Frågan har blivit vardaglig sedan AI-tjänster byggts in i sökmotorer, mejl och sociala medier. Svaret är varken ja eller nej, utan beror på vilken grund företaget stödjer sig på och hur uppgifterna samlats in.

GDPR kräver att all behandling av personuppgifter vilar på en av sex rättsliga grunder. För AI-träning används i praktiken två: samtycke eller berättigat intresse.

Vad är berättigat intresse?

Berättigat intresse innebär att den som behandlar uppgifterna anser sig ha ett skäl som väger tyngre än den enskildes intresse av skydd. Grunden får användas utan att fråga i förväg, men förutsätter en avvägning i tre steg: att intresset är berättigat, att behandlingen är nödvändig för det intresset, och att den enskildes rättigheter inte väger tyngre.

Det är den sista punkten som blir svår vid AI-träning. En avgörande faktor är vad den registrerade rimligen kunde förvänta sig. Uppgifter som en person själv lagt ut i ett sammanhang kan bedömas annorlunda än uppgifter som hämtats in maskinellt från öppna sajter.

Vad har dataskyddsmyndigheterna sagt?

Europeiska dataskyddsstyrelsen, EDPB, antog i december 2024 ett yttrande om personuppgifter i AI-modeller. Tre besked är centrala.

För det första kan en AI-modell inte per automatik betraktas som anonym bara för att den tränats och uppgifterna inte finns kvar i råform. Det måste bedömas i det enskilda fallet.

För det andra kan berättigat intresse vara en giltig grund för AI-utveckling, men inte generellt – bedömningen görs modell för modell, och skyddsåtgärder påverkar utfallet.

För det tredje kan olaglig behandling under utvecklingsfasen få följder för hur modellen sedan får användas. Det är den punkt som väger tyngst för företag som köper in färdiga modeller.

Kan du säga nej?

Om behandlingen vilar på berättigat intresse har du rätt att invända enligt artikel 21. Invänder du ska behandlingen upphöra, om inte den ansvarige kan visa tvingande berättigade skäl som väger tyngre.

Vilar behandlingen i stället på samtycke kan du återkalla det, och det ska vara lika enkelt att återkalla som att lämna.

Hur det görs i praktiken varierar mellan tjänster. Vissa har inställningar i kontot, andra hänvisar till kundtjänst eller ett formulär. Utgångspunkten är att den som behandlar uppgifterna ska informera om hur rättigheterna utövas.

Vad innebär EU:s nya AI-regler?

AI-förordningen reglerar AI-system, medan GDPR reglerar personuppgifterna. De gäller parallellt.

Den 24 juli 2026 publicerades förordning (EU) 2026/1744 i EU:s officiella tidning, efter att Europaparlamentet antagit den den 16 juni och rådet godkänt den den 29 juni. Förordningen trädde i kraft den 27 juli 2026 och ändrar AI-förordningen på flera punkter.

Flera tillämpningsdatum flyttas fram:

- 2 december 2027 – fristående högrisksystem enligt bilaga III
- 2 augusti 2028 – AI som byggs in i redan reglerade produkter enligt bilaga I

Märkningskraven i artikel 50 börjar däremot gälla som planerat den 2 augusti 2026. Det som ändrats är övergångsfristen: system som släpptes på marknaden före det datumet har fram till den 2 december 2026 på sig att uppfylla kraven.

Samtidigt infördes två nya förbud i artikel 5: mot AI-system som utan samtycke skapar eller manipulerar realistiskt intimt material av identifierbara personer, och mot system som genererar övergreppsmaterial med barn.

Märkningskravet är det som märks först för vanliga användare: AI-genererat innehåll ska gå att känna igen som sådant.

Vad kan ändras i GDPR?

I det förslag som EU-kommissionen lade fram i november 2025 skrivs berättigat intresse in uttryckligen som möjlig grund för att utveckla och träna AI, tillsammans med ett särskilt undantag för känsliga uppgifter under bestämda skyddsvillkor.

Förslaget är inte antaget. Dataskyddsmyndigheterna har i sitt yttrande välkomnat att förutsättningarna förtydligas, men samtidigt varnat för andra delar av paketet – framför allt en föreslagen omskrivning av vad som räknas som personuppgift.

Skillnaden mellan att träna och att använda

Diskussionen blandar ofta ihop två saker.

Träning är när uppgifter används för att bygga modellen. Där handlar frågan om insamlingen och den rättsliga grunden.

Användning är när du matar in något i en färdig tjänst. Där avgörs saken av vad leverantören gör med din inmatning: sparas den, används den för att förbättra modellen, och hur länge ligger den kvar. Det framgår av villkoren och kan ofta styras i inställningarna.

De två frågorna har olika svar hos olika leverantörer, och den ena säger inget om den andra.

Vad gäller för det du själv lagt ut?

Att en uppgift är offentlig gör den inte fri från dataskyddsreglerna. Personuppgifter i ett öppet forum är fortfarande personuppgifter, och den som samlar in dem behöver en rättslig grund.

Samtidigt påverkar sammanhanget avvägningen. Vad du rimligen kunde förvänta dig när uppgiften publicerades är en av de faktorer som väger in när berättigat intresse prövas – och förväntningarna på ett offentligt inlägg skiljer sig från förväntningarna på ett kundregister.

För innehåll du skapat kan dessutom upphovsrätten aktualiseras. Det är en separat fråga från dataskyddet och prövas enligt andra regler.

Två synsätt som står mot varandra

Den ena sidan menar att europeisk AI-utveckling behöver rimliga förutsättningar att använda data som redan är offentlig, och att alternativet är att modellerna byggs någon annanstans och används här ändå.

Den andra menar att det som en gång skrivits på en öppen sida inte lämnades för att bli träningsdata, och att en enskild i praktiken saknar möjlighet att få tillbaka det när modellen väl är tränad.

Det är den avvägningen lagstiftaren gör just nu, och den är ännu inte avgjord.