Vad ni behöver ha på plats innan ni släpper in AI på företagets data.

Frågan kommer nästan alltid i samma form. Någon säger att de gärna vill testa, och sedan kommer meningen efter: men vi kan väl inte lägga in vår kunddata i något sånt där.

Det är rätt fråga. Den är bara ställd för brett. Det finns inget generellt svar på om "AI" är säkert, lika lite som det finns ett generellt svar på om "internet" är säkert. Det som avgör är vilka uppgifter som lämnar era system, till vem, under vilket avtal och med vilken möjlighet att visa i efterhand vad som hände.

Sex saker avgör det. De går att gå igenom på en timme.

1. Vet vilka uppgifter som faktiskt lämnar huset

Börja aldrig i tekniken. Börja i flödet. Ta en syssla ni gör för hand idag, till exempel att någon läser inkommande fakturor och lägger upp dem för attest, och skriv ned vilka fält som behöver läsas för att sysslan ska bli gjord.

Nästan alltid visar det sig att flödet behöver mindre än ni trodde. Ett belopp, ett organisationsnummer, ett datum och ett kontonummer räcker för att styra en faktura rätt. Det behöver inte se hela avtalet, och det behöver definitivt inte se er lönelista.

Den här övningen är inte juridik. Den är den billigaste riskminskningen som finns, för varje uppgift ni inte skickar är en uppgift ni inte behöver skydda.

2. Personuppgiftsbiträdesavtal med den som behandlar

Innehåller flödet personuppgifter, och det gör de flesta flöden som rör kunder, leverantörer eller anställda, är ni personuppgiftsansvariga. Den som behandlar uppgifterna åt er är personuppgiftsbiträde, och då krävs ett skriftligt personuppgiftsbiträdesavtal. Det gäller er leverantör av automationen, och det gäller varje underleverantör i kedjan.

GDPR har inte ändrats av att AI kom. Reglerna är samma som när ni skrev avtal med ert lönesystem. Det som ändrats är att kedjan ofta är längre och att fler i den sitter utanför EU.

Praktisk regel: om ingen kan visa er avtalet på tio minuter finns det förmodligen inte.

3. Var driften ligger

Fråga var tjänsten körs, inte var leverantören har sitt kontor. Ligger behandlingen utanför EU behöver ni en giltig grund för överföringen, och den ska vara dokumenterad innan ni börjar, inte hittas i efterhand när någon frågar.

För de flesta ekonomi- och adminflöden finns idag ett rimligt alternativ inom EU. När det inte gör det är det ett medvetet val, och det valet ska stå i klartext i er dokumentation tillsammans med skälet.

4. Tränar någon på ert material

Det här är den enskilt viktigaste frågan att ställa, och den enklaste att få svar på. Skickas ert innehåll in i träningen av en modell, eller behandlas det bara för att svara just er, just den gången?

Skillnaden är avgörande och den är inte teknisk, den är avtalsmässig. Samma modell kan säljas på båda sätten. Kräv svaret skriftligt, med hänvisning till var i villkoren det står.

5. Kan ni visa i efterhand vad som hände

Ett flöde som fattar beslut åt er behöver logga vad det gjorde och när. Inte för myndigheternas skull i första hand, utan för er egen. Den dag en kund undrar varför en order hanterades på ett visst sätt är skillnaden mellan ett svar och en gissning att någon skrev en logg.

Detta är också det billigaste stället att spara in på, och det ångrar sig alltid.

6. Vem hos er som får göra vad

Bestäm innan ni börjar vem som får ändra i flödet, vem som får se loggarna och vem som stänger av det om något går fel. Skriv ned det. På ett bolag med tjugo anställda tar det tio minuter och det är den enda delen av arbetet som inte går att köpa in.

Vad AI-förordningen faktiskt kräver av er

EU:s AI-förordning har rullats ut i steg sedan den trädde i kraft den 1 augusti 2024. Den 2 februari 2025 började de förbjudna användningarna gälla, tillsammans med kravet på att de som arbetar med AI ska ha tillräcklig kunskap om den. Den 2 augusti 2025 kom reglerna för generella AI-modeller. Den 2 augusti 2026, alltså nyss, blev förordningen i princip tillämplig fullt ut, och den svenska kompletterande lagstiftningen faller på plats vid samma tidpunkt.

Tillsynen delas mellan flera befintliga myndigheter i stället för att samlas hos en ny. Post- och telestyrelsen har föreslagits som samordnande marknadskontrollmyndighet, medan Integritetsskyddsmyndigheten behåller ansvaret för personuppgiftsdelen. Kontrollera upplägget när ni skriver er egen dokumentation, eftersom delar av det fortfarande rör sig.

Det som troligen gäller er

Förordningen delar in system efter risk, och kraven följer risken. Ett automationsflöde som förbereder fakturor för attest, sorterar en inkorg eller sammanställer en månadsrapport hamnar normalt inte i högriskkategorin. Högrisk handlar om sådant som påverkar människors tillgång till arbete, utbildning, krediter eller myndighetsbeslut.

Två saker träffar er ändå:

• Kravet på AI-kompetens. De hos er som arbetar med systemet ska förstå vad det gör och var det brister. Det behöver inte vara en kurs. Det behöver vara att den som använder flödet vet vad det inte klarar.
• Transparens mot den som möter systemet. Talar en kund med något automatiserat ska det framgå att det är automatiserat.

Använder ni AI i rekrytering, kreditbedömning eller något som avgör en persons tillgång till en tjänst är läget ett annat, och då ska ni ta juridisk hjälp. Det är inte den här artikeln.

Det som inte är ett problem

En sak till, eftersom oron ofta hamnar fel. Att automatisera ett flöde är i sig ingen ökad risk. Ett manuellt flöde där en person kopierar personuppgifter mellan tre system, mejlar en fil till sig själv och sparar den lokalt är i praktiken sämre skyddat än ett byggt flöde med bestämd behörighet och logg.

Frågan är inte om uppgifterna hanteras av en maskin. Frågan är om någon vet var de tog vägen.

Checklistan

1. Skriv ned vilka fält flödet faktiskt behöver läsa. Ta bort resten.
2. Begär personuppgiftsbiträdesavtal, inklusive underleverantörer.
3. Fråga var behandlingen sker rent geografiskt, och dokumentera svaret.
4. Få skriftligt att ert material inte används till träning.
5. Kräv logg över vad flödet gjorde och när.
6. Bestäm vem hos er som får ändra, se och stänga av.

Den här texten är en praktisk genomgång, inte juridisk rådgivning. Rör ert flöde rekrytering, kredit eller myndighetsutövning bör en jurist läsa upplägget innan ni bygger.