Den som leder kundservice på ett svenskt e-handels- eller tjänsteföretag får förr eller senare frågan från ledningen, IT eller en kund: får vi verkligen låta en AI läsa våra ärenden? Frågan är rimlig. Ärenden innehåller namn, ordernummer, adresser och ibland känsligare saker än så, och två regelverk styr samtidigt: dataskyddsförordningen (GDPR) och EU:s AI-förordning. Den här artikeln går igenom vad som gäller i praktiken. Den är inte juridisk rådgivning; stäm av med ert dataskyddsombud eller en jurist innan ni skriver på.
Vilken rättslig grund har ni för kunddata i kundservicen?
Den vanligaste grunden är avtalet med kunden, och där avtalet inte räcker används oftast en intresseavvägning. GDPR kräver att varje behandling av personuppgifter vilar på en av sex rättsliga grunder, enligt IMY. När en kund hör av sig om en försenad leverans behandlar ni namn, ordernummer och adress för att fullgöra köpet, och det är avtalsgrunden. När samma kund ställer en fråga före köp, eller när ni sparar ärendehistorik för att kunna hantera en reklamation senare, är det ofta ett berättigat intresse: ni har ett legitimt skäl, behandlingen är nödvändig för det, och kundens intresse av skydd väger inte tyngre.
Två saker följer av det. Samtycke är sällan rätt grund för kundservice, eftersom kunden inte kan välja bort att bli hjälpt och ett samtycke ska kunna återkallas när som helst. Och grunden ska finnas dokumenterad i er registerförteckning innan ni byter verktyg, inte efteråt.
Vad gäller när en AI läser ärenden: biträde och PUB-avtal
Att låta en AI-tjänst läsa ärenden är i regel samma behandling som ni redan gör, utförd med ett nytt verktyg, och leverantören blir ert personuppgiftsbiträde. Ett personuppgiftsbiträde är den som behandlar personuppgifter för den ansvariges räkning; IMY:s eget exempel är en molntjänst som lagrar och analyserar uppgifter åt ett företag (IMY, Vad är ett personuppgiftsbiträde). Ni är fortfarande personuppgiftsansvariga. Det betyder att ni bestämmer ändamål och medel, och att ni svarar för att behandlingen är laglig även när ett verktyg gör jobbet.
Förhållandet ska regleras i ett personuppgiftsbiträdesavtal, i dagligt tal PUB-avtal. Artikel 28.3 i GDPR anger minimikraven, bland annat att biträdet bara får behandla uppgifter enligt era dokumenterade instruktioner, inklusive eventuella överföringar till tredjeland, och att personalen har tystnadsplikt (IMY om personuppgiftsbiträdesavtal). IMY:s vägledning om GDPR och AI har ett eget avsnitt om personuppgiftsansvar vid AI, och grundfrågan är densamma: vem bestämmer över vad.
Var får kunddata lagras, och får leverantören träna på den?
Enklast är att uppgifterna stannar inom EU/EES; allt annat kräver en särskild grund för överföringen. Inom EU/EES kan personuppgifter flyttas fritt eftersom alla länder omfattas av samma dataskydd. En överföring till tredjeland, alltså ett land utanför EU/EES, är tillåten bara om EU-kommissionen har beslutat att landet har adekvat skyddsnivå eller om lämpliga skyddsåtgärder finns, till exempel standardavtalsklausuler, och IMY påpekar att användning av molntjänster ofta innebär just en sådan överföring (IMY om överföring till tredjeland). Fråga därför inte bara var databasen står, utan även var språkmodellen körs och var loggar hamnar.
Modellträning är en separat fråga. Att använda kundärenden för att träna eller förbättra leverantörens egna modeller är ett nytt ändamål. Det kräver en egen rättslig grund och en egen prövning mot principerna om ändamålsbegränsning och uppgiftsminimering, som IMY lyfter fram som de två svåraste att uppfylla i AI-sammanhang (IMY, AI och grundläggande principer). Europeiska dataskyddsstyrelsen (EDPB) skriver i sitt yttrande 28/2024 att berättigat intresse kan vara en möjlig grund för att utveckla och använda AI-modeller, men bara om behandlingen visas vara strikt nödvändig och avvägningen mot de registrerades rättigheter håller. För ett kundserviceteam är slutsatsen enkel: utgångspunkten ska vara att era ärenden inte används för träning alls, och det ska stå i avtalet.
