Får arbetsgivaren läsa dina AI-chattar? Vad lagen kräver
Det du skriver till jobbets AI-assistent försvinner inte när du stänger fönstret. I företagsversionen av Microsoft 365 Copilot sparas frågor och svar så att de går att söka fram. Men att det går betyder inte att arbetsgivaren får använda dem för att kontrollera dig. Det avgörs av dataskyddsförordningen, IMY:s vägledning och arbetsrätten – och de ställer krav på ändamål, proportionalitet och information i förväg.
Två spår: granskningsloggen och själva texten
Hur mycket som sparas beror på tjänsten och på arbetsgivarens inställningar. Här håller vi oss till den tjänst vi har kunnat kontrollera i leverantörens egen dokumentation: Microsoft 365 Copilot, som Microsoft numera kallar Microsoft Copilot. Hur ChatGPT, Gemini eller andra tjänster loggar i företagsversion har vi inte kontrollerat, och då får du fråga arbetsgivaren.
Microsofts dokumentation beskriver två olika saker:
- Granskningsloggen. När organisationen har granskning påslagen loggas dina interaktioner med Copilot automatiskt i Microsoft Purview, utan extra inställningar. Posten visar vem som använde Copilot, när och var, och vilka filer, webbplatser och andra resurser Copilot hämtade för att svara. Frågan och svaret finns med som meddelande-id; sidan beskriver inte att själva texten ligger i granskningsposten.
- Själva frågorna och svaren. Enligt Microsofts sida om lagring lagras frågor och svar i Microsoft 365 Copilot i en dold mapp i din egen brevlåda. Mappen är inte gjord för att du eller en administratör ska öppna den direkt, men complianceadministratörer kan söka i den med eDiscovery-verktyg.
Microsoft skriver också att det som syns i appen inte är en korrekt bild av om meddelandena finns kvar. Att du har raderat en chatt i gränssnittet säger alltså inte hur länge den ligger kvar i bakgrunden. Den frågan går vi igenom i artikeln om hur länge AI-chattar sparas.
Svaret på den tekniska frågan är därför ja: med rätt behörighet går dina Copilot-frågor att söka fram. Den rättsliga frågan är en annan.
Arbetsrätten först, dataskyddet när personuppgifter behandlas
IMY beskriver ordningen så här: ”En arbetsgivares rätt att kontrollera sina anställda regleras i första hand genom arbetsrätten, till exempel i arbetsrättslig lagstiftning och kollektivavtal.” Om kontrollen innebär att arbetsgivaren behandlar personuppgifter om dig måste arbetsgivaren dessutom följa dataskyddsförordningen. Det gäller enligt IMY till exempel kontroller som görs med uppgifter ur olika it-system, och IMY pekar ut en särskild risk: att ”modern teknik ofta möjliggör en omfattande insamling av personuppgifter utan att den enskilda är medveten om detta”.
En sökning i någons AI-chattar är en behandling av personuppgifter. Därmed gäller principerna i artikel 5 i dataskyddsförordningen: bland annat laglighet, korrekthet och öppenhet, ändamålsbegränsning och uppgiftsminimering. Artikel 6 kräver dessutom en rättslig grund.
Artikel 88 tillåter att medlemsstaterna i lag eller kollektivavtal inför mer specifika regler för anställningsförhållanden, och nämner uttryckligen övervakningssystem på arbetsplatsen. Det är en möjlighet, inte en skyldighet. Har din arbetsplats kollektivavtal är det därför värt att fråga om det säger något om kontroll av it-användning.
IMY:s vägledning nämner inte AI-assistenter. Den talar om it-system, loggning, e-post och internet. Bedömningsgrunderna nedan är därför IMY:s generella grunder för kontroll av anställda, inte särskilda regler för AI-chattar.
Ändamål, proportionalitet och mindre ingripande alternativ
IMY:s krav på själva kontrollen står i några få meningar. Med IMY:s egna ord:
- Ändamålet: ”Arbetsgivarens behov av att behandla personuppgifter för ett kontrolländamål ska vara sakligt motiverat i den specifika verksamheten.”
- Omfattningen: ”Behandlingen får inte vara för omfattande eller närgången i förhållande till ändamålet.”
- Alternativen: ”Arbetsgivaren ska kunna visa att ändamålet med behandlingen inte kan uppnås på ett tillfredställande sätt genom andra, mindre integritetskränkande, metoder.”
- Löpande övervakning: ”Det är som regel inte tillåtet att använda ett it-system för att i realtid eller på annat sätt regelmässigt övervaka hur de anställda utför sina arbetsuppgifter eller när de tar raster.”
- Loggning: ”Kontrollen får aldrig vara mer ingripande än nödvändigt. Loggning uppfattas ofta som mycket integritetskänsligt och får inte utformas eller användas på ett sätt som innebär ett otillbörligt intrång i de anställdas integritet.”
