Får jag mata in kunduppgifter i ett AI-verktyg?.

Först en avgränsning: det här är en praktisk översikt, inte juridisk rådgivning. Är behandlingen omfattande eller känslig — vård, ekonomi, personalärenden — prata med någon som gör det här på riktigt.

Men grundbilden är inte komplicerad, och den missförstås åt båda hållen. En del tror att det är förbjudet. Fler beter sig som att reglerna inte gäller när texten klistras in i ett chattfönster. Integritetsskyddsmyndighetens genomgång av GDPR är den svenska utgångspunkten.

Det är en behandling som vilken som helst

Klistrar du in en kunds namn, mejladress eller ärendebeskrivning i ett AI-verktyg har du överfört personuppgifter till en tredje part. Samma frågor gäller som när du la in kunden i ett CRM:

Krav	Vad det betyder här
Rättslig grund	Varför får du behandla uppgiften? Avtal och berättigat intresse är de vanliga — artikel 6 räknar upp alla sex
Personuppgiftsbiträdesavtal	Leverantören behandlar åt dig och det ska finnas ett avtal om det
Var lagras data	Överföring utanför EU/EES kräver en giltig mekanism
Används den till träning	Blir dina kunduppgifter träningsdata är det en helt annan sak att förklara
Hur länge sparas den	Loggar som ligger kvar i evighet är svåra att motivera
Informationsplikt	Kunden ska kunna veta att behandlingen sker

Den avgörande skillnaden: gratis eller företagsplan

Det här är den mest praktiskt användbara distinktionen, och den flesta känner inte till den.

Kostnadsfria konsumentversioner är byggda för privatpersoner. De saknar normalt biträdesavtal, ger dig ingen kontroll över lagringsplats, och innehållet kan användas för att förbättra tjänsten om du inte aktivt stänger av det — OpenAI beskriver den skillnaden i How your data is used to improve model performance. De är olämpliga för kunduppgifter.

Betalda företags- och API-planer ser typiskt annorlunda ut: biträdesavtal erbjuds, innehåll används inte för träning som standard, och lagringstiden går att styra.

Det som aldrig hör hemma där

Oavsett plan: särskilda kategorier av personuppgifter ska inte in i ett allmänt AI-verktyg. Hälsa, etniskt ursprung, religiös eller politisk uppfattning, facklig tillhörighet, sexualliv, biometri. Personnummer bör behandlas med samma försiktighet i praktiken.

Detsamma gäller sådant som inte är personuppgifter men är känsligt ändå: kundavtal med sekretessklausul, opublicerade priser, kod med hemligheter i.

Vad du gör i praktiken

Avidentifiera först. Nästan allt du vill ha hjälp med behöver inte namnet. “Skriv ett svar till en kund som är missnöjd med att flyttstädningen missade ugnen” fungerar exakt lika bra som samma mening med kundens namn och adress i. Det här löser majoriteten av fallen och kostar tio sekunder.

Använd betald plan för allt som rör verksamheten. Skillnaden i pris är liten jämfört med skillnaden i vad du får skriva in.

Stäng av träning. Även på betalplaner finns ibland en inställning. Kontrollera den, skriv ner att du gjort det.

Skriv en halvsida internt. Vilka verktyg som är godkända, vad som får matas in, vad som aldrig får det. Det är hela styrdokumentet ett litet företag behöver, och det är också vad som gör att alla faktiskt gör samma sak.

Nämn det i integritetspolicyn om du systematiskt behandlar kunduppgifter med AI-stöd.

Den korta versionen

Behandla ett AI-verktyg som vilken molntjänst som helst: rätt avtal, rätt plan, minsta möjliga mängd uppgifter.

Och när du är osäker — ta bort namnet. Nästan alltid blir svaret precis lika bra, och frågan försvinner.