KI-chattbot och GDPR: Vad som är viktigt vid användning på den egna webbplatsen

Så snart användare matar in något i en AI-chattbot behandlas personuppgifter – senast när de anger sitt namn, ett telefonnummer för återuppringning eller ett konkret ärende. Fem punkter avgör den dataskyddskonforma integreringen: Transparens, dataminimering, personuppgiftsbiträdesavtal, behandlingsplats och frågan om Inmatningar för träning används.

1. Transparens och märkning

Användare måste kunna se att de kommunicerar med ett automatiserat system – det följer av GDPR:s transparensprincip och av märkningskraven för AI-system. I praktiken räcker en tydlig hänvisning i chattfönstret, kompletterad med en länk till integritetsinformationen.

2. Dataminimering: helst inte samla in alls

Det mest effektiva dataskyddet är att inte samla in några data. En chatbot som besvarar allmänna frågor behöver inget namn och ingen e-postadress. Först när ett ärende faktiskt ska vidarebefordras krävs en kontaktuppgift – och då bara den som behövs för handläggningen.

• Inga obligatoriska fält för uppgifter som inte behövs för svaret
• Fastställ lagringstiden för konversationer och radera dem automatiskt
• Tydlig åtskillnad mellan allmän information och överlämning av ett ärende

3. Personuppgiftsbiträdesavtal

Om chatboten drivs via en tjänsteleverantör krävs ett personuppgiftsbiträdesavtal (AVV) enligt artikel 28 i GDPR, inklusive frågan om vilka underbiträden som är involverade. Detta gäller särskilt den språkmodell som används.

4. Behandlingsplats

En behandling inom EU sparar de extra kraven för överföringar till tredjeland. För modeller utanför EU krävs en hållbar överföringsgrund. Denna punkt bör klargöras före valet, inte efteråt – den begränsar i praktiken urvalet av leverantörer mest.

5. Används inmatningar för träning?

Den punkt som oftast förbises i dataskyddsgranskningar. Avtalsmässigt bör det uteslutas att inmatningar från era webbplatsbesökare används för träning av externa modeller. Annars lämnar innehållet det avtalade ändamålet – med motsvarande konsekvenser för lagligheten.

I samband med detta är frågan om kunskapskällan: En chatbot som uteslutande svarar utifrån företagets egna underlag är inte bara mer fackmässigt tillförlitlig, utan också lättare att hantera ur dataskyddssynpunkt än en som fritt hämtar från internet.

Vanliga frågor om KI-chatbot och GDPR

Behöver jag samtycke för chatboten?

För att besvara en fråga som användarna själva ställer krävs oftast inget samtycke. Annorlunda är det om konversationer lagras under längre tid eller sammanförs med andra uppgifter – det måste prövas särskilt.

Måste jag anpassa integritetspolicyn?

Ja. Ändamål, rättslig grund, mottagare, lagringstid och eventuell överföring till tredje land ska anges i integritetsinformationen. Det är en av de vanligaste bristerna hos redan integrerade chattbotar.

Får chattloggar sparas?

Under en begränsad tid och med ett tydligt syfte – till exempel kvalitetssäkring – är det i princip möjligt. Det krävs en fastställd lagringstid och ett fungerande raderingskoncept.

Vad är den säkraste uppbyggnaden?

En chattbot som endast svarar utifrån de egna godkända underlagen, samlar in så lite som möjligt, behandlar inom EU och där inmatningar avtalsmässigt undantas från modellträning.

Nästa steg

Hur en chatbot ser ut som svarar utifrån egna underlag visas på produktsidan KI-Chatbot. Den dataskyddskonforma införandet kan finansieras till 80 % via INQA-Coaching.

Uppdaterad: september 2026. Denna artikel är en allmän vägledning och ersätter inte juridisk rådgivning i det enskilda fallet.