Till det kommer frågan om nivå. Arbetsgivaren ska enligt IMY först ta ställning till om kontrollen behöver göras på individnivå eller om det räcker med gruppnivå. Att se hur mycket en avdelning använder Copilot är något annat än att läsa vad en viss person har frågat.
Ändamålet binder också. Enligt IMY:s sida om grundläggande principer får uppgifter som samlats in för ett ändamål inte användas för oförenliga syften. IMY:s exempel är uppgifter för planering och logistik som sedan används för prestationsmätning. En logg som förs för informationssäkerhet blir alltså inte automatiskt ett underlag för att bedöma hur du sköter jobbet.
Och så det privata. IMY skriver att en arbetsgivare ”normalt inte” har rätt att ta del av innehållet i dina privata filer eller mejl, men att undantag kan gälla vid allvarlig misstanke om illojalt eller brottsligt beteende. IMY har på de sidor vi läst inte uttalat sig om privata frågor i en AI-assistent. Det praktiska rådet blir ändå detsamma: skriv inget i jobbets AI-verktyg som du inte vill att någon annan ska kunna läsa.
Samtycke räcker inte – intresseavvägningen gör det kanske
Om arbetsgivaren ber dig klicka i att du ”godkänner” att chattarna granskas, är det inte där frågan avgörs. IMY anser inte att en arbetsgivare kan använda samtycke som rättslig grund för att behandla uppgifter för kontroll av anställda. Skälet är enligt IMY att anställda är i beroendeställning och därför som regel inte kan ge ett sådant frivilligt samtycke som förordningen kräver.
Den grund som i stället kan bli aktuell är enligt IMY en intresseavvägning, artikel 6.1 f, eller för myndigheter ett allmänt intresse, artikel 6.1 e. IMY tillägger att säkerhetsskäl väger tyngre än effektivitetsskäl, och att bestämmelser i ett kollektivavtal kan ge stöd för behandlingen. Med den måttstocken väger utredningen av ett misstänkt dataläckage tyngre än en mätning av hur flitigt någon använder verktyget.
När grunden är en intresseavvägning har du enligt IMY rätt att invända mot behandlingen. Arbetsgivaren ska informera om sitt berättigade intresse, och enligt IMY bör det framgå att du på begäran kan få veta hur bedömningen gjordes.
Du ska få veta i förväg – och risken ska ha bedömts
Kontroll i smyg är inte tillåten. Enligt IMY har anställda rätt att ”i förväg få tydlig information om vilka kontroller som kan göras”. Du ska senast när uppgifterna samlas in ha fått veta vilka kontroller arbetsgivaren gör på individnivå och för vilka ändamål. IMY nämner loggning som exempel på insamling direkt från den anställda. Informationen behöver därefter inte upprepas vid varje kontrolltillfälle.
Om ändamålet är att spåra ”oegentligheter” eller ”missbruk” ska du kunna förstå vad arbetsgivaren menar med orden. Av informationen bör det också enligt IMY framgå om och när arbetsgivaren kan ta del av innehållet i privata filer eller mejl.
Artikel 13 i dataskyddsförordningen anger vad informationen ska innehålla när uppgifterna samlas in från dig, bland annat ändamålen och den rättsliga grunden, arbetsgivarens berättigade intresse om grunden är en intresseavvägning, hur länge uppgifterna sparas och att du har rätt att klaga hos tillsynsmyndigheten. Vill arbetsgivaren senare använda uppgifterna för ett nytt syfte ska du enligt artikel 13.3 få veta det innan.
Artikel 35 kräver en konsekvensbedömning före en behandling som, särskilt med ny teknik, sannolikt leder till hög risk för de registrerades rättigheter. Bedömningen ska bland annat pröva behovet och proportionaliteten, och arbetsgivaren ska när det är lämpligt inhämta synpunkter från de registrerade eller deras företrädare. IMY skriver att skyldigheten ”kan aktualiseras relativt ofta” i arbetslivet, och ger systematisk övervakning av hur anställda använder internet och e-post som exempel på en behandling som kräver en bedömning. Om det gäller en viss AI-logg beror på hur den används.
När MBL kräver förhandling – och när den inte gör det
Medbestämmandelagen säger inget om AI-loggar, men den har villkor som kan träffa ett beslut om dem. Enligt 11 § ska en arbetsgivare som är bunden av kollektivavtal på eget initiativ förhandla med den organisationen innan den beslutar om viktigare förändring av verksamheten, eller om viktigare förändring av arbets- eller anställningsförhållandena för arbetstagare som är medlemmar. Om synnerliga skäl föranleder det får arbetsgivaren fatta och verkställa beslutet innan förhandlingen är klar.
