AI-förordningen vs GDPR – vad styr vad?

En vanlig missuppfattning är att AI-förordningen “ersatte” eller “utökade” GDPR. Det gör den inte. De är två separata regelverk som råkar mötas vid samma bord så fort ni köper in ett AI-system som behandlar personuppgifter – och de ställer olika krav på olika parter. Här är hur de samverkar.

Två rollsystem samtidigt

Det första som förvirrar är att samma projekt plötsligt har dubbla uppsättningar roller.

GDPR delar in världen i personuppgiftsansvarig och personuppgiftsbiträde – vem bestämmer över uppgifterna och vem behandlar dem på uppdrag.

AI-förordningen delar in samma värld i leverantör och driftansvarig – vem tillhandahåller AI-systemet och vem använder det i sin verksamhet.

Poängen: ett och samma AI-projekt bär båda rollsystemen samtidigt, och de kan peka på olika parter. Er molnleverantör kan vara biträde enligt GDPR men inte leverantör enligt AI-förordningen. Att blanda ihop dem leder till att fel part tilldelas fel skyldighet i avtalet.

Två dokument, ett arbetsflöde

Regelverken kräver också olika bedömningar, men de överlappar så mycket att det vore slöseri att köra dem separat.

• DPIA (konsekvensbedömning avseende dataskydd) hanterar risken för personuppgifter enligt GDPR.
• FRIA (bedömning av inverkan på grundläggande rättigheter) krävs i vissa högriskfall enligt AI-förordningen.

Kör dem i ett gemensamt arbetsflöde. De bygger på samma kartläggning av vad systemet gör, vilka data det rör och vem som påverkas. Att dela underlaget sparar tid och minskar risken att de två dokumenten motsäger varandra.

Sanktionslogiken: de staplas

Här är en detalj som ofta förbises: AI-förordningens viten kommer utöver GDPR:s, inte i stället för. Taket per överträdelse är ett fast belopp eller en andel av global omsättning, där det högre gäller.

Det avgörande ordet är “ovanpå”. Ett och samma AI-köp som går fel kan alltså träffas av både en GDPR-sanktion för personuppgiftsbrottet och en AI-förordnings-sanktion för systembrottet. De två regelverken skyddar olika saker och bötfäller därför oberoende av varandra.

Ett konkret exempel

Säg att ni köper in ett AI-verktyg som ska hjälpa HR att sålla kandidater. Direkt aktiveras båda regelverken. GDPR gäller för att ni behandlar personuppgifter om sökande: ni behöver laglig grund, ni måste hantera de registrerades rättigheter och ni måste veta var data lagras. Samtidigt är rekrytering ett användningsområde som AI-förordningen ser strängt på, vilket lägger på krav om riskklassning, transparens mot kandidaterna och mänsklig tillsyn över besluten.

Nu blir rolluppdelningen konkret. Enligt GDPR är ni personuppgiftsansvarig och verktygsleverantören biträde. Enligt AI-förordningen är ni driftansvarig och den som byggt verktyget leverantör. Ni behöver en DPIA för dataskyddsrisken och, eftersom fallet rör grundläggande rättigheter, sannolikt en FRIA – och det vore slöseri att göra dem var för sig när båda utgår från samma kartläggning av vad verktyget gör. Ett enda inköp, två regelverk, dubbla roller och dubbla dokument. Det är regelverkens samverkan i praktiken.

Den vanligaste fallgropen här är att låta den ena rolluppdelningen skugga den andra. Ett team som är vant vid GDPR utser rutinmässigt personuppgiftsansvarig och biträde, och antar att därmed är rollerna satta. Men AI-förordningens leverantör och driftansvarig är en egen fråga, och de behöver pekas ut var för sig i avtalet. Ett annat vanligt misstag är att tro att ett verktyg som köpts “som produktivitetsstöd” slipper högriskkraven – det är användningsområdet, inte etiketten, som avgör. Sållar verktyget kandidater är det ett känsligt användningsområde oavsett hur det marknadsfördes.

Vilket regelverk styr vilken fråga

När du sitter mitt i ett AI-köp och undrar “vem bestämmer det här?” hjälper det med en enkel uppdelning:

Det är förenklat, men det ger ordning i vardagen. Datafrågorna går till GDPR-spåret, modell- och användningsfrågorna till AI-förordnings-spåret, och dokumentationen hålls ihop eftersom kraven överlappar.

Att navigera båda regelverken samtidigt är krävande, särskilt vid ett högriskfall där rollerna behöver redas ut i avtal. Vill ni ha ett bollplank för hur ett konkret AI-köp faller ut kan du läsa om våra AI-tjänster eller höra av dig. Den här sidan är beslutsstöd, inte juridisk rådgivning.