Ja, ett svenskt företag kan använda Claude och följa GDPR, men bara under Anthropics kommersiella villkor, till exempel med Team eller Enterprise, och om ni har bestämt vilka uppgifter som får matas in. Med Team eller Enterprise ingår ett personuppgiftsbiträdesavtal och era chattar används som standard inte för träning. Med privata konton saknas båda delarna. Här går vi igenom vad det betyder i praktiken, vad som är fritt att dela och vad som aldrig ska in, och avslutar med en checklista.
Konto för privatpersoner eller företagskonto?
Det viktigaste GDPR-beslutet tas innan någon skriver något alls: vilket konto används?
| Free, Pro och Max | Team och Enterprise | |
|---|---|---|
| Villkor | Konsumentvillkor | Kommersiella villkor |
| Personuppgiftsbiträdesavtal | Nej | Ingår automatiskt |
| Träning på chattar | Varje användare väljer själv | Nej, som standard |
| Lagring | Tills chatten raderas, sedan högst 30 dagar. Med träning på: upp till 5 år | Tills chatten raderas, sedan högst 30 dagar |
| Central kontroll | Ingen | Ägare och administratörer |
På konsumentplanerna styr varje person under Settings > Privacy om chattarna får användas för att träna Anthropics modeller. Är inställningen på kan Anthropic spara chattarna i upp till fem år för träning. Annars ligger de kvar tills användaren raderar dem, och försvinner sedan ur Anthropics system inom 30 dagar. Företaget ser inget av det och kan inte ändra det.
På Team och Enterprise gäller Anthropics kommersiella villkor. Anthropic skriver att man som standard inte tränar på det ni skriver eller får tillbaka i de kommersiella tjänsterna. Det är därför arbetsmaterial ska ligga i företagets konto, precis som vi skriver i Riktlinjer för AI på jobbet. Vilken av planerna som passar er går vi igenom i Vilken Claude-plan ska företaget ha?
Vem ansvarar för vad?
GDPR skiljer på den som bestämmer varför och hur personuppgifter behandlas, den personuppgiftsansvarige, och den som behandlar dem på uppdrag, personuppgiftsbiträdet.
På Team och Enterprise är ert företag personuppgiftsansvarigt för det medarbetarna skriver in, och Anthropic är personuppgiftsbiträde. Ett biträde får bara behandla uppgifterna enligt era instruktioner, och det ska finnas ett avtal om det. Anthropics personuppgiftsbiträdesavtal, ofta kallat DPA (Data Processing Addendum), ingår automatiskt i de kommersiella villkoren. Ni behöver alltså inte skriva under något separat.
Några saker i avtalet som är bra att känna till:
- Underbiträden. Anthropic använder andra leverantörer, till exempel molntjänster. De finns listade på Anthropics webbplats, och ni ska få besked innan nya läggs till. Ni har då 15 dagar på er att invända.
- När avtalet upphör. Inom 30 dagar efter att avtalet har tagit slut ska Anthropic radera era data, med vissa undantag, till exempel när lagen kräver att något sparas.
- Organisationens ägare styr. Det är kontots ägare (Primary Owner) som förvaltar företagets data och kan begära ut en export av konversationer och filer.
Att avtalet finns betyder inte att allt är klart. Ni är fortfarande ansvariga för att ha ett lagligt skäl att behandla uppgifterna och för att inte använda fler än nödvändigt.
Hur länge sparas det?
För Team och Enterprise beskriver Anthropic det så här:
- En chatt som en användare raderar försvinner direkt ur historiken och raderas ur Anthropics system inom 30 dagar.
- På Enterprise kan organisationen sätta en egen lagringstid för chattar och för projekt, som kortast 30 dagar. Utan en sådan inställning sparas de tills någon raderar dem. Chattar i ett projekt följer projektets lagringstid, så sätt båda.
- Chattar som Anthropics säkerhetssystem flaggar för brott mot användningspolicyn (Usage Policy) kan sparas i upp till två år.
- Ger någon återkoppling med tummen upp eller ner sparas den konversationen i fem år och kan användas för träning. En ägare kan stänga av knapparna under Organization settings > Data and Privacy med inställningen Rate chats.
Claude i Slack (Claude Tag) följer inte de här reglerna under betan. Loggarna sparas tills någon tar bort dem och ingår inte i organisationens export, se Claude i Slack för team.
Punkten om tummen upp eller ner är lätt att missa. Har ni bestämt att inget ska användas för träning, stäng av Rate chats. Använder ni Claude Code, tänk också på att kommandona /feedback och /bug skickar hela konversationen till Anthropic, där den sparas i fem år. De går att stänga av med miljövariabeln DISABLE_FEEDBACK_COMMAND=1.
Var hamnar uppgifterna?
Här är det viktigt att vara ärlig: Claude är ingen tjänst där allt stannar inom EU. Anthropic skriver att data lagras i USA, och att trafiken som standard kan behandlas i USA, Europa, Asien och Australien. Uppgifter kan också behandlas för exempelvis säkerhetsgranskning och support i länder där Anthropic har verksamhet.
För att en överföring utanför EU/EES ska vara tillåten krävs särskilt stöd i GDPR. Anthropics DPA innehåller EU-kommissionens standardavtalsklausuler, och det är det stöd överföringen vilar på. För kunder i EU är det Anthropic Ireland som är avtalspart. När överföringen bygger på standardavtalsklausuler ska ni också bedöma om lagstiftningen i USA hindrar skyddet, en så kallad överföringsbedömning. Enligt DPA:n ska Anthropic ge er underlag för den.
