Digital omnibus GDPR: rådets mandat för AI och personaldata på jobbet
EU-ländernas ständiga representanter godkände den 21 oktober 2026 rådets förhandlingsmandat för Digital omnibus. GDPR-delen handlar bland annat om när personuppgifter får användas för att utveckla och driva AI. Det är ett förhandlingsunderlag, inte lag. Här är vad rådet har ändrat i kommissionens förslag, vad som gäller på arbetsplatsen i dag och tre frågor ni kan ställa redan nu.
Ett mandat, inte en ny GDPR
Ständiga representanternas kommitté, Coreper, godkände mandatet vid sitt möte den 21 oktober 2026. Det framgår av försättsbladet till rådets dokument ST 14756/26, daterat den 22 oktober och rubricerat som mandat för förhandlingar med Europaparlamentet. Digital omnibus, med ärendenumret 2025/0360(COD), ändrar flera EU-rättsakter, däribland dataskyddsförordningen GDPR. I dokumentet är rådets ändringar jämfört med kommissionens förslag från november 2025 markerade med fetstil och strykningarna med genomstrykning.
Markeringarna försvinner när texten kopieras ur pdf-filen, och då flyter rådets och kommissionens formuleringar ihop. Vi har därför jämfört de markerade ändringarna med kommissionens text och återger nedan bara rådets lydelse. Det spelar roll, eftersom flera av de mest citerade formuleringarna i kommissionens förslag är strukna.
Mandatet är rådets utgångspunkt i förhandlingarna, inte en antagen text. Mandatet ändrar inte gällande GDPR. Eventuella nya regler börjar gälla enligt den antagna ändringsförordningens bestämmelser om ikraftträdande och tillämpning. Mandatet anger inget datum för när ändringarna skulle kunna börja gälla, och vi gissar inte. Varje formulering nedan kan ändras i förhandlingarna.
Berättigat intresse, men inte automatiskt
Kommissionen föreslog en ny artikel 88c om behandling i samband med utveckling och drift av AI. Behandling som är nödvändig för den personuppgiftsansvariges intressen skulle kunna ske med stöd av berättigat intresse enligt artikel 6.1 f, utom när annan lag uttryckligen kräver samtycke eller när den registrerades intressen eller grundläggande rättigheter väger tyngre, särskilt när den registrerade är ett barn.
Rådet döper om artikeln till 88 bis och gör den kortare. Första punkten säger att behandling av personuppgifter i samband med utveckling och drift av ett AI-system eller en AI-modell får ske för ett berättigat intresse hos den personuppgiftsansvarige eller en tredje part i enlighet med artikel 6.1 f. Andra punkten säger att detta inte påverkar den ansvariges skyldighet att välja en lämplig rättslig grund enligt artikel 6. Undantagen om samtycke och barn står inte kvar i artikeltexten. Motsvarande formulering finns i stället i ett nytt skäl 33a.
Skäl 33a innehåller också den mening som är mest användbar för arbetsplatsen: att utveckla och driva ett AI-system eller en AI-modell utgör inte i sig ett berättigat intresse, och om artikel 6.1 f är tillämplig ska bedömas från fall till fall utifrån behandlingens underliggande syfte. Skälet påminner även om att myndigheter som utvecklar eller driver AI i en uppgift av allmänt intresse eller vid myndighetsutövning kan stödja sig på artikel 6.1 e. Rådet stryker samtidigt kommissionens skäl 30 och 31 i sin helhet.
Den ovillkorliga rätten att invända är struken
Kommissionens artikel 88c hade ett andra stycke om skyddsåtgärder. Där nämndes dataminimering när källor väljs och när modellen tränas och testas, ökad transparens och att den registrerade skulle ges en ovillkorlig rätt att invända mot behandlingen av sina personuppgifter. Samma ovillkorliga invändningsrätt fanns i kommissionens skäl 31, som ett exempel på en skyddsåtgärd i intresseavvägningen.
I rådets mandat är hela det stycket struket, liksom skäl 31. I stället finns en ny tredje punkt: oavsett rättslig grund ska behandling i samband med utveckling och drift av AI omfattas av lämpliga tekniska och organisatoriska åtgärder och skyddsåtgärder för den registrerades rättigheter och friheter i enlighet med förordningen, inklusive rätten att invända enligt artikel 21. Rådets text hänvisar alltså till den invändningsrätt som redan finns i GDPR, inte till en särskild ovillkorlig rätt för AI-behandling.
För en medarbetare betyder det att en invändning prövas enligt de vanliga GDPR-reglerna, både i dag och i rådets version. Be därför leverantören beskriva hur en invändning från en anställd tas emot, vem som prövar den och hur beslutet återkopplas.
Undantaget för kvarvarande känsliga uppgifter blir snävare
Kommissionen föreslog en ny punkt k i artikel 9.2 som skulle tillåta behandling av känsliga personuppgifter i samband med utveckling och drift av AI, under villkoren i en ny punkt 5. Rådet begränsar punkten till oavsiktlig behandling av kvarvarande uppgifter, som den ansvarige inte har avsett, i samband med utveckling och teknisk drift av ett AI-system eller en AI-modell.
Enligt rådets punkt 5 ska lämpliga organisatoriska och tekniska åtgärder vidtas för att undvika att känsliga uppgifter samlas in och behandlas. Hittar den ansvarige ändå sådana uppgifter, som oavsiktligt och kvarvarande ingår i utvecklingen och driften, inklusive träning, validering och testning, ska de raderas utan onödigt dröjsmål. Om radering är tekniskt omöjlig eller kräver en uppenbart oproportionerlig insats ska uppgifterna utan onödigt dröjsmål skyddas effektivt mot vidare behandling, behandling för andra ändamål, användning för att ta fram utdata och mot att lämnas ut till tredje part.
