Personuppgiftsbiträdesavtal med AI-leverantörer – vad ska finnas med?
Förstå regler, risker och praktiska krav kring pub-avtal ai. Svensk guide för företag som vill använda AI säkert och korrekt
- Gör ämnet konkret i AI-registret: verktyg, data, ägare, risk och nästa granskning.
- Koppla policy eller avtal till faktiska arbetsflöden, inte bara till dokument.
- Sätt mänsklig granskning, loggning och incidentväg före bred utrullning.
Ladda ner mallen
Risk-/dataklassningsmatris, kontrollista eller incident-/DPIA-exempel. Word-dokumentet är redigerbart, kompakt formaterat och har en logotyp som enkelt kan bytas ut mot er egen.
Börja med datarollen innan ni diskuterar AI-funktioner
När en AI-leverantör behandlar personuppgifter för ert företag behöver ni först förstå om leverantören är personuppgiftsbiträde, självständig personuppgiftsansvarig eller båda i olika delar av tjänsten. Den analysen styr vad avtalet måste innehålla.
Många AI-tjänster blandar drift, support, modellförbättring, loggning och underleverantörer. Därför räcker det sällan att fråga om det finns ett standard-PUB. Ni behöver se exakt vilka uppgifter som behandlas, för vilka ändamål och om leverantören använder informationen för egna syften.
PUB-avtalet måste vara konkret för AI-användningen
GDPR kräver bland annat instruktioner, säkerhet, underbiträden, stöd vid registrerades rättigheter och regler för radering eller återlämning. I AI-sammanhang bör instruktionerna också täcka prompts, uppladdade dokument, loggar, modellträning och mänsklig åtkomst till data.
Ett praktiskt PUB för AI bör därför beskriva förbjudna datatyper, godkända användningsfall, lagringstid för prompts och utdata, var data behandlas, vilka underbiträden som används och hur incidenter rapporteras. Skriv hellre tydligt än juridiskt imponerande.
Kontrollera underbiträden, dataöverföringar och modellträning
AI-leverantörer kan använda molnleverantörer, modellleverantörer, supportteam och analysverktyg. Begär en aktuell lista över underbiträden och kontrollera om behandling sker utanför EU/EES. Om tredjelandsöverföring förekommer behöver den hanteras i avtalet och riskbedömningen.
Var särskilt tydlig med modellträning. Om leverantören vill använda era data för att förbättra egna modeller är det ofta en annan riskprofil än ren behandling på instruktion. Då behöver ansvar, rättslig grund och affärsvillkor granskas separat.
Koppla avtalet till AI-registret och inköpsprocessen
Ett PUB-avtal ska inte ligga ensamt i en avtalsmapp. Lägg in leverantören i AI-registret med syfte, datatyper, ansvarig ägare, risknivå, granskad avtalsversion och nästa uppföljningsdatum.
När inköp, IT, juridik och verksamhetsägare arbetar mot samma register blir det lättare att stoppa skuggavtal, se när villkor ändras och uppdatera kontroller när tjänsten får nya AI-funktioner.
Praktisk checklista innan ni går vidare
| Fråga | Varför den behövs |
|---|---|
| Vilka AI-verktyg omfattas? | Utan avgränsning blir styrningen svår att följa upp. |
| Vilka data får användas? | Dataklassning minskar risken för läckor och fel behandling. |
| Vem äger beslutet? | Ansvar behöver ligga hos en roll, inte hos ett dokument. |
| Hur syns efterlevnaden? | Loggar, stickprov och register gör policyn mätbar. |
Fortsätt med relaterade guider
För en stabil helhet bör den här frågan kopplas till befintliga rutiner för AI-register, AI-policy och säker AI-användning.
Vill du få bättre kontroll på AI-användningen?
Börja med AI-registret och inventera era AI-verktyg. Börja med att samla verktyg, syften, datatyper, ansvariga och risknivåer på ett ställe.
Källor och vidare läsning
- IMY om personuppgiftsbiträdesavtal
- GDPR artikel 28
- EU AI Act text
Texten är generell information för svenska företag och är inte juridisk rådgivning.