Dokumenthantering med höga dataskyddskrav: Vad du bör tänka på

Ett dokumenthanteringssystem (DMS) med höga dataskyddsstandarder känner du igen på sju kännetecken: behandling inom EU, personuppgiftsbiträdesavtal, detaljerade åtkomsträttigheter, kryptering, fullständig loggning, ett raderings- och bevarandekoncept samt revisionssäker arkivering.Om systemet innehåller AI-funktioner måste det dessutom vara uteslutet att era dokument används för att träna externa modeller.

För vilka höga dataskyddsstandarder är särskilt viktiga

• Sociala verksamheter, vård och hälsa: Hälso- och socialdata är särskilt skyddade.
• Advokatbyråer och skatterådgivning: Yrkeshemligheter och klientdata.
• Kommuner och förvaltning: Medborgardata och ärenden med rättsverkan.
• Personalavdelningar: Ansökningar, avtal, hälsoinformation.
• Företag med affärshemligheter: Avtal, kalkyler, konstruktioner.

De sju kriterierna i detalj

1. Behandlingsplats

Var finns data, säkerhetskopior och behandling? En behandling i Tyskland eller inom EU förenklar den rättsliga bedömningen avsevärt. Fråga också efter supportåtkomst från tredjeländer.

2. Personuppgiftsbiträdesavtal

Utan AVV enligt artikel 28 i GDPR får du inte lägga personuppgiftsdokument i ett molnbaserat DMS. Be att få se listan över underleverantörer.

3. Åtkomsträttigheter

Rättigheter bör kunna tilldelas på mapp-, dokument- och rollnivå. Den som inte får se ett dokument ska inte heller kunna hitta det i sökresultat eller AI-svar.

4. Kryptering

Krypterad överföring är obligatorisk, krypterad lagring bör vara standard.

5. Loggning

Vem har öppnat, ändrat eller raderat vilket dokument och när? Loggar är viktiga för dataskyddsförfrågningar, säkerhetsincidenter och granskningar.

6. Radering och bevarande

GDPR kräver att uppgifter raderas när ändamålet upphör; handels- och skatterätten kräver däremot bevarande – för bokföringsunderlag sedan 2025 åtta år. Ett bra DMS hanterar båda med bevarandetider och raderingsregler av.

7. Revisionssäkerhet

Skattemässigt relevanta dokument måste enligt GoBD arkiveras oföränderligt och spårbart. Mer om detta i Digital arkivering i företaget.

AI i DMS: ytterligare frågor

• Var kör språkmodellen – hos DMS-leverantören, hos en tredjepartsleverantör, inom EU?
• Används dokument eller frågor för träning?
• Respekterar AI-sökningen åtkomsträttigheterna?
• Anger AI:n källan till sitt svar?

Dessa krav uppfyller vår AI-dokumentsökning: Bearbetning i Tyskland, personuppgiftsbiträdesavtal, övertagande av befintliga åtkomsträttigheter och svar med källangivelse. Den ersätter inte ett DMS, utan gör befintliga arkiv sökbara. Detaljer: AI-dokumentsökning och GDPR.

Open source eller molntjänst?

Självdrivna open source-system ger maximal kontroll över data, men kräver drift, uppdateringar och säkerhetskopior. Molntjänster tar över detta arbete, men kräver i gengäld en noggrann granskning av avtal och behandlingsplatser. En mellanform är ett open source-system som en tjänsteleverantör driver åt dig i ett tyskt datacenter.

Urval i fem steg

1. Registrera dokumenttyper och skyddsbehov.
2. Fastställ krav på behörigheter, lagring och arkivering.
3. Jämför leverantörer med kriterielistan.
4. Involvera dataskyddsombudet tidigt.
5. Pilotera med ett område och skala sedan upp.

Hur du strukturerar ett digitalt arkiv på ett ändamålsenligt sätt beskrivs Digitalt arkiveringssystem för företag.

Jämförelsematris för urval

• Kolumner: Kriterium · Leverantör A · Leverantör B · Leverantör C · Viktning
• Kriterier:Plats för behandling, personuppgiftsbiträdesavtal, rättigheter, kryptering, loggar, raderingskoncept, revisionssäkerhet, AI-funktioner, gränssnitt, drift
• Bedömning: 2 = uppfyllt, 1 = delvis, 0 = inte uppfyllt
• Viktning: Kriterier för dataskydd dubbelt

Vanliga fel vid införandet

• Överta gamla belastningar ofiltrerat: Sortera bort föråldrade dokument före migreringen.
• Tilldela behörigheter för grovt: ”Alla ser allt” är bekvämt, men sällan tillåtet.
• Inget raderingskoncept: Utan regler växer systemet okontrollerat.
• Skuggarkiv: Om DMS:et är krångligt hamnar dokumenten igen på skrivbord och i e-post.

Hur KI förändrar arbetet med ett DMS

Klassiska DMS bygger på mappar och nyckelord. KI kompletterar detta med innehållssökning: medarbetare ställer en fråga och får svaret med källhänvisning. Dessutom kan KI klassificera inkommande dokument, föreslå metadata och sammanfatta innehåll. En förutsättning är fortfarande ett tydligt rättighets- och dataskyddskoncept – för en KI som hittar allt hittar också sådant som den inte får visa om rättigheterna inte stämmer.

Praktiskt exempel: kunskapssökning hos en social aktör

I sociala verksamheter är koncept, kvalitetshandböcker, arbetsinstruktioner och formulär ofta utspridda över olika enheter. En AI-baserad dokumentsökning kan göra dessa bestånd sökbara utan att flytta dem: medarbetare frågar ”Vad ska dokumenteras vid ett fall under nattpasset?” och får svaret med hänvisning till avsnittet i handboken. Eftersom behörigheterna från lagringsplatsen övertas ser vårdpersonalen inga personalhandlingar och administrationen inga klientakter. Exemplet är illustrativt; den konkreta implementeringen beror på lagringsstruktur, behörigheter och dataskyddskoncept.

Om bettersorted

bettersorted är ett AI-baserat konsult- och automationsföretag från Schwerin. Vi är en av BAFA registrerad rådgivare, auktoriserad INQA-coach och medgrundare av nätverket KI|werk MV; vår praktiska erfarenhet kommer från social ekonomi, hantverk och medelstora företag. Våra lösningar körs på servrar i Tyskland, med insyn i arbetsflöden i stället för en black box.

Vanliga frågor

Vilken dokumenthanteringsprogramvara lämpar sig vid höga dataskyddskrav?

System med behandling i Tyskland eller EU, personuppgiftsbiträdesavtal enligt artikel 28 i GDPR, detaljerade åtkomsträttigheter, kryptering, loggning, raderingskoncept och revisionssäker arkivering. Om det är open source eller moln avgörs av den driftsinsats du kan bära.

Är ett molnbaserat DMS GDPR-kompatibelt?

Det kan vara GDPR-kompatibelt om behandlingsplats, personuppgiftsbiträdesavtal, underbiträden och tekniska åtgärder stämmer. Detta måste bedömas i varje enskilt fall.

Får AI-funktioner i DMS använda mina dokument för träning?

Det bör uteslutas i avtalet. Seriösa leverantörer använder inte kunddokument för att träna allmänna modeller eller erbjuder ett tydligt avval.

Hur länge måste dokument sparas?

Det beror på dokumenttypen. Bokföringsunderlag som fakturor ska sparas i åtta år från 2025, mottagna och skickade affärsbrev i sex år. För personal-, hälso- och sociala uppgifter gäller särskilda regler.

Uppdaterat: oktober 2026.