Hur ser ansvarsfördelningen ut utifrån GDPR när vi använder AI-tjänster?

Juristens svar

Enligt IMY:s slutrapport från expressandlåda för dataskydd beror rollfördelningen på vem som faktiskt bestämmer över ändamålen och medlen för en personuppgiftsbehandling.  

Om ni använder en AI-applikation i er verksamhet och ni själva bestämmer varför AI-applikationen används, vilka uppgifter som matas in och hur resultatet ska hanteras, förblir ni personuppgiftsansvariga. AI-leverantören utgör ett personuppgiftsbiträde om leverantören behandlar personuppgifter uteslutande för er räkning och enligt era dokumenterade instruktioner. 

Om AI-leverantören finjusterar sin AI-modell som ett led i sin egen produktutveckling och själv avgör att en finjustering ska ske, vilket träningsmaterial som ska användas och hur modellen ska anpassas, är leverantören personuppgiftsansvarig för denna del av behandlingen.  

Ett gemensamt personuppgiftsansvar kan uppstå när ni och AI-leverantören tillsammans bestämmer syftet med och medlen för behandlingen, exempelvis vid gemensam utveckling eller träning av en AI-modell.

Om leverantören enbart säljer hårdvara eller förmedlar en färdig applikation utan att någonsin behandla personuppgifter eller få åtkomst till era system, saknar leverantören enligt IMY:s slutrapport en roll enligt GDPR.

Publicerad 3 nov 2026

Laura Gashi

Rådgivare, jurist