Du sitter på vd:ns mejltrådar, mötesanteckningar och beslutsunderlag. Generativa AI-verktyg kan sammanfatta, strukturera och formulera – men frågan är inte bara om det går tekniskt. Frågan är om du får, och under vilka villkor.
Det här är inte en nyhetsartikel om en ny lag som trätt i kraft i november 2026. Det är en praktisk genomgång för dig som arbetar nära ledningen, baserad på vägledning från Integritetsskyddsmyndigheten (IMY), Myndigheten för digital förvaltning (Digg) och på leverantörers egna datavillkor. Juridiska krav, rekommendationer och interna policybeslut blandas lätt ihop – därför håller vi isär dem.
Sju frågor innan du klistrar in underlaget
1. Är verktyget godkänt av din arbetsgivare för just den här typen av material?
Digg betonar att det är arbetsgivaren som genom arbetsledningsrätten bestämmer om och hur generativ AI får användas, och att det ofta behövs interna regler, utbildning och uppföljning. Det kan innebära att vissa verktyg är tillåtna, andra förbjudna, eller att känsliga arbetsuppgifter undantas. Intern policy avgör din vardag – även när ett verktyg är lagligt att använda i största allmänhet.
2. Innehåller texten personuppgifter – och har behandlingen stöd?
När personuppgifter behandlas gäller GDPR. IMY:s rapport GDPR vid användning av generativ AI (5 februari 2025) slår fast att dataskyddet ska vara utgångspunkt, att rättslig grund behövs och att enskildas rättigheter måste kunna tillgodoses. Mejl, mötesanteckningar och personalärenden innehåller ofta namn, kontaktuppgifter eller känsligare uppgifter. Då är det inte ”bara ett utkast till AI”.
3. Var sparas prompten, och används den för träning?
IMY lyfter i sin vägledning bland annat frågorna: sparas det du skriver hos leverantören eller lokalt, överförs uppgifter till tredjeland, och tränas modellen på inmatningen? Det är frågor du behöver få besvarade för det konkreta verktyget och det konkreta avtalet – inte utifrån generella antaganden om ”AI i molnet”.
4. Vad säger leverantörens faktiska villkor för just ditt konto?
Villkor skiljer sig mellan konsumenttjänster och företagsavtal. Microsoft beskriver till exempel att Microsoft Copilot och Microsoft Copilot Chat i organisationsanvändning omfattas av Data Protection Addendum och Product Terms, att Microsoft agerar som personuppgiftsbiträde i den kontexten, och att prompts, svar och Microsoft Graph-data enligt deras åtaganden inte används för att träna grundmodellerna. Det är leverantörens åtaganden, inte ett frikort från intern informationsklassning. Andra verktyg har andra villkor.
5. Har du behörighet till materialet – och skulle verktyget kunna exponera mer än du avsett?
I Microsofts beskrivning av Copilot i Microsoft 365 framgår att verktyget ska respektera befintliga behörigheter och känslighetsetiketter: du ska bara nå innehåll du redan har rätt att se. Det minskar vissa risker, men tar inte bort behovet av omdöme. Ett sammanfattat underlag kan fortfarande spridas vidare till fel mottagare, eller blandas med webbkontext i andra Copilot-lägen.
6. Finns mänsklig kontroll innan något går till ledningen eller vidare i organisationen?
IMY påpekar att generativa modeller kan ”hallucinera” – hellre gissa än säga att de inte vet – och att mänsklig kontroll behövs i processen. Digg lyfter samma poäng ur arbetsgivarperspektiv: medarbetare behöver kompetens att bedöma AI-genererat material, inte bara trycka på knappen. För dig som assistent betyder det: läs igenom, rätta fakta och markera osäkerheter innan sammanfattningen når vd:n.
7. Har du frågat den som äger informationen – eller den funktion som äger policyn?
Vid tveksamhet: fråga chefen, informationssäkerhet, dataskydd eller IT innan du matar in styrelseunderlag, personalärenden, förhandlingsmaterial eller oannonserade affärsplaner. Digg rekommenderar uttryckligen att arbetsgivaren är tydlig med hur AI inte får användas. Saknas svar är det säkrare att utgå från att känsligt material stannar utanför verktyget.
Checklista du kan använda i morgon
- Godkänt verktyg för denna informationsklass?
- Personuppgifter / sekretess / insiderinformation?
- Var lagras prompten och svaren – och tränas modell?
- Finns personuppgiftsbiträdesavtal eller motsvarande för just den tjänsten?
- Kan jag motivera behörigheten till varje bilaga jag matar in?
- Har en människa granskat resultatet innan vidare distribution?
Vill du gå djupare i verktygsfrågan finns våra tidigare artiklar om Microsoft Copilot i assistentrollen och om AI-kompetens nära ledningen.
Källor: IMY, GDPR vid användning av generativ AI (IMY-2024-9162), 5 februari 2025, imy.se; IMY, ”Generativ AI och personuppgiftsansvar”, imy.se/blogg; Digg, riktlinje om arbetsplats och generativ AI, digg.se; Microsoft Learn om Enterprise Data Protection respektive data protection architecture för Copilot.
