AI-dokumentsökning och GDPR: Hur känsliga företagsdata förblir skyddade

En AI-dokumentsökning söker ofta just i de handlingar som är mest känsliga: avtal, personalakter, interna riktlinjer och delvis kunddata. Därmed står det från början klart att GDPR gäller fullt ut. Fyra punkter avgör i praktiken om det är tillåtet: behandlingsplats, åtkomsträttigheter, personuppgiftsbiträdesavtal och modellträning.

1. Var bearbetas dokumenten?

Behandlingsplatsen är den viktigaste faktorn. Om dokumenten förblir inom den tyska respektive europeiska infrastrukturen, bortfaller de अतिरिक्त kraven för tredjelandsöverföringar. Om en modell drivs utanför EU krävs en hållbar överföringsgrund – för känsliga avtals- eller personalhandlingar en risk som oftast kan undvikas genom att från början säkerställa behandling inom EU.

2. Överta åtkomsträttigheter 1:1

En AI-dokumentsökning får inte skapa någon ny, egen åtkomstlogik. Rätt konfigurerad övertar den de befintliga behörigheterna från mappstrukturen eller dokumenthanteringssystemet: Den som i dag inte får öppna en personalakt ska inte heller få ett svar ur den via sökningen. Denna övertagning är ingen bonus, utan en förutsättning för en dataskyddskonform drift.

3. Personuppgiftsbiträdesavtal

Om sökningen drivs via en tjänsteleverantör krävs ett personuppgiftsbiträdesavtal (AVV) enligt artikel 28 i GDPR. Det reglerar ändamål, omfattning, tekniska och organisatoriska åtgärder samt eventuella underbiträden.

4. Används uppgifterna för träning?

En punkt som ofta förbises: Vissa leverantörer använder uppladdade dokument för att träna. För företagsdokument är detta i regel oönskat. Avtalsmässigt bör det därför uttryckligen uteslutas att kunddata används för träning av externa AI-modeller.

Praktiskt exempel: Checklista före utrullning

Innan införandet klargörs vanligtvis: Vilka dokumentklasser som över huvud taget kopplas in (vissa personalhandlingar medvetet inte), var behandlingen sker, hur personuppgiftsbiträdesavtalet är utformat, och om undantaget från modellträning är avtalsmässigt fastställt. Först därefter börjar indexeringen.

Vanliga frågor om AI-dokumentsökning och GDPR

Ser alla användare samma sökresultat?

Nej. En korrekt konfigurerad AI-dokumentsökning övertar de befintliga åtkomsträttigheterna – resultaten skiljer sig beroende på den frågande personens behörighet.

Används våra dokument för att träna AI:n?

Inte vid en korrekt avtalsreglerad lösning. Det bör uttryckligen avtalas – inte alla leverantörer utesluter detta utan att man frågar.

Måste behandlingen ske i Tyskland?

Det är inte obligatoriskt, men det förenklar i hög grad efterlevnaden av GDPR, eftersom de अतिरिक्त kraven för överföring till tredjeland bortfaller.

Behöver vi ett personuppgiftsbiträdesavtal (AVV) om vi hostar lösningen själva?

Nej – ett personuppgiftsbiträdesavtal behövs bara om en extern tjänsteleverantör behandlar uppgifterna för er räkning. Vid egen drift bortfaller denna punkt, men driftsinsatsen ökar.

Nästa steg

Detaljer om behandlingen på produktsidan AI-dokumentsökning. Dataskyddsfrågor klargör vi inom ramen för införandet.

Uppdaterad: september 2026. Denna artikel är en allmän vägledning och ersätter inte juridisk rådgivning i det enskilda fallet.