GDPR och AI-chattbotar
Snabb definition
En AI-chattbot som pratar med människor i EU behandlar personuppgifter, så företaget som driver den måste tillämpa den allmänna dataskyddsförordningen (GDPR) på sina konversationer. Dessa uppgifter inkluderar namn, e-postadresser, orderdetaljer och vad användarna skriver.
På den här sidan
Vilka personuppgifter en chattbot hanterar
Även en enkel supportchattbot samlar in personuppgifter: identifierare som en e-postadress eller telefonnummer, order- och leveransdetaljer, innehållet i meddelanden och tekniska uppgifter som en IP-adress. Eftersom användare kan skriva fritt kan de också dela information som företaget aldrig bad om, inklusive känsliga uppgifter som hälsodetaljer. Frankrikes dataskyddsmyndighet, CNIL, rekommenderar att varna användare innan konversationen att inte dela känsliga uppgifter om det inte är nödvändigt.
Denna sida ger allmän information om GDPR (Förordning (EU) 2016/679). Det är inte juridisk rådgivning; för din egen situation, konsultera din dataskyddsombud eller en advokat.
Huvudskyldigheter för företaget
Företaget som beslutar varför och hur chattboten används är vanligtvis den personuppgiftsansvarige. Det behöver en rättslig grund för varje syfte — till exempel att fullgöra ett avtal när man svarar på en kunds orderfråga. Det måste informera användare (artiklar 13 och 14): vem den personuppgiftsansvarige är, syften, rättslig grund, mottagare, lagringsperiod och rättigheter. Det bör endast samla in vad syftet kräver, sätta lagringsperioder och låta människor utöva sina rättigheter till åtkomst, rättelse och radering.
Chattbot-leverantören agerar vanligtvis som en behandlare och måste vara bunden av ett avtal som uppfyller artikel 28. Om personuppgifter skickas till ett land utanför EU — till exempel till en modellleverantör i USA — gäller överföringsreglerna i kapitel V.
Specifika punkter för AI
Kontrollera om konversationsdata används för att träna eller förbättra modeller, av vem, och om det kan stängas av. Vet var språkmodellen körs, eftersom uppmaningar innehåller personuppgifter. Var försiktig med beslut som har juridiska eller liknande betydande effekter — att vägra en återbetalning, till exempel — som fattas enbart av automatiska medel, vilket artikel 22 begränsar. För större implementeringar kan en konsekvensbedömning av dataskyddet krävas.
Europeiska dataskyddsstyrelsens yttrande 28/2024 tillägger att AI-modeller som tränats på personuppgifter inte automatiskt är anonyma, vilket är viktigt vid val av modellleverantörer. EU:s AI-lag kräver separat att informera människor om att de pratar med en AI.
Hur AI SmartTalk närmar sig det
AI SmartTalk är ett franskt företag och värdar plattformen i Frankrike. Assistenter använder AI-modeller som värdas inom Europeiska unionen som standard; en administratör kan välja en icke-EU-modell som OpenAI eller Anthropic, och applikationen ber om uttryckligt samtycke varje gång en sådan väljs. Konversationsdata sparas tills assistenten eller kontot raderas, med permanent radering 30 dagar efter en begäran om kontoradering, som beskrivs i sekretesspolicyn. Företag förblir ansvariga för att informera sina egna besökare.
Vanliga frågor
Är det lagligt att använda en AI-chattbot under GDPR?
Ja. GDPR förbjuder inte chattbotar; det sätter regler för de personuppgifter de behandlar: en rättslig grund, information till användare, minimering, säkerhet, lagringsgränser och respekt för människors rättigheter.
Behöver jag samtycke för att använda en chattbot på min webbplats?
Inte nödvändigtvis för själva konversationen, som ofta kan förlita sig på en annan rättslig grund som att svara på en förfrågan. Cookies eller spårare som används av chattwidgeten kan behöva samtycke enligt ePrivacy-regler. Kontrollera med din dataskyddsrådgivare.
Kan kundkonversationer skickas till en amerikansk AI-leverantör?
Endast i enlighet med GDPR:s regler om internationella överföringar, till exempel under ett adekvat beslut eller lämpliga skyddsåtgärder, och med användarna informerade. Att välja en EU-värd modell undviker frågan.
Kräver GDPR att informera användare om att de pratar med en AI?
GDPR kräver transparens om hur personuppgifter behandlas. Den specifika skyldigheten att avslöja att en person interagerar med en AI kommer från EU:s AI-lag, som träder i kraft den 2 augusti 2026.