömning och riskreducering, datamängdernas kvalitet, loggning, teknisk dokumentation, information till användare (deployers), mänsklig tillsyn, robusthet, cybersäkerhet och noggrannhet. De flesta SaaS-produkter är inte högrisk, men listan är en bra standard för all AI som berör människors data.

Tidsfristerna för högrisksystem ligger senare än många tror. Enligt Service Desks FAQ måste system inom känsliga områden som anställning (bilaga III) följa reglerna senast den 2 december 2027, och system som är inbyggda i reglerade produkter (bilaga I) senast den 2 augusti 2028. Kontrollera den officiella sidan för aktuellt läge, eftersom tidplaner kan ändras.

En praktisk checklista:

  1. Gör en förteckning över all AI-användning. Ta med verktyg som enskilda medarbetare har börjat använda på eget initiativ.
  2. Klassificera varje användning. Är det en chatbot, en intern assistent, en poängsättningsmodell eller något som fattar beslut om människor? Fråga juridisk rådgivare om någon användning är högrisk.
  3. Kartlägg roller. Leverantör, användare (deployer), personuppgiftsansvarig, personuppgiftsbiträde.
  4. Dokumentera ändamål och rättslig grund för varje steg.
  5. Genomför en DPIA där risken är hög.
  6. Ställ in behörigheter. AI:n ska bara kunna läsa och ändra det som användaren själv kunde.
  7. Lägg till godkännandesteg för åtgärder med verkliga konsekvenser.
  8. För loggar över vad AI:n har läst, skrivit och utlöst.
  9. Märk AI-interaktioner och genererat innehåll.
  10. Utbilda människor. Artikel 4 kräver AI-kunskap.
  11. Granska leverantörer. Var behandlas data, och används den för att träna deras modeller?
  12. Utse en ansvarig. En namngiven person bör ha ansvaret.

Vårt ramverk för AI-styrning för B2B SaaS-företag omsätter detta i en fungerande struktur.

Där AI inte hör hemma

God regelefterlevnad handlar också om att avgöra vad AI inte ska göra. Vi skulle hålla AI borta från följande områden:

Bygg datagrunden först

De flesta GDPR-problem med AI börjar i datan, inte i modellen. Om ni inte kan säga var en kunds data finns, vilket system som är korrekt och vem som kan läsa den, kan ni inte hantera begäranden om åtkomst eller radering, och ni kan inte styra vad en AI läser.

Därför arbetar vi i en fast ordning:

  1. Datagrund. Era CRM- och ekonomidata blir den auktoritativa källan, och systemen runt omkring stäms av till en gemensamt överenskommen version.
  2. AI-lager. Den assistent som ert team redan använder kopplas till den datan via MCP, inom ramen för behörigheter.
  3. Avdelningsagenter. Specialbyggda agenter för Finance, Sales och Customer Success, så att medarbetare kan ställa frågor, rapportera och slå upp information över system, samt uppdatera poster eller utlösa processer med godkännande där det behövs och med en granskningslogg.

Utveckling, pilot och testning sker på egenhostad europeisk infrastruktur i Tyskland, och GDPR, NIS2 och EU:s AI-förordning behandlas som designkrav från början. Ingen design garanterar regelefterlevnad, och den bedömningen ligger kvar hos er och ert juridiska ombud. Men ett system med behörigheter, godkännanden och loggar på plats gör frågorna som tillsynsmyndigheter ställer långt enklare att besvara. Hur detta fungerar i praktiken kan ni se på vår sida om AI-agenter för Finance, Sales och Customer Success, och Admin Portal visar hur åtkomst och godkännanden hanteras på ett ställe.

Vårt perspektiv

Vi ser samma mönster i växande SaaS-företag. Människor använder redan AI, i CRM, i support och i ekonomi, och ingen äger det. Ingen har bestämt vilken data den får läsa, ingen för register över vad den gjort, och integritetspolicyn skrevs innan något av det fanns.

Vår uppfattning är att regelefterlevnad till stor del är ett driftproblem. En integritetspolicy hindrar inte en assistent från att läsa en post den inte borde läsa. Behörigheter, godkännanden och loggar gör det. Därför börjar vi med datagrunden, kopplar sedan på AI-lagret och bygger därefter avdelningsagenter, och därför inför vi AI en process i taget, med början i den dyraste.

Det hjälper också att ha en person som både avgör var AI lönar sig och bygger det, så att strategin och det fungerande systemet inte glider isär. Det är tanken bakom en Fractional Chief AI Officer med 25 års erfarenhet av att driva verksamhet. Vi utformar för GDPR, NIS2 och EU:s AI-förordning från första dagen, och ni äger källkod, dokumentation och infrastruktur vid överlämningen.

Vi ger inga juridiska råd, och inget vi bygger garanterar regelefterlevnad. Vi gör systemen lättare att styra, och vi arbetar tillsammans med ert juridiska ombud.

Claus Nielsen

Var du ska börja

Om AI redan används och ingen äger det är första steget en ärlig bild av vad ni har. Vår AI Readiness Assessment startar från €4,500 och granskar er data, era processer och er regulatoriska exponering, så att ni vet var AI lönar sig och var inte. För löpande ägarskap har Fractional Chief AI Officer-avtalet tre nivåer: Advisor från €3,000 per månad, Operating från €6,500 per månad och Embedded från €11,000 per månad.

Byggen prissätts antingen till 30% av första årets besparing, när den har mätts och bevisats, eller till ett fast pris som överenskoms innan arbetet börjar. Ni kan också boka ett kostnadsfritt upptäcktssamtal på 30 minuter via vår huvudwebbplats.

FAQ

Gäller GDPR om vi bara använder ett AI-verktyg från tredje part?

Ja, om personuppgifter förs in i det. Ni är vanligtvis personuppgiftsansvarig och verktygsleverantören är personuppgiftsbiträde, så ni behöver ett avtal, ett ändamål och en rättslig grund, och ni bör veta var datan behandlas. Kontrollera om leverantören använder era indata för att träna sina modeller.

Ersätter EU:s AI-förordning GDPR?

Nej. De gäller sida vid sida. GDPR skyddar personuppgifter, medan AI-förordningen reglerar AI-system efter risknivå. Ett enskilt AI-användningsfall kan utlösa skyldigheter enligt båda, och vissa dokument, till exempel konsekvensbedömningar, kan överlappa.

Behöver vi en DPIA för varje AI-projekt?

Inte nödvändigtvis. Enligt den belgiska tillsynsmyndigheten krävs en DPIA i vissa fall, bland annat vid högriskbehandling och ny teknik. Om ett AI-system behandlar personuppgifter på ett sätt som kan påverka människor allvarligt, genomför en. Fråga ert dataskyddsombud när det är oklart.

Vad måste vi berätta för användare om AI?

Enligt GDPR ska ni förklara vilka personuppgifter ni behandlar och varför. Enligt artikel 50 i AI-förordningen, som är tillämplig sedan 2 August 2026, måste människor informeras när de interagerar direkt med ett AI-system, och AI-genererat innehåll måste märkas i maskinläsbart format. Ert juridiska ombud kan bekräfta vilka delar som gäller för era produkter.

Kan en AI-agent fatta beslut om kunder på egen hand?

För rutinmässiga uppgifter med låg påverkan, ja, inom ramen för behörigheter och med loggar. För beslut med rättsliga eller liknande betydande följder för en person ger GDPR människor rätt att inte bli föremål för enbart automatiserade beslut. Bygg in mänsklig granskning för dessa.

Källor