Vad är skillnaden mellan hjälpcentrets kunskap och personuppgifter i ärenden?
Hjälpcentrets artiklar är publik kunskap utan personuppgifter, medan ärenden är personuppgifter, och de två ska hanteras olika. En artikel om returvillkor, leveranstider eller hur man byter lösenord säger ingenting om någon enskild person. Den kan läsas av vem som helst, indexeras av Google och användas av en chattbot utan att GDPR aktiveras. Ett ärende innehåller nästan alltid namn, e-postadress och ordernummer, och ibland uppgifter om hälsa eller ekonomi, och är personuppgifter från första raden.
Den skillnaden är arkitektur, inte bara juridik. En chattbot som svarar utifrån en granskad kunskapsbas behöver inte se några ärenden alls för att svara på de vanliga frågorna, medan en AI som föreslår svar i inkorgen per definition läser personuppgifter. Vill ni att en chattbot ska svara utan att gissa är det kunskapsbasen som ska vara källan, och ärendena som ska vara det som skyddas. Se därför till att ingen klistrar in ärendetext i en hjälpartikel.
Vad kräver AI-förordningen av en chattbot i kundservice?
Kunden ska få veta att den pratar med en AI, och det kravet gäller sedan den 2 augusti 2026. EU:s AI-förordning, förordning (EU) 2024/1689 (EUR-Lex), är riskbaserad: vissa system är förbjudna, högrisksystem har omfattande krav, och en bredare grupp system har transparenskrav. En chattbot i kundservice är normalt inte högrisk, men den omfattas av artikel 50. Enligt EU-kommissionens frågor och svar om artikel 50 ska ett AI-system som är avsett att interagera direkt med människor utformas så att personerna informeras om att de interagerar med en AI, och för en chattbot ska informationen ges före eller i början av samtalet. Skyldigheterna gäller från den 2 augusti 2026.
Under 2026 ändrades AI-förordningen genom det så kallade digitala omnibuspaketet, som sköt fram skyldigheterna för högrisksystem till december 2027 respektive augusti 2028. Transparenskraven i artikel 50 för chattbotar flyttades inte; det enda som sköts fram var märkningen av AI-genererat innehåll för system som redan fanns på marknaden, till den 2 december 2026, enligt advokatbyrån Gibson Dunns genomgång av överenskommelsen. Har ni en chattbot i kundservice i dag gäller alltså kravet redan.
Praktiskt handlar det om en tydlig text när chatten öppnas ("Du chattar med vår AI-assistent") och en väg vidare till en människa. Överlämning är inte ett uttryckligt krav i artikel 50, men det är vad som gör transparensen meningsfull.
Vad ska ni fråga en leverantör?
Ställ frågorna skriftligt och spara svaren; de blir underlag för registerförteckningen och en eventuell konsekvensbedömning.
- Är ni personuppgiftsbiträde för oss, och finns ett PUB-avtal som uppfyller artikel 28.3?
- Var lagras ärenden, var körs språkmodellen och var hamnar loggar? Är allt inom EU/EES, och i annat fall med vilken skyddsåtgärd?
- Vilka underbiträden används, och hur får vi veta i förväg när ett byts?
- Används våra ärenden för att träna eller förbättra era modeller? Svaret ska vara nej, och det ska stå i avtalet.
- Hur länge sparas ärenden, promptar och svar, och hur raderar vi?
- Hur styrs behörigheter, så att AI:n bara ser det som den medarbetare som använder den får se?
- Hur uppfyller chattbotten transparenskravet i artikel 50?
- Hur hanteras en personuppgiftsincident, och inom vilken tid får vi besked?