Rådets skäl 33 drar två gränser som rör arbetsplatsen. Undantaget omfattar inte känsliga uppgifter som AI-systemet eller AI-modellen tar emot direkt eller får sig tillhandahållna när det används. Och det gäller inte när känsliga uppgifter behövs för behandlingens syfte, till exempel om uppgifter om en persons röst, bild eller andra personliga egenskaper används på ett sätt som går utöver oavsiktlig eller kvarvarande förekomst. Den ansvarige ska dessutom dokumentera sin bedömning. Skälet pekar alltså bort från undantaget för ett verktyg som är byggt för att analysera medarbetares röst eller bild. Frågor om känsliga uppgifter i insamlad träningsdata tas upp i vår artikel om EDPB och webbskrapning för generativ AI.
Artikel 22 skrivs om som en rättighet
Kommissionen föreslog att artikel 22 skulle formuleras som ett tillstånd: ett beslut med rättsliga följder som enbart grundas på automatiserad behandling skulle få fattas bara i tre fall, och undantaget för avtal skulle gälla oavsett om beslutet kunde ha fattats på annat sätt. Rådet stryker den formuleringen.
I mandatet har den registrerade rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inklusive profilering, och som har rättsliga följder eller på liknande sätt i betydande grad påverkar personen. Undantagen är att behandlingen är nödvändig för ett avtal, tillåten enligt unionsrätt eller nationell rätt med skyddsåtgärder, eller grundad på uttryckligt samtycke. Vid avtal och samtycke ska den ansvarige minst ge rätt till mänskligt ingripande, att framföra sin synpunkt och att bestrida beslutet. Mandatets tredje punkt begränsar dessutom beslut som bygger på känsliga personuppgifter till fallen i artikel 9.2 a eller g, med lämpliga skyddsåtgärder. Vi bedömer inte här om ett visst system för schemaläggning eller urval omfattas.
Tre frågor att ställa nu
Inget av detta ändrar vad som gäller i dag. Men mandatet visar vilka frågor som blir centrala, och de går att ställa redan nu med gällande GDPR som grund. De passar i en riskbedömning när AI införs och kan ställas av arbetsgivaren, skyddsombudet eller den fackliga organisationen.
- Vilken rättslig grund har AI-leverantören för personaldata? Fråga om uppgifter om era medarbetare används för att utveckla, träna eller förbättra leverantörens AI-system eller modell, och vilken grund i artikel 6 leverantören stöder sig på. Rådets text betonar att den ansvarige fortfarande måste välja en lämplig rättslig grund.
- Är intresseavvägningen dokumenterad? Om svaret är berättigat intresse, be om den dokumenterade avvägningen och om rutinen för invändningar. Enligt rådets skäl 33a är AI-utveckling inte i sig ett berättigat intresse; bedömningen görs från fall till fall.
- Ska införandet förhandlas enligt MBL? Huvudregeln i 11 § medbestämmandelagen är att arbetsgivaren på eget initiativ ska förhandla med den organisation som den är bunden av kollektivavtal med, innan den beslutar om en viktigare förändring av verksamheten eller av arbets- eller anställningsförhållandena för organisationens medlemmar. Enligt 12 § kan organisationen också påkalla förhandling innan andra beslut som rör dess medlemmar fattas. Om ett visst AI-införande är en viktigare förändring avgörs i det enskilda fallet.
För den enskilda medarbetaren är nästa steg ofta att begära insyn i vilka uppgifter som faktiskt behandlas. Vår guide om registerutdrag om AI på jobbet har en mejlmall och visar hur svaret kan granskas.
Inte samma paket som AI Act-omnibusen
Digital omnibus ska inte förväxlas med AI-omnibusen. Den är en egen förordning, (EU) 2026/1744, som ändrar AI-förordningen och som enligt kommissionens besked trädde i kraft den 27 juli 2026. Kommissionen lade fram den som en del av samma digitala omnibuspaket den 19 november 2025. Vad som skjuts upp och vad som redan gäller i AI-förordningen beskriver vi i artikeln om AI Act-omnibusen. GDPR-delen av Digital omnibus, som rådet nu har ett mandat för, är fortfarande ett förslag.
Den här texten är en nyhetsgenomgång och ingen juridisk rådgivning i enskilda fall.
FAQ
Gäller rådets GDPR-ändringar för AI redan?
Nej. Mandatet som godkändes den 21 oktober 2026 är rådets utgångspunkt för förhandlingarna med Europaparlamentet. Mandatet ändrar inte gällande GDPR. Eventuella nya regler börjar gälla enligt den antagna ändringsförordningens bestämmelser om ikraftträdande och tillämpning.
Får AI utvecklas med personuppgifter på grund av berättigat intresse?
Rådets version säger att sådan behandling får ske för ett berättigat intresse enligt artikel 6.1 f. Samtidigt påverkas inte skyldigheten att välja en lämplig rättslig grund, och enligt skäl 33a är AI-utveckling inte i sig ett berättigat intresse.
Har rådet tagit bort den ovillkorliga rätten att invända?
Ja, i rådets mandat är kommissionens formulering om en ovillkorlig rätt att invända struken. Rådets text hänvisar i stället till rätten att invända enligt artikel 21 i GDPR.
Är Digital omnibus samma sak som AI Act-omnibusen?
Nej. AI-omnibusen är förordning (EU) 2026/1744 som ändrar AI-förordningen och som trädde i kraft den 27 juli 2026. GDPR-delen av Digital omnibus är fortfarande ett förslag under förhandling.