1 oktober 2026 · GDPR · 3 min läsning · Tor Ganslandt, grundare av VAKTA

Räcker det att maska personuppgifter innan AI-modellen får frågan?

Nej, inte på egen hand. Maskerade uppgifter är fortfarande personuppgifter, för er och i regel också för AI-leverantören. Det maskering ger är att leverantören i praktiken inte ser vem det gäller.

Nej, inte på egen hand. Maskerade personuppgifter är pseudonymiserade, inte anonyma, och GDPR gäller fullt ut så länge ni kan koppla tillbaka dem. Enligt EDPB:s förslag till riktlinjer är de i regel personuppgifter också för AI-leverantören, när leverantören behandlar dem för er räkning. Det maskering ger är att leverantören i praktiken inte ser vem det gäller. Se maskering som en skyddsåtgärd, inte som en väg ut ur GDPR.

Vad är skillnaden mellan pseudonymisering och anonymisering?

Pseudonymisering betyder att personuppgifter inte längre kan kopplas till en viss person utan tilläggsuppgifter, och att tilläggsuppgifterna förvaras separat och skyddas (artikel 4.5 i dataskyddsförordningen). Att byta ut namn mot platshållare, som "Anställd A", och spara kopplingen i en tabell är pseudonymisering.

Anonyma uppgifter är uppgifter som inte kan kopplas till en person med de medel som rimligen kan komma att användas. Anonyma uppgifter faller utanför dataskyddsförordningen, men pseudonymiserade uppgifter är fortfarande personuppgifter (skäl 26).

Kan maskerade uppgifter vara anonyma för AI-leverantören?

EU-domstolen prövade frågan i målet EDPS mot SRB (C-413/23 P, 4 september 2025). Domstolen kom fram till att pseudonymiserade uppgifter kan vara anonyma för en mottagare som inte rimligen kan identifiera de registrerade. För den som har pseudonymiserat uppgifterna och har nyckeln är de fortfarande personuppgifter.

EDPB:s riktlinjer 02/2026 om anonymisering drar en viktig gräns för AI-tjänster. Enligt riktlinjerna ska uppgifter som en aktör behandlar för en personuppgiftsansvarigs räkning bedömas ur den ansvariges perspektiv (punkt 15). En AI-leverantör som är ert personuppgiftsbiträde behandlar alltså personuppgifter, även om leverantören bara ser platshållare. Riktlinjerna är ute på remiss till 30 oktober 2026 och kan ändras.

Varför räcker det inte att byta ut namnen?

En maskerad text kan fortfarande peka ut en person genom sammanhanget. Befattning, arbetsplats, datum och ovanliga omständigheter kan tillsammans räcka för att en läsare förstår vem det gäller. EDPB:s riktlinjer beskriver hur en person kan identifieras genom en kombination av egenskaper, även utan namn.

Ett tänkt exempel

Ett ärende beskriver "Anställd A, ekonomichef på ett bolag med tolv anställda i Kalmar, sjukskriven sedan mars". Namnet är borta, men den som känner till bolaget vet vem det är. En bra maskering tar därför hand om mer än namn och personnummer.

Varför spelar det roll var nyckeln finns?

Kopplingen mellan platshållare och verkliga namn avgör vem som i praktiken kan se vem ett ärende gäller. Om kopplingstabellen bara finns i organisationens egen miljö innehåller AI-leverantörens system, loggar och eventuella läckor bara platshållare. Om kopplingstabellen finns hos leverantören, eller i en tjänst som leverantören når, ger maskeringen betydligt mindre skydd. Artikel 4.5 kräver dessutom att tilläggsuppgifterna förvaras separat.

Vad löser maskering, och vad löser den inte?

Maskering minskar risken för de registrerade och är en sådan skyddsåtgärd som artikel 25 (inbyggt dataskydd) och artikel 32 (säkerhet) pekar på. En AI-leverantör som aldrig får namnen kan inte heller läcka dem.

Maskering löser inte organisationens egna skyldigheter. Behandlingen behöver fortfarande en rättslig grund enligt artikel 6, hälsouppgifter kräver fortfarande ett undantag enligt artikel 9, ett personuppgiftsbiträdesavtal med AI-leverantören behövs fortfarande enligt artikel 28, och de registrerade ska fortfarande informeras. Vad det betyder för en HR-konsult och klientens tillstånd beskriver vi i Får en HR-konsult använda ChatGPT på ett personalärende?.

Hur ser det ut i praktiken?

Att nyckeln stannar i den egna miljön är det vi har byggt VAKTA kring. VAKTA, en AI-plattform som maskerar personuppgifter i er egen miljö, byter ut namn och andra personuppgifter mot platshållare innan frågan lämnar organisationen och sätter tillbaka dem lokalt i svaret. Kopplingen mellan platshållare och namn finns bara i er egen miljö, och bara under samtalet. Skyldigheterna enligt GDPR finns kvar hos er, men AI-modellen ser aldrig namnen.

Det här är en allmän beskrivning, inte juridisk rådgivning i ett enskilt fall.

Källor

Vill ni se hur det fungerar i praktiken?

Vi visar gärna hur VAKTA hanterar era frågor, med er egen dokumentation och era egna regler.

Boka ett samtal