Integritet, AI och reglerna som gäller

Ett schweiziskt företag som använder AI omfattas av landets egen dataskyddslag från den första prompt som innehåller ett namn. Om det betjänar människor i EU kommer även GDPR och EU:s AI-förordning in i bilden. I år har flera av de reglerna flyttats.

Den större risken är ofta vanor, inte lagar. IBM:s studie av dataintrång från 2025 visade att var femte organisation hade haft ett intrång kopplat till skugg-AI, alltså verktyg som personalen använder utan godkännande, och att en hög grad av sådan användning i snitt ökade kostnaden för ett intrång med 670'000 dollar. Bland de organisationer som drabbats av intrång i en AI-modell eller AI-applikation saknade 97 procent ordentliga åtkomstkontroller för AI.

Här är läget för reglerna i oktober 2026, och vad ett omsorgsfullt företag gör. Det är en översikt, inte juridisk rådgivning.

Schweiz: lagen gäller redan

Schweiz har ännu ingen AI-lag, men AI är inte oreglerat. Den reviderade federala dataskyddslagen har gällt sedan den 1 september 2023, och den federala dataskydds- och informationsombudsmannen, FDPIC, har sedan november 2023, och på nytt i maj 2025, slagit fast att lagen gäller direkt för AI-stödd behandling av personuppgifter.

FDPIC förväntar sig öppenhet om syftet med AI-behandlingen, hur den fungerar och vilka datakällor den bygger på. Människor har rätt att veta om de har att göra med en maskin, och om det de matar in används för att förbättra systemet. Behandling med hög risk kräver en konsekvensbedömning avseende dataskydd, och ett manipulerat ansikte, en manipulerad bild eller röst av en identifierbar person måste alltid märkas tydligt. Ombudsmannen pekar ut heltäckande ansiktsigenkänning i realtid och social poängsättning som förbjudna.

Ombudsmannen tillämpar detta även på de stora plattformarna. I mars 2025 avslutade den en förundersökning om användningen av inlägg på X för att träna Grok, och påpekade att användarna kan invända.

Ett särskilt regelverk är på väg. Det federala justitie- och polisdepartementet tar fram ett lagförslag som ska skickas på remiss före slutet av 2026 för att genomföra Europarådets konvention om AI, med fokus på transparens, dataskydd, icke-diskriminering och tillsyn.

EU:s AI-förordning efter omnibusen

EU:s AI-förordning trädde i kraft den 1 augusti 2024 och tillämpas stegvis. Förbjudna metoder och kravet på AI-kunnighet har gällt sedan den 2 februari 2025, skyldigheterna för AI-modeller för allmänna ändamål sedan den 2 augusti 2025. Merparten av förordningen gäller från den 2 augusti 2026, däribland transparensreglerna: människor måste få veta när de pratar med en chattbot, och deepfakes måste märkas.

Den digitala omnibusen om AI, förordning (EU) 2026/1744, trädde i kraft den 27 juli 2026. Den skjuter upp reglerna för högrisksystem: system som används inom områden som biometri, utbildning och anställning omfattas av sina skyldigheter från den 2 december 2027, och system som är inbyggda i reglerade produkter, som hissar eller leksaker, från den 2 augusti 2028. Den förbjuder också från december 2026 AI som genererar sexuella bilder av personer utan deras samtycke eller material som skildrar sexuella övergrepp mot barn, och utvidgar den förenklade dokumentationen till små medelstora företag.

För de flesta företag som använder AI snarare än bygger det ändrar förseningen inte mycket. Kraven på transparens och kunnighet gäller redan nu. Den extra tiden gäller system som fattar beslut om människor, till exempel om vem som blir anställd.

GDPR, och en reform som inte är lag

GDPR i sig är oförändrad. I december 2024 redogjorde Europeiska dataskyddsstyrelsen för hur den tolkar förordningen när det gäller AI-modeller. En modell som har tränats på personuppgifter räknas som anonym bara om det är mycket osannolikt att personer kan identifieras ur den, direkt eller genom frågor som ställs till modellen, och det bedöms från fall till fall. Berättigat intresse fungerar som rättslig grund bara när behandlingen är absolut nödvändig och avvägningen mellan rättigheterna håller. Och en modell som bygger på olagligt behandlade uppgifter kan påverka om den senare användningen är laglig, om den inte har anonymiserats ordentligt.

