AI och personuppgifter
AI i kommunikationsarbetet: personuppgifter, sekretess och säkerhet
Vad ni får och inte får mata in i AI-tjänster, hur Digg och IMY:s riktlinjer ser ut och hur ni bygger en trygg rutin.
I korthet
Mata aldrig in personuppgifter, sekretessbelagd information eller annan skyddsvärd information i en AI-tjänst som organisationen inte har godkänt för det. Använd de verktyg organisationen har upphandlat och bedömt, avidentifiera texter innan ni bearbetar dem och granska alltid resultatet. Digg och IMY har gett ut nationella riktlinjer för generativ AI i offentlig förvaltning.
Varför försiktighet behövs
När ni skriver in text i en AI-tjänst lämnar ni den till en leverantör. Beroende på tjänst och avtal kan texten sparas, läsas av leverantörens personal, användas för att träna modellen eller behandlas utanför EU. Om texten innehåller personuppgifter är det en behandling som kräver rättslig grund. Om den innehåller sekretessbelagda uppgifter kan det vara ett röjande.
Nationella riktlinjer
Myndigheten för digital förvaltning (Digg) och Integritetsskyddsmyndigheten (IMY) publicerade i januari 2025 nationella riktlinjer för användning av generativ AI i offentlig förvaltning. De tar upp bland annat styrning och ansvar, kompetens, upphandling, informationssäkerhet, dataskydd, transparens och etik. IMY har också en vägledning om GDPR vid användning av generativ AI. Utgå från dem när ni tar fram egna regler.
Grön, gul och röd information
| Information | Exempel | I en godkänd AI-tjänst? |
|---|---|---|
| Offentlig och utan personuppgifter | En publicerad pressrelease, en allmän text om sopsortering | Ja |
| Intern men inte skyddsvärd | Utkast till en nyhet utan namn, en struktur för en kommunikationsplan | Ja, i tjänster som organisationen har godkänt |
| Personuppgifter | Namn, kontaktuppgifter, bilder, kommentarer från invånare | Bara om tjänsten är bedömd och godkänd för det, och det behövs |
| Känsliga personuppgifter och sekretess | Uppgifter om hälsa, socialtjänstärenden, säkerhetsfrågor | Nej, om inte en särskild rättslig och säkerhetsmässig bedömning har gjorts |
En trygg rutin
- Använd de AI-verktyg organisationen har godkänt, med avtal och inställningar som skyddar informationen.
- Avidentifiera innan ni klistrar in: ta bort namn, platser och detaljer som pekar ut personer.
- Låt AI hjälpa till med struktur, språk och idéer, inte med bedömningar i enskilda ärenden.
- Granska resultatet: faktafel, påhittade källor, ton och tillgänglighet.
- Ta ansvar för det som publiceras, och märk AI-genererat innehåll när det behövs.
Är ni osäkra på om en tjänst får användas? Fråga informationssäkerhetssamordnaren eller dataskyddsombudet. Det är bättre att fråga en gång för mycket än att lämna ut information som inte går att få tillbaka.
Exempel från vardagen
| Situation | Bedömning |
|---|---|
| Du vill ha hjälp att korta en pressrelease som redan är publicerad. | Inga problem i ett godkänt verktyg. |
| Du vill sammanfatta hundra kommentarer från invånare om en detaljplan. | Kommentarerna innehåller personuppgifter. Använd bara ett verktyg som är godkänt för det, eller ta bort namn och detaljer först. |
| Du vill formulera ett svar till en förälder som har klagat på skolan. | Beskriv situationen generellt, utan namn, skola eller detaljer som pekar ut barnet. |
| Du vill att AI ska bedöma om en kommentar är hets mot folkgrupp. | Låt AI ge stöd högst, men bedömningen ska göras av en människa enligt era regler. |
| Du vill transkribera en intervju med en medarbetare. | Ljud är personuppgifter. Kontrollera att tjänsten är godkänd och att medarbetaren vet om det. |
Vad organisationen behöver ha på plats
- Ett beslut om vilka AI-tjänster som får användas och till vad.
- Avtal som reglerar hur leverantören hanterar informationen, inklusive personuppgiftsbiträdesavtal när det behövs.
- En bedömning av överföring till länder utanför EU.
- Utbildning för medarbetarna.
- En rutin för att rapportera när något har blivit fel.
Artikeln är skriven av Verbanas redaktion och bygger på källorna som anges. Den är vägledning och ersätter inte en juridisk bedömning i det enskilda fallet.