Vad får man dela? Tre nivåer
Även i företagskontot behöver medarbetarna veta var gränsen går. Samma tre nivåer som i riktlinjerna fungerar bra här.
- Fritt: Egna texter och utkast, interna mallar, allmänna frågor och offentlig information som inte handlar om enskilda personer. Tänk på att GDPR gäller även för personuppgifter som är offentliga, till exempel i domar eller på LinkedIn.
- Med försiktighet: Kunddata, mejl med namn och kontaktuppgifter, offerter och avtal med motparter. Använd bara det som behövs för uppgiften, och bara i företagets konto. Ofta går det att ta bort namn eller ersätta dem med "Kund A" utan att svaret blir sämre.
- Aldrig: Lösenord, API-nycklar och annat som ger åtkomst till system. Inte heller känsliga personuppgifter, om ni inte först har utrett att det är tillåtet. Det gäller till exempel uppgifter om hälsa, ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, fackmedlemskap, sexualliv eller sexuell läggning, och genetiska eller biometriska uppgifter. Samma sak gäller uppgifter om brott, som företag i regel inte får behandla, och personnummer, som utan samtycke bara får användas när det är klart motiverat. Ett internt beslut räcker inte, det måste finnas stöd i lagen. Anthropics standard-DPA räknar dessutom inte med känsliga personuppgifter.
Klistra in en sjukskrivningslista och be Claude föreslå hur arbetet ska fördelas nästa vecka.
Skriv att tre personer i teamet är borta på heltid och två på halvtid, utan namn eller orsak, och be om ett förslag.
Ett exempel från vardagen: en ekonomiassistent vill ha hjälp att formulera en betalningspåminnelse. Det fungerar lika bra med "en kund som är 45 dagar sen med en faktura på 12 000 kronor" som med kundens namn, adress och personnummer. Namnet kan läggas till efteråt i ert eget system.
När räcker inte det här?
Allt passar inte i Claude, inte ens med ett företagskonto och tydliga regler.
- Vård, socialtjänst och HR-utredningar. Där är känsliga personuppgifter själva kärnan i arbetet. Då krävs som huvudregel en konsekvensbedömning innan Claude används på riktigt material. Enligt IMY ska en sådan göras när minst två av nio kriterier är uppfyllda, till exempel att uppgifterna är känsliga och att de rör anställda.
- Krav på att data aldrig lämnar EU. Då räcker varken Team eller Enterprise, se rutan ovan.
- Ni behandlar uppgifter åt en kund. Är ni kundens personuppgiftsbiträde, till exempel som byrå, redovisningsfirma eller IT-konsult, får ni inte anlita Anthropic som underbiträde utan kundens skriftliga godkännande. Kontrollera ert biträdesavtal innan ni klistrar in kundens material. Vissa kundavtal begränsar också vilka leverantörer ni får använda.
- Kopplingar till andra system. En koppling till kalendern eller CRM:et gör att Claude kan läsa mer än det du klistrar in. Gå igenom vad kopplingen når innan den slås på, läs mer i MCP förklarat utan jargong.
Checklistan
Gå igenom den innan ni rullar ut Claude, och igen vid varje översyn av riktlinjerna.
GDPR-checklista för Claude
Konto och avtal
- Vi använder Team eller Enterprise för arbetsmaterial
- Privata konton används inte för kunddata eller interna dokument
- Vi har läst Anthropics kommersiella villkor och DPA
- Vi har gått igenom listan över underbiträden
- Där vi är kundens personuppgiftsbiträde har kunden godkänt Anthropic
Inställningar
- Rate chats och /feedback i Claude Code är avstängda, om inget ska kunna användas för träning
- Lagringstid är bestämd (Enterprise: egen lagringstid för både chattar och projekt)
- Bara godkända kopplingar är påslagna
Dokumentation
- Claude finns i vårt register över behandling (artikel 30)
- Vi har gjort en överföringsbedömning för USA
- Vi har bedömt om en konsekvensbedömning krävs
- Vår integritetspolicy säger att personuppgifter kan behandlas i AI-verktyg och föras över till USA
Medarbetarna
- Alla vet vad som är fritt, med försiktighet och aldrig
- Alla vet vem de ska fråga och vart de rapporterar misstag
- Dataskyddsombudet har läst riktlinjerna, om vi har ett
Har något ändå hamnat fel, till exempel en kundlista i ett privat konto, skriv ner vad som delades och när. Radera sedan chatten och säg till den som ansvarar för dataskydd samma dag. Alla sådana incidenter ska dokumenteras, och om det inte är osannolikt att incidenten innebär en risk för de berörda ska den anmälas till IMY inom 72 timmar.
Sammanfattning
Använd Team eller Enterprise för allt som rör kunder och kollegor. Då är Anthropic ert personuppgiftsbiträde, en DPA ingår och era chattar används som standard inte för träning. Kom ihåg att data lagras i USA, stäng av Rate chats, och /feedback i Claude Code, om ni vill vara säkra på att inget används för träning, och lär alla skillnaden mellan fritt, med försiktighet och aldrig. Är ni osäkra, fråga någon som kan dataskydd innan ni börjar, inte efteråt. IMY har också en vägledning om GDPR och AI.