En separat omnibus skulle lätta på delar av GDPR och dataförordningen. Den 7 oktober 2026 sköt medlemsstaternas ambassadörer upp omröstningen om rådets ståndpunkt, sedan Tyskland och Frankrike bett om mer tid, och vid deras möte den 11 oktober togs texten varken upp till diskussion eller omröstning. Berlin vill införa en kategori personuppgiftsansvariga med låg risk, som skulle befria små företag och ideella organisationer från många skyldigheter. Inget av detta gäller ännu, och vi planerar utifrån GDPR så som den är skriven i dag.

Avtal och överföringar

Det mesta av all AI i arbetslivet går via en leverantör som behandlar personuppgifter för företagets räkning, och det är i avtalet som företagets regler finns. Där bör det stå vad leverantören får göra med prompter och filer, hur länge den sparar dem och sina loggar, vilka underbiträden den använder och var, och vad som händer med uppgifterna när samarbetet upphör. Om en leverantör säger att den inte tränar på dina data, leta upp den meningen i avtalet du har skrivit under.

Uppgifter som lämnar Schweiz för USA behöver en rättslig grund. Sedan den 15 september 2024 tillåter ramverket Swiss-US Data Privacy Framework överföringar till certifierade amerikanska företag utan ytterligare garantier, så kontrollera certifieringen hos varje leverantör och varje underbiträde. EU:s motsvarighet klarade sin första prövning i EU:s tribunal den 3 september 2025. Överklagandet, som lämnades in den 31 oktober 2025, har såvitt vi vet ännu inte avgjorts. Ta reda på vilka av dina verktyg som är beroende av en överföring till USA, och vad du skulle göra i stället.

Vad ett omsorgsfullt företag gör nu

Inget av detta kräver ett stort program. Det kräver en lista, några beslut och någon som äger dem.

Gör listan: varje AI-verktyg som används, de uppgifter som matas in, leverantören, landet och avtalet. Fråga teamen vad de faktiskt använder, inte vad som har godkänts.

Dela in uppgifterna i offentliga, interna och konfidentiella, och ange på en enda sida vilken klass som får matas in i vilket verktyg.

Erbjud något bra. Skugg-AI växer där det godkända verktyget är sämre än det kostnadsfria. En godkänd assistent som fungerar tar bort det mesta av skälet att klistra in kunddata i ett privat konto.

Styr åtkomsten. AI-verktyg ska ha samma roller, inloggning och offboarding som alla andra system. En assistent som kan läsa allt kommer en dag att visa det för fel person.

Informera och bedöm de riskfyllda fallen. Ange på webbplatsen när en kund pratar med en maskin, och gör konsekvensbedömningen innan AI hanterar känsliga uppgifter eller fattar beslut om människor.

Ge det en ägare. I Ciscos studie från 2026 hade tre av fyra organisationer ett organ för AI-styrning, men bara 12 procent beskrev sitt som moget. Och låt en människa ha kvar handen på skicka-knappen: vad som får göras med någons uppgifter är en bedömningsfråga, och bedömningen stannar hos människor.

Så bygger vi för det

Våra produkter följer samma regler. Kontor skriver offerter och fakturor i bexio och lagrar ingenting själv: uppgifterna stannar i bexio, och utskick, betalningar och påminnelser ligger kvar hos en människa.

Twin ger varje roll bara den del av företagshjärnan som den behöver, och varje skrivåtgärd är kopplad till en inloggad användare. Den körs i Schweiz eller EU, eller på kundens egen hårdvara, och uppgifterna används aldrig för att träna en publik modell.

När uppgifterna inte får lämna företaget alls körs Eigna, byggd av vår partner Eigna Labs, som en privat modell i företagets eget moln eller på dess egna servrar, utformad för GDPR och EU:s AI-förordning.

Reglerna kommer att fortsätta att förändras. Ett företag som vet vart dess data tar vägen kan följa dem.