EU AI Act och GDPR: vad krävs när ni bygger AI?

När ett företag bygger eller beställer en AI-lösning ställer GDPR och AI-förordningen, EU AI Act, krav på själva bygget: företaget ska veta vilken roll det får, göra en konsekvensbedömning när flödet behandlar personuppgifter med hög risk, hålla beslut om människor under verklig mänsklig prövning, tala om för den som möter lösningen att det är en AI, välja var datan behandlas och logga så att flödet går att granska. GDPR gäller så fort personuppgifter behandlas, och AI-förordningen styr AI-systemet efter hur riskfyllt det är.

Genomgången utgår från GDPR och AI-förordningen i lydelsen i oktober 2026, inklusive ändringsförordningen (EU) 2026/1744. Kommissionens förslag från november 2025 om ändringar i GDPR var då ännu inte antaget. Texten ersätter inte juridisk rådgivning.

Den som tar en beställd AI-lösning i drift under eget namn är normalt dess leverantör enligt AI-förordningen och personuppgiftsansvarig enligt GDPR, även när någon annan skriver koden.

Vilken roll får ni enligt AI-förordningen?

Leverantör är enligt artikel 3.3 den som utvecklar ett AI-system, eller låter utveckla det, och tar det i bruk i eget namn. Tillhandahållare, på engelska deployer, är enligt artikel 3.4 den som använder ett AI-system under eget överinseende i sin verksamhet. Tre upplägg är vanliga:

• Färdig tjänst som används som den är: ni är tillhandahållare.
• Lösning som byggs åt er och tas i drift under ert namn: ni är normalt leverantör, även när språkmodellen kommer från någon annan.
• Allmänt AI-system som ni börjar använda för ett högriskändamål, eller ett högrisksystem som ni ändrar väsentligt: ni blir leverantör enligt artikel 25.1.

Rollen får stor betydelse först för högrisksystem, som huvudregel system inom områdena i bilaga III, bland annat urval av jobbsökande och bedömning av privatpersoners kreditvärdighet. Där kräver artikel 16 från den 2 december 2027 bland annat riskhantering, teknisk dokumentation, loggning och mänsklig kontroll, och de kraven behöver in i designen från början.

Enligt GDPR är ni personuppgiftsansvariga och den som bygger åt er normalt personuppgiftsbiträde, som i IMY:s exempel om extern AI-utveckling. Biträdesavtalet och ansvarsfördelningen hör till kravställningen.

Behövs en konsekvensbedömning (DPIA)?

En konsekvensbedömning avseende dataskydd ska enligt GDPR artikel 35 göras före en behandling som sannolikt leder till hög risk, särskilt när ny teknik används. IMY:s förteckning från 2019 kräver den när minst två av nio kriterier är uppfyllda, och två av dem ligger nära till hands i AI-byggen: ny teknik och personer i beroendeställning, där anställda nämns uttryckligen. En assistent som läser anställdas mejl uppfyller därmed sannolikt två. Bedömer ni att risken ändå inte är hög bör skälen dokumenteras.

Enligt artikel 35.7 ska bedömningen beskriva behandlingen, pröva om den är nödvändig och proportionerlig och ange risker och åtgärder. För en AI-lösning betyder det:

• vilka personuppgifter modellen ser och varifrån, vilken modell och leverantör som används och var behandlingen sker
• om färre eller pseudonymiserade uppgifter räcker
• risker som påhittade uppgifter om en person, data som når fel användare och för stor tilltro till förslagen
• åtgärder som biträdesavtal utan träning på er data, behörigheter som följer användarens, granskning innan utdata får verkan och gallring av loggar

Kvarstår en hög risk trots åtgärderna ska IMY konsulteras innan behandlingen börjar, enligt artikel 36. Görs bedömningen i förstudien blir åtgärderna krav i bygget i stället för tillägg efteråt.

Fattar flödet automatiserade beslut?

GDPR artikel 22 ger den registrerade rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling och som har rättsliga eller liknande betydande följder, till exempel ett automatiskt avslag på en kreditansökan, en spärr av kundkontot vid misstänkt bedrägeri eller bortsortering av jobbsökande. Att poängen räknas fram av någon annan gör inte flödet fritt från artikel 22: i SCHUFA-domen, mål C-634/21 fastslog EU-domstolen den 7 december 2023 att redan framtagandet av ett sannolikhetsvärde är ett automatiserat beslut när mottagaren i avgörande grad grundar sitt beslut på det.

En människa som bara bekräftar räcker inte. Enligt de europeiska dataskyddsmyndigheternas riktlinjer om automatiserat beslutsfattande (WP251rev.01, 2018) ska prövningen vara meningsfull och göras av någon med befogenhet och kompetens att ändra beslutet. Klassa därför varje beslutspunkt:

1. Inga följder för en enskild person, som sortering av inkommande post: kan automatiseras fullt ut.
2. Förslag med verklig prövning: handläggaren ser hela underlaget och har tid och mandat att ändra utfallet. Logga ändringarna och följ andelen ändrade förslag. Går den mot noll är antingen modellen mycket bra eller prövningen en ren signatur.
3. Helt automatiserat beslut: kräver stöd i artikel 22.2 (nödvändigt för ett avtal, tillåtet i lag eller uttryckligt samtycke) och skyddsåtgärderna i 22.3, alltså personlig kontakt och rätt att framföra sin åsikt och bestrida beslutet. I regel krävs också en DPIA.