Villkoren är alltså tre: kollektivavtal, ett beslut och en viktigare förändring. Om ett beslut att börja använda Copilot-loggar för kontroll av enskilda är en viktigare förändring avgörs i det enskilda fallet; lagen räknar inte upp sådana beslut. IMY påpekar i sitt avsnitt om kamerabevakning att det kan finnas en skyldighet att förhandla enligt medbestämmandelagen.
19 § ger dessutom den kollektivavtalsbundna organisationen rätt till fortlöpande information om hur verksamheten utvecklas och om riktlinjerna för personalpolitiken. Vad facket mer kan begära inför ett AI-beslut går vi igenom i MBL och AI på jobbet. Om frågan i stället gäller att arbetsgivaren kräver att du använder AI, se Får arbetsgivaren kräva att du använder AI? Kameror och poängsättande system tas upp i AI-övervakning på jobbet 2026.
Sju frågor till arbetsgivaren om AI-loggarna
Varje fråga motsvarar ett krav ovan. Ändamålen, den rättsliga grunden och vilka kontroller som görs på individnivå ska du redan ha fått veta genom informationsskyldigheten.
- Vad sparas? Loggas bara att jag använt verktyget, eller sparas även mina frågor och svaren?
- Vem kan söka? Vilka roller har behörighet att söka i loggarna eller med eDiscovery, och dokumenteras det när någon gör det?
- För vilket ändamål? Står ändamålen skriftligt, och ingår uppföljning av enskildas arbete?
- Individ eller grupp? Görs kontrollerna på individnivå, och varför räcker inte gruppnivå?
- Vilken rättslig grund? Om det är en intresseavvägning: vilket berättigat intresse, och hur gjordes bedömningen?
- Finns en konsekvensbedömning? Och fick anställda eller facket lämna synpunkter?
- Har facket informerats eller förhandlat? Om arbetsplatsen har kollektivavtal: behandlades beslutet enligt MBL?
Får du inga svar kan du vända dig till dataskyddsombudet om det finns ett, till facket, och i sista hand till IMY.
FAQ
Kan it-avdelningen se vad jag har skrivit till Copilot?
Enligt Microsofts dokumentation lagras frågor och svar i Microsoft 365 Copilot i en dold mapp i din brevlåda, och complianceadministratörer kan söka i den med eDiscovery-verktyg. Att det går tekniskt säger inget om att arbetsgivaren får använda det för att kontrollera dig.
Måste arbetsgivaren berätta att AI-chattarna kan kontrolleras?
Ja. Enligt IMY ska du senast när uppgifterna samlas in ha fått information om vilka kontroller som görs på individnivå och för vilka ändamål. Informationen behöver därefter inte upprepas vid varje kontrolltillfälle.
Kan jag samtycka till att arbetsgivaren läser mina chattar?
IMY anser inte att en arbetsgivare kan använda samtycke som rättslig grund för kontroll av anställda, eftersom anställda är i beroendeställning. Grunden är i stället normalt en intresseavvägning eller, för myndigheter, ett allmänt intresse.
Måste arbetsgivaren förhandla med facket innan loggarna används för kontroll?
En arbetsgivare med kollektivavtal ska enligt 11 § MBL förhandla på eget initiativ före beslut om viktigare förändring av verksamheten eller av medlemmarnas arbets- eller anställningsförhållanden. Om ett visst beslut om AI-loggar är en sådan förändring avgörs i det enskilda fallet.
Källor
- IMY: Kontroll och övervakning av anställda, senast uppdaterad 15 juni 2026. Arbetsrätten och GDPR, bedömningsgrunderna, rättslig grund, information, it-system, privata filer, kamerabevakning och MBL.
- IMY: Grundläggande principer, senast uppdaterad 15 juni 2026. Öppenhet och ändamålsbegränsning.
- IMY: Information till anställda, senast uppdaterad 11 juni 2025. Information vid loggning.
- IMY: Konsekvensbedömning, senast uppdaterad 17 februari 2025.
- IMY: Rättslig grund, senast uppdaterad 15 juni 2026. Samtycke och rätten att invända.
- EUR-Lex: förordning (EU) 2016/679 (dataskyddsförordningen). Artiklarna 5, 6, 13, 35 och 88.
- Riksdagen: lag (1976:580) om medbestämmande i arbetslivet, ändrad t.o.m. SFS 2026:886. 11 och 19 §§.
- Microsoft Learn: Audit logs for Copilot and AI applications, uppdaterad 2026-08-26. Granskningsloggens innehåll.
- Microsoft Learn: Learn about retention for Copilot & AI apps, uppdaterad 2026-06-25. Lagring av frågor och svar och sökning med eDiscovery.