AI-mötesassistenter: GDPR-checklistan

Det här är en översikt, inte juridisk rådgivning. Den utgår från GDPR:s text, från IMY:s vägledning om biträdesavtal, konsekvensbedömningar och överföringar till USA, och från IMY:s uttalanden om AI-transkribering våren 2026. Grundfrågan om inspelning i sig, brottsbalken och den som själv deltar i samtalet, har vi gått igenom i artikeln om att spela in säljsamtal. Här handlar det om vad som tillkommer när en leverantörs AI gör jobbet.

Ni är ansvariga, leverantören är biträde

IMY:s definitioner är enkla. Personuppgiftsansvarig är den organisation som bestämmer för vilka ändamål uppgifterna ska behandlas och hur det ska gå till. Personuppgiftsbiträde är den som behandlar uppgifter för den ansvariges räkning och bara får göra det enligt instruktion. Säljaren som slår på assistenten gör det på företagets uppdrag, alltså är företaget ansvarigt och leverantören biträde. Ansvaret för att allt går rätt till flyttar inte till leverantören för att den är stor eller amerikansk.

Artikel 28 kräver att ni bara anlitar biträden som lämnar tillräckliga garantier, och att behandlingen regleras i ett skriftligt avtal som anger föremål, varaktighet, art och ändamål, typ av personuppgifter, kategorier av registrerade samt era rättigheter och skyldigheter. IMY:s lista över vad avtalet måste innehålla omfattar dessutom instruktioner, sekretess, säkerhetsåtgärder enligt artikel 32, regler för underbiträden, hjälp med de registrerades rättigheter, radering eller återlämning när avtalet upphör och rätt till granskning. Läs särskilt vad leverantören gör med era transkript. En leverantör som tränar sina egna modeller på dem agerar inte längre bara på er instruktion, och då räcker inte biträdesavtalet.

Informationen måste komma före inspelningen

Artikel 13 säger att den som samlar in uppgifter direkt från personen ska informera vid den tidpunkt då uppgifterna erhålls, alltså innan eller när inspelningen startar, inte i ett mejl efteråt. För kundens deltagare, vars uppgifter kommer via mötet, gäller artikel 14 med samma praktiska slutsats. Informationen ska ange vilka ni är, varför ni spelar in, vilken rättslig grund ni stödjer er på (normalt en intresseavvägning), hur länge materialet sparas och att var och en kan invända. Skillnaden mot en vanlig inspelning är att ni också bör säga vilken leverantör som finns i rummet. Sedan den 19 juni 2026 finns dessutom en uttrycklig regel för telefonförsäljning av finansiella tjänster till konsumenter: konsumenten ska i början av samtalet få veta om det kan komma att spelas in (distansavtalslagen 3 kap. 9 §). Någon motsvarande lagregel för B2B-möten finns inte, men det praktiska rådet är detsamma.

Den enklaste rutinen är en mening i mötesinbjudan och en mening när mötet öppnas: 'Vi har en AI-assistent från X med som transkriberar, sammanfattningen sparas i 90 dagar, säg till om ni vill att den stängs av.' Den som säger till får sin vilja igenom. Ett möte som spelas in mot deltagarnas uttryckliga önskan är sällan värt transkriptet.

När krävs en konsekvensbedömning?

Artikel 35 kräver en konsekvensbedömning innan behandling som sannolikt leder till hög risk, särskilt när ny teknik används. IMY har nio kriterier, bland dem systematisk övervakning av människor, behandling i stor omfattning, uppgifter om personer i beroendeställning som anställda, och användning av ny teknik. IMY:s tumregel är att en konsekvensbedömning krävs när minst två kriterier är uppfyllda. En assistent som bara transkriberar era egna kundmöten uppfyller ofta ett. En assistent som dessutom bedömer säljarnas talandel, tonläge eller 'engagemang' uppfyller sannolikt två: ny teknik och systematisk övervakning av anställda. Då är bedömningen inte valfri, och IMY:s vägledning om kontroll av anställda kräver att arbetsgivaren tar ställning till frågan innan behandlingen börjar.

Lägg till en fråga från ett annat regelverk. AI-förordningen förbjuder sedan den 2 februari 2025 AI-system som används för att dra slutsatser om känslor hos personer på arbetsplatsen, utom av medicinska skäl eller säkerhetsskäl (artikel 5.1 f). Erbjuder verktyget 'sentimentanalys' av era egna säljare, låt en jurist avgöra var gränsen går innan ni slår på den funktionen.

USA-frågan hösten 2026

De flesta AI-mötesassistenter behandlar data i USA. Överföringen är tillåten om leverantören är certifierad under EU-US Data Privacy Framework, som EU-kommissionen godkände genom ett adekvansbeslut den 10 juli 2023, eller om ni har standardavtalsklausuler enligt artikel 46. Tribunalen avslog den 3 september 2025 talan om att ogiltigförklara ramverket, i målet Latombe mot kommissionen, och domen har enligt uppgift överklagats till EU-domstolen; överklagandet var inte avgjort i september 2026. IMY skrev den 3 juli 2026, efter en amerikansk dom om tillsynsmyndigheters oberoende, att adekvansbeslutet fortfarande gäller men att organisationer bör hålla sig informerade och ha beredskap för hur de gör om beslutet skulle upphävas. Översatt till praktik: ta reda på om leverantören står på DPF-listan, ha klausulerna som reserv och veta hur ni exporterar och raderar era transkript om ni måste byta.

Vad IMY faktiskt har sagt om AI-transkribering

Det finns inget IMY-beslut om AI-mötesassistenter i sälj, och inget sådant fanns på IMY:s tillsynssidor i september 2026. Det närmaste är IMY:s bedömning i den regulatoriska sandlådan från den 13 april 2026, om AI-transkribering i socialtjänsten. Myndigheten fann att rättslig grund finns, men betonade mänsklig kontroll, starka säkerhetsåtgärder och tydliga rutiner för gallring, kryptering och behörighetshantering, och att personalen behöver utbildning, tid och stöd för att granska transkripten. Socialtjänsten hanterar känsligare uppgifter än ett säljmöte, men rutinerna är desamma i mindre skala: vem får läsa, hur länge sparas, vem rättar fel.

Checklistan

• Roller: ni är personuppgiftsansvariga, leverantören är biträde. Kontrollera att leverantören inte tränar egna modeller på era möten utan ert uttryckliga val.
• Avtal: ett biträdesavtal enligt artikel 28 med IMY:s obligatoriska punkter, inklusive underbiträden och radering vid avtalets slut.
• Grund och information: dokumenterad intresseavvägning, information i inbjudan och vid mötets start, leverantören namngiven, möjlighet att säga nej.
• Konsekvensbedömning: gjord om verktyget bedömer medarbetare eller uppfyller två av IMY:s kriterier.
• Överföring: DPF-certifiering eller standardavtalsklausuler, och en plan för att byta leverantör.
• Gallring: en fast lagringstid för inspelningar och transkript, och en rutin för känsliga uppgifter som råkar sägas i mötet.

En del av behovet bakom AI-assistenterna är att lära av samtalen: vad sa kunden, hur svarade säljaren, vad borde ha sagts. Den delen går att få utan att spela in en enda kund. I Salesprep-modulen Uppföljning övar säljaren uppföljningssamtalet mot en AI-kund, och varje samtal bedöms på sju metrics med en skriftlig kommentar per betyg. Ingen kund, inget transkript att skydda. Uppföljning ingår från Pro och uppåt, och tre gratis samtal i Cold call-modulen följer med kontot, utan kort.