Skriv förklaringen innan modellen byggs. Enligt EU-domstolen i mål C-203/22 den 27 februari 2025 ska personen vid ett automatiserat beslut kunna få en begriplig förklaring av förfarandet och principerna bakom det. Hur kontrollpunkterna byggs beskrivs i AI-agenter i drift.

När måste ni tala om att det är AI?

Transparenskraven i artikel 50 gäller sedan den 2 augusti 2026. Enligt 50.1 ska leverantören utforma ett system som interagerar direkt med människor så att de får veta att de talar med en AI, om det inte är uppenbart. En egen kundtjänstassistent eller röstagent under ert namn gör det till ert designkrav, medan kravet för en köpt tjänst ligger på leverantören. Enligt 50.5 ska informationen ges tydligt senast vid första kontakten, i chattens första meddelande eller röstagentens hälsning och inte i villkoren.

Genererar lösningen text, bild, ljud eller video kräver 50.2 också maskinläsbar märkning av utdata, utom bland annat vid hjälp med vanlig redigering, och system som fanns på marknaden före den 2 augusti 2026 har till den 2 december 2026 på sig. Hur märkningen görs är en fråga till modelleverantören redan i förstudien, och den uppförandekod för transparens som kommissionen bedömt som tillräcklig beskriver metoderna.

Den som använder systemet ska enligt 50.4 upplysa om deepfakes och om AI-text som publiceras för att informera allmänheten i frågor av allmänt intresse, utom när texten granskats av en människa och någon bär det redaktionella ansvaret. Offerter och svar till enskilda kunder träffas inte av det kravet. Hur en chattbot lämnar över till en människa beskrivs i AI i kundservice.

Var lagras och behandlas datan?

Var datan lagras och var den behandlas är två olika frågor: ett dokument kan ligga i ett svenskt datacenter och ändå skickas till en modell i ett annat land när någon ber en assistent sammanfatta det. I Amazon Bedrock kan en global inferensprofil skicka anropet till vilken av AWS kommersiella regioner som helst och är ungefär tio procent billigare, medan en EU-profil håller behandlingen inom EU, enligt AWS dokumentation i oktober 2026. Behandling inom EU är alltså ett val i bygget, och motsvarande val i Microsofts tjänster beskrivs i integrera AI i befintliga system.

Skickas personuppgifter till ett land utanför EU och EES krävs stöd i GDPR:s kapitel V, för amerikanska leverantörer till exempel ramen för dataskydd mellan EU och USA från den 10 juli 2023, som gäller anslutna företag, eller standardavtalsklausuler. En EU-region flyttar behandlingen men inte bolagets hemvist: enligt CLOUD Act ska en amerikansk leverantör, när amerikanska myndigheter begär det med stöd av lag, lämna ut data den kontrollerar oavsett var den finns. För de känsligaste uppgifterna kan därför en europeisk leverantör eller en modell i egen miljö vara motiverad.

Vad ska loggas, och vem behöver kunna lösningen?

Loggarna visar i efterhand vilket underlag modellen fick, vad den föreslog och vem som godkände eller ändrade. För högrisksystem kräver artikel 12 automatisk loggning, och artiklarna 19 och 26.6 kräver att loggarna sparas i minst sex månader. För övriga system saknas ett generellt loggkrav i AI-förordningen, men GDPR:s ansvarsskyldighet i artikel 5.2 kräver att ni kan visa att behandlingen följer reglerna. Utan loggar blir det svårt att belägga att prövningen är verklig och att besvara en begäran om tillgång inom den månad som artikel 12.3 ger. Loggar med personuppgifter behöver samtidigt en gallringsregel.

Artikel 4 om AI-kunnighet gäller sedan den 2 februari 2025. Sedan den 27 juli 2026 kräver den inte längre att personalen har tillräcklig AI-kunnighet. Leverantörer och tillhandahållare ska i stället vidta åtgärder för att främja AI-kunnigheten hos dem som driver och använder systemen, och behöver inte garantera en viss nivå hos enskilda. I ett bygge hör därför utbildningen av användare och granskare till leveransen: vad lösningen gör, var den kan ha fel och när ett förslag ska avvisas. Driften efter lanseringen beskrivs i AI-förvaltning.

Hur blir reglerna krav i bygget?

Frågorna går att besvara per flöde innan något byggs, och förstudien är rätt plats för dem: roll, behov av DPIA, beslutspunkter, AI-upplysning, var datan behandlas och vad som loggas. Hos Byron Calles är förstudien, AI-strategi, första fasen i bygget, och i AI-utveckling byggs svaren in i lösningen. Vägen till drift beskrivs i automatisera processer med AI, och varför regelfrågorna hör hemma redan i piloten i AI-pilot för produktion.

Vill ni veta vad ert planerade AI-flöde kräver innan bygget börjar? Boka ett samtal, så går vi igenom roll, data och beslutspunkter för flödet.