Säkerhet, GDPR och det du aldrig ska klistra in

Tumregeln för inklistring

Klistra aldrig in något du inte skulle mejla till en extern konsult utan avtal. Det betyder i praktiken:

• Personuppgifter om kunder, kollegor eller kandidater – namn, personnummer, hälsouppgifter, ärendedetaljer.
• Affärshemligheter – priser, avtal, strategier som inte är publika.
• Tekniska nycklar – lösenord, API-nycklar, källkod ni inte äger.

Behöver du hjälp med ett sådant underlag: avidentifiera först. Byt namn mot "kunden", stryk siffrorna, behåll strukturen – AI:n gör lika bra jobb på det avidentifierade underlaget, och du har inget att ångra efteråt.

GDPR på en minut

Skillnaden sitter i avtalet, inte i tekniken. Privata gratiskonton på AI-tjänster saknar normalt de avtal (personuppgiftsbiträdesavtal) som GDPR kräver när personuppgifter behandlas – då lämnar uppgifterna er kontroll. Företagsavtal – som Copilot i er egen Microsoft 365-miljö eller företagsversioner av ChatGPT – ger andra villkor.

Så: ta reda på vad er organisation har godkänt och vad policyn säger. Finns ingen policy? Lyft frågan – den som föreslår tre vettiga regler brukar bli tagen på allvar. Övningen längst ner ger dig ett utkast.

Hallucinationer: övertygande fel

Minns del 1: modellen formulerar, den vet inte. Ibland formulerar den fel sak med full självsäkerhet – påhittade källor, fel årtal, uppdiktade citat. Tre vanor räcker långt:

1. Allt som går vidare till kund eller beslut faktagranskas. Inga undantag – det är din text när den lämnar dig.
2. Be alltid om källor – och öppna dem faktiskt. En källa du inte klickat på är ingen källa.
3. Extra vaksam på siffror, namn, citat och juridik. Det är där hallucinationerna gör störst skada.

AI får skriva utkastet – du skriver under.

AI-kunnighet är dessutom ett lagkrav

EU:s AI-förordning (artikel 4) kräver sedan den 2 februari 2025 att företag som använder AI-system vidtar åtgärder som främjar personalens AI-kunnighet – rollbaserat och proportionerligt. Lydelsen skrevs om i juli 2026. Den här kursen är en bra grundnivå; vår guide förklarar vad kravet faktiskt innebär, utan skrämselretorik.

Vanliga frågor

Får jag använda ChatGPT på jobbet?

Det beror på din arbetsgivare, inte på verktyget. Många organisationer tillåter godkända AI-verktyg med tydliga regler; andra har inte tagit ställning än. Finns en policy: läs den. Finns ingen: fråga – och klistra inte in personuppgifter eller affärshemligheter i väntan på svar. Tumregeln i den här delen håller dig på rätt sida oavsett.

Är det ett GDPR-brott att klistra in kunduppgifter i AI-verktyg?

Det kan vara det – särskilt i privata gratiskonton, där de avtal GDPR kräver vid personuppgiftsbehandling (personuppgiftsbiträdesavtal) normalt saknas. Med företagsavtal ser villkoren annorlunda ut, men det är fortfarande organisationens bedömning som gäller. Säkraste vanan: avidentifiera innan du klistrar in, oavsett konto. Det här är utbildningsinnehåll, inte juridisk rådgivning – stäm av mot ert eget dataskyddsarbete.

Vad är en AI-hallucination?

När modellen formulerar felaktig information med full självsäkerhet – påhittade källor, fel årtal, uppdiktade citat. Det är ingen bugg utan en följd av hur språkmodeller fungerar: de formulerar det som passar bäst i sammanhanget, och har ingen inbyggd känsla för när de har fel. Motmedlet är rutin, inte misstro: faktagranska allt som går vidare, och be om källor du faktiskt öppnar.

Det här är utbildningsinnehåll, inte juridisk rådgivning – stäm alltid av mot er egen policy och ert dataskyddsarbete.