Svaren ska stämma med det leverantören publicerar öppet. Hur vi själva svarar på de här frågorna finns på vår sida om säkerhet och datalagring.
Så gör ni
Det här kan ni göra den här veckan utan att köpa något.
- Slå upp kundservice i er registerförteckning. Står den rättsliga grunden där, och stämmer den med hur ni faktiskt arbetar?
- Lista alla verktyg som i dag rör ett ärende: ärendesystem, e-post, chatt, telefoni, eventuella AI-tillägg. Finns PUB-avtal med var och en?
- Skilj kunskap från ärenden. Gå igenom hjälpcentret och stryk allt som innehåller personuppgifter från verkliga ärenden.
- Öppna er chatt som kund. Framgår det före eller i början av samtalet att det är en AI? Om inte, lägg till texten nu.
- Skicka leverantörsfrågorna ovan till era befintliga leverantörer, inte bara nya, och gå igenom svaren med dataskyddsombudet eller en jurist.
Vanliga frågor
Behöver vi kundens samtycke för att låta en AI läsa ärendet?
Normalt inte. Samma rättsliga grund som för kundservicen i övrigt gäller, oftast avtalet med kunden eller ett berättigat intresse, eftersom AI:n är ett verktyg för samma ändamål. Samtycke passar dåligt i kundservice eftersom det ska kunna återkallas och kunden inte kan välja bort att få hjälp. Däremot ska kunden informeras i er integritetspolicy om att ärenden behandlas med automatiserat stöd och av vilka biträden.
Får AI-leverantören lagra data i USA?
Bara om överföringen har stöd i GDPR. Det kan vara EU-kommissionens beslut om adekvat skyddsnivå för mottagaren eller lämpliga skyddsåtgärder som standardavtalsklausuler, kompletterade med en bedömning av riskerna. Enklast och mest förutsägbart är att ärenden, språkmodell och loggar stannar inom EU/EES. Fråga leverantören uttryckligen om alla tre, eftersom det är vanligt att databasen står i EU medan modellen körs någon annanstans.
Måste vår chattbot säga att den är en AI?
Ja. Artikel 50 i AI-förordningen kräver att den som interagerar med ett AI-system informeras om det, om det inte är uppenbart, och för en chattbot ska informationen ges före eller i början av samtalet. Kravet gäller från den 2 augusti 2026 och sköts inte fram i 2026 års ändringar. Sätt en tydlig text i chattens första meddelande och erbjud alltid en väg till en människa.
Vem är ansvarig om AI:n svarar fel om en kund?
Ni, som personuppgiftsansvariga och som avtalspart gentemot kunden. Leverantören ansvarar enligt PUB-avtalet för sin del av behandlingen, men det är ert företag som svarar för vad som sägs till kunden. Därför bör AI-svar i ärenden som rör pengar, avtal eller känsliga uppgifter granskas av en människa innan de skickas.
Källor
- Rättslig grund för behandling av personuppgifter — Integritetsskyddsmyndigheten (IMY), läst 2026
- Vad är ett personuppgiftsbiträde och när är man det? — Integritetsskyddsmyndigheten (IMY), läst 2026
- Personuppgiftsbiträdesavtal — Integritetsskyddsmyndigheten (IMY), läst 2026
- AI och personuppgiftsansvar, vägledning om GDPR och AI — Integritetsskyddsmyndigheten (IMY), läst 2026
- AI och grundläggande principer, vägledning om GDPR och AI — Integritetsskyddsmyndigheten (IMY), läst 2026
- Överföring av personuppgifter till tredjeland — Integritetsskyddsmyndigheten (IMY), läst 2026
- Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models — Europeiska dataskyddsstyrelsen (EDPB), 2024
- Europaparlamentets och rådets förordning (EU) 2024/1689 (AI-förordningen) — EUR-Lex, 2024
- Transparency obligations under Article 50 of the AI Act — EU-kommissionen, läst 2026
- EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines and Other Key Changes — Gibson Dunn, 2026
Rickard Collander
Martin Carlsson