AI kan läsa kundernas mejl, spela in samtal och skicka saker i ert namn. Därför läser vi villkoren, ställer frågorna till leverantören och går igenom med er vad GDPR och AI-förordningen betyder för er, innan något slås på. Här står vad vi gör, vad vi inte har och vad vi ännu inte har gjort.
Frågorna vi ställer till leverantören innan vi rekommenderar något
Det här är frågorna vi ställde i oktober, när vi gick igenom en AI som svarar i telefon tillsammans med leverantören.
1
Var behandlas och lagras datan, och i vilket land?
2
Används det vi skickar in för att träna eller förbättra tjänsten?
3
Hur länge sparas ljud och text, och går det att ställa till noll?
4
Vem är personuppgiftsansvarig, och vem är biträde?
5
Vilka underleverantörer används, och förs något över till USA?
6
Vad får AI:n komma åt, och vad får den inte?
7
Vad behöver era kunder få veta, och hur får de veta det?
Säger leverantören en sak i mötet och avtalet en annan är det avtalet som gäller, och det får ni veta innan ni bestämmer er.
§2
Personuppgifter och GDPR
När en AI börjar lyssna på samtal eller läsa mejl är det i regel ert bolag som ansvarar för kundernas uppgifter enligt GDPR. Det kallas att vara personuppgiftsansvarig. Det säger vi från början, och sedan går vi igenom med er vad som behöver göras.
Vi läser hela avtalet.
Även biträdesavtalet och AI-villkoren, och vi förklarar vad de betyder för er innan ni skriver på.
Era kunder ska få veta.
Spelar ni in samtal ska den som ringer få veta det: i växeln, i ett bekräftelsemejl eller innan samtalet börjar. Vi hjälper er att välja hur.
AI-förordningen (AI Act): det som gäller nu och det som kommer
EU:s AI-förordning börjar gälla i steg. Mycket av den rör den som utvecklar stora AI-system, men en del rör varje bolag som använder AI. Vi följer hur reglerna ändras och tar upp det som berör er när vi ses.
Vissa användningar av AI är förbjudna sedan februari 2025.
Där gäller reglerna redan i dag.
Den som pratar med en AI ska få veta det.
Det gäller sedan 2 augusti 2026, om det inte är uppenbart (artikel 50). När vi sätter upp en AI som pratar med era kunder går vi igenom hur den säger att den är en AI.
Det ska framgå när bilder och röster är gjorda med AI och kan tas för äkta.
Det gäller den som publicerar dem sedan 2 augusti 2026. Bilderna vi skapar med AI här på sajten är märkta, och riktiga personer genererar eller animerar vi aldrig.
Reglerna för AI med hög risk kommer senare.
För AI som till exempel sållar bland jobbsökande eller bedömer kreditvärdighet gäller de från december 2027. För AI i produkter, som maskiner eller medicinteknik, från augusti 2028. Planerar ni något sådant säger vi det tidigt.
Vi är inte jurister.
När en fråga kräver en juridisk bedömning säger vi det, och då behöver ni en jurist.
Så arbetar vi med data i det vi bygger. Skiljer sig något i ett enskilt uppdrag står det i avtalet.
Säkerhet och data
Vad
Så gör vi
Vem som kommer åt vad
Ni får veta vilka konton vi arbetar i, vilka som är era och vilka som är våra. Åtkomst till era system kan ni stänga av när ni vill.
Vad en AI får komma åt
En AI som svarar era kunder eller läser er data får bara komma åt det den behöver. Med för breda behörigheter kan den lämna ut någon annans uppgifter, så gränsen bestäms innan något kopplas in.
Var datan ligger
Ni får veta var varje tjänst lagrar er data innan något kopplas in. Alla delar går inte att köra i Sverige eller EU i dag, och det säger vi. Vårt nästa steg är att välja datacenter i Sverige eller EU där leverantören erbjuder det.
Underleverantörer
Ni får en lista över tjänsterna som behandlar er data, var de lagrar den och om något förs över till USA. Vill ni inte att en viss leverantör används säger vi om det går att byta.
Träning på er data
Om det ni skickar in används för att träna AI-modeller avgörs av leverantörens villkor. Vi läser dem och säger vad de tillåter, innan ni bestämmer er.
Nycklar och lösenord
De ligger aldrig i koden eller i delade mappar, och i databaserna vi bygger ser varje användare bara det den har rätt att se.
Om ni slutar
Det vi bygger kan flyttas till era konton, och ni får koden och dokumentationen.
AI skriver utkastet och en människa läser och skickar. Så bygger vi åt kunder, och så jobbar vi själva: våra egna AI-agenter skriver utkast till mejl och offerter, men inget skickas utan att någon av oss har sagt ja.
I vårt eget leveransverktyg lägger AI fram mejlutkasten, och Emil trycker själv på Godkänn och skicka.
Var gränsen går för vad som får ske av sig självt bestämmer vi tillsammans med er, innan något slås på.
§6
Hållbarhet: där vi är och dit vi vill
Vi har ingen miljöcertifiering och inga klimatmål. Här står vad vi gör i dag och vad vi börjar med.
Längst ner på varje sida står hur mycket sidan har hämtat. Siffran räknas i din webbläsare, med bilder och filmer. Vi visar den för att det ska synas vad en sida skickar, och för att vi själva ska märka när den växer.
Så gör vi i dag
Det som inte byggs drar ingen ström.
Kartläggningen börjar med det ni redan har, och ibland är svaret att inte bygga något alls.
Vi lär ut, vi tar inte över.
Vi lär er personal att använda verktygen själva, så att kunskapen stannar kvar när vi går.
Arbetsmiljön räknas också.
AI ska göra arbetsdagen lättare, inte stressigare. Därför börjar vi med en sak i taget. Det pratade Emil om på Götaplatsen under 10 oktober, en manifestation för ett samhälle där fler mår bra.
AI-bilder märks.
Bilderna vi skapar med AI till sajten visar miljöer, aldrig människor, och det står vid varje bild. I filmen står det vilka delar som är gjorda med AI.
Det vi börjar med
En modell som inte är större än uppgiften.
En större modell drar mer el för samma svar. Nästa steg är en skriven regel för vilken modell vi väljer till vad, och varför.
Sverige eller EU när det går.
Vi har börjat med vår egen sajt: formulären tas emot av servrar i Stockholm. Nästa steg är att göra samma val i kunduppdragen, där leverantören erbjuder det.
Tillgänglighet.
Vi arbetar för att sajten ska klara WCAG 2.2 på nivå AA.
Resor.
Första mötet digitalt om ni inte hellre ses.
Nästa steg: räkna vårt eget klimatavtryck och visa siffran här.
Det här har vi inte gjort än: mätt vårt avtryck, satt ett klimatmål eller låtit någon utomstående granska något av det.
§7
Det vi inte har
Vi har ingen ISO 27001-certifiering och ingen annan certifiering för informationssäkerhet eller dataskydd, och vi skriver inte att vi har det. Vi är inte jurister och ger ingen juridisk rådgivning. Vi lovar aldrig att något är helt riskfritt.
Vi är ett litet bolag i Göteborg med två grundare. Behöver ni en leverantör med formell certifiering ska ni välja en sådan, och det säger vi hellre i första mötet än i efterhand.
Det vi lovar är att ställa frågorna, säga vad vi vet och vad vi inte vet, och säga till när ni behöver en jurist.
Vanliga frågor om AI, GDPR och ansvar
Följer ni GDPR?
Vi går igenom GDPR med er innan AI kopplas in: vi läser leverantörernas villkor och går igenom vad era kunder behöver få veta. I ett kunduppdrag är det i regel ert bolag som ansvarar för kundernas uppgifter, det som kallas personuppgiftsansvarig. Hur vi själva behandlar uppgifter på sajten står på sidan om personuppgifter.
Det kan vara det, om någon har läst villkoren och satt gränserna. Vi går igenom var datan lagras, om den används för träning, hur länge den sparas och vad AI:n får komma åt, innan något kopplas in.
Tränas AI-modeller på vår data?
Det avgörs av leverantören och avtalet. Vissa tjänster använder inte det ni skickar in för träning, andra får använda det för att förbättra tjänsten. Vi läser villkoren och säger vad de tillåter, innan ni bestämmer er.
Lämnar vår data EU?
Det beror på vilka tjänster som används. Flera AI-leverantörer är amerikanska, och då kan uppgifter föras över till USA. Det kräver stöd i GDPR, till exempel EU:s och USA:s ramverk för dataskydd eller standardavtalsklausuler, och det står i leverantörens villkor vilket stöd de använder. Ett amerikanskt bolag kan också bli skyldigt att lämna ut data till amerikanska myndigheter, oavsett var datan lagras. Därför ska ni få veta var varje tjänst lagrar er data innan något kopplas in. Vårt mål är att välja EU-alternativ där de finns.
Måste vi berätta att samtal spelas in?
Ja. Den som deltar i ett samtal får spela in det, men ett bolag som sparar inspelningen behandlar personuppgifter och ska enligt GDPR berätta det för den som ringer. Det kan ske i växeln, i ett bekräftelsemejl eller innan samtalet börjar. Vi hjälper er att välja hur. Är ert upplägg ovanligt behöver ni en jurists bedömning.
Måste en AI säga att den är en AI?
Ja, om det inte är uppenbart. Sedan 2 augusti 2026 ska den som pratar med en AI, i telefon eller i en chatt, få veta att det är en AI. När vi sätter upp en AI som pratar med era kunder går vi igenom hur den säger det.
Vad betyder AI-förordningen (AI Act) för vårt bolag?
För ett vanligt bolag som använder AI handlar det i dag till stor del om öppenhet: den som pratar med en AI ska få veta det, och det ska framgå när bilder eller röster är gjorda med AI och kan tas för äkta. Vissa användningar av AI är förbjudna sedan februari 2025. Reglerna för AI med hög risk, till exempel i rekrytering eller kreditbedömning, gäller från december 2027. För AI i produkter som maskiner och medicinteknik gäller de från augusti 2028. Vi tar upp det som berör er när vi ses, och säger till när ni behöver en jurist.
Vem ansvarar om något går fel?
Ert bolag ansvarar i regel för kundernas uppgifter, eftersom det är ni som samlar in dem. Det kallas att vara personuppgiftsansvarig. Vad vi sköter och vad ni sköter står i avtalet för uppdraget, och ni vet från början vem som gör vad och vem ni ringer.
Drar AI mycket el?
En enskild fråga till en AI drar lite el, men det blir mycket när stora modeller körs hela tiden. Det vi kan påverka är att inte bygga in AI där den inte behövs och att välja en modell som inte är större än uppgiften. Vad vi gör i dag och vad vi börjar med står i avsnittet om hållbarhet.