REGISTERFÖRTECKNINGEN ENLIGT ARTIKEL 30 NÄR NI INFÖRT AI: SÅ BESKRIVER NI BEHANDLINGEN
Registerförteckningen skrevs innan AI-verktygen kom in i huset, och därför står de inte i den. Det svåra är inte blanketten utan att behandlingen saknar avgränsat datainnehåll: underlaget är vad medarbetarna matar in, mottagaren är en leverantör med en kedja av underbiträden bakom sig, och gallringstiden ligger i en inställning någon annan äger. Den här texten går igenom fält för fält hur ett AI-verktyg beskrivs, och hur ni prövar om undantaget för färre än 250 anställda faktiskt gäller er.
Vem står bakom innehållet?
Den här texten är redaktionellt framtagen av AI på svenska för dataskyddsombud, HR- och IT-ansvariga och verksamhetsansvariga på svenska arbetsplatser som har infört AI-verktyg utan att uppdatera sin dokumentation. Den bygger på artikel 30 i dataskyddsförordningen och på Integritetsskyddsmyndighetens vägledning om att föra register över behandlingar (öppnas i ny flik). Samtliga källor öppnades och kontrollerades 2026-08-23. Texten ger ett arbetssätt för att fylla i förteckningen — inte ett besked om att en viss organisation är registerskyldig, om en viss behandling är tillåten eller om vilken rättslig grund som gäller.
Förteckningen beskriver behandlingar, inte licenser
Det första felet är nästan alltid formen på frågan. ”Vilka AI-verktyg har vi?” är en licenslista. Artikel 30 vill veta något annat: vilka behandlingar ni utför, vad ni gör dem för, och med vilka uppgifter. Ett verktyg som används till fyra saker i fyra delar av verksamheten kan behöva flera rader. Ett verktyg som bara används till en enda avgränsad sak behöver en.
Skillnaden är praktisk, inte akademisk. Om ni skriver ”ChatGPT” i ändamålskolumnen har ni beskrivit en produkt, och nästa fält går inte att fylla: vilka är de registrerade i ”ChatGPT”? Skriver ni i stället ”sammanfattning och strukturering av inkommande kundärenden inför handläggning”, faller resten på plats — de registrerade är kunderna som skrivit in, uppgifterna är det ärendena innehåller, mottagaren är leverantören som driftar tjänsten.
Praktiskt sätt att komma igång: gå igenom era befintliga rader först. I många organisationer används AI i moment som redan står i förteckningen — rekrytering, kundtjänst, ärendehandläggning, intern support. Där är AI ett nytt medel i en behandling ni redan beskrivit, och arbetet blir att ändra befintliga rader snarare än att uppfinna nya. Först därefter letar ni efter det som saknas helt.
De sju uppgifterna som ska stå där
För er som personuppgiftsansvariga anger artikel 30.1 sju uppgifter. IMY återger dem i samma ordning:
- Namn och kontaktuppgifter för den personuppgiftsansvariga, i tillämpliga fall gemensamt personuppgiftsansvariga, företrädare och dataskyddsombud.
- Ändamålen med behandlingen.
- En beskrivning av kategorierna av registrerade och av kategorierna av personuppgifter.
- De kategorier av mottagare till vilka personuppgifterna har lämnats eller ska lämnas ut.
- I tillämpliga fall, överföringar av personuppgifter till ett tredjeland eller en internationell organisation.
- De förutsedda tidsfristerna för radering av de olika kategorierna av uppgifter.
- En allmän beskrivning av de tekniska och organisatoriska säkerhetsåtgärderna.
Är ni i stället personuppgiftsbiträde åt en kund och kör kundens material genom ett AI-verktyg, för ni en egen förteckning enligt artikel 30.2: era och kundens kontaktuppgifter, de kategorier av behandling som har utförts för varje personuppgiftsansvarigs räkning, eventuella tredjelandsöverföringar och en allmän beskrivning av säkerhetsåtgärderna.
Notera vad som inte står i listan. Rättslig grund är inget krav i artikel 30 — den plikten hämtar sitt stöd på annat håll i förordningen. Många lägger ändå till en kolumn för rättslig grund, och det är ofta klokt, men blanda inte ihop det med vad artikeln kräver. Formkraven är däremot uttryckliga: registret ska enligt artikel 30.3 upprättas ”skriftligen, inbegripet i elektronisk form”, det ska enligt artikel 30.4 göras tillgängligt för tillsynsmyndigheten på begäran, och IMY skriver att det ska hållas uppdaterat. Ett kalkylblad duger. Ett kalkylblad från 2023 duger inte.
Undantaget för färre än 250 anställda är smalare än det låter
Artikel 30.5 lyder: skyldigheterna ”ska inte gälla för ett företag eller en organisation som sysselsätter färre än 250 personer såvida inte den behandling som utförs sannolikt kommer att medföra en risk för registrerades rättigheter och friheter, behandlingen inte är tillfällig eller behandlingen omfattar särskilda kategorier av uppgifter”.
Två saker i den meningen avgör utfallet. Det ena är ordet eller: villkoren är alternativa. Det räcker att ett av dem träffar behandlingen för att den ska in i förteckningen. Det andra är att prövningen görs per behandling, inte per organisation — IMY skriver uttryckligen att varje behandling ska bedömas för sig, och att en organisation kan vara registerskyldig för vissa behandlingar men inte för andra.
Ställ därför tre frågor om just den AI-behandling ni håller på att beskriva:
- Är den tillfällig? Ett verktyg som ligger i medarbetarnas dagliga arbetsflöde, med licens, inloggning och rutin, är svårt att beskriva som tillfälligt. Ett engångsprojekt som pågick tre veckor kan vara det.
- Medför den sannolikt en risk för de registrerades rättigheter och friheter? Här väger sådant som antalet berörda, hur känsligt innehållet är i praktiken och om de registrerade rimligen kan förvänta sig att materialet går till en extern tjänst.
- Omfattar den särskilda kategorier av uppgifter? Sjukfrånvaro, facklig tillhörighet, hälsouppgifter i ett kundärende — kommer sådant in i verktyget, är villkoret uppfyllt även om det sker sällan.
Den icke-självklara fallgropen: den lilla organisationen svarar ofta ”nej” på alla tre utan att skriva ned varför. När IMY sedan begär ut förteckningen finns varken förteckning eller bedömning. Har ni landat i att undantaget gäller, dokumentera den slutsatsen och skälen till den — det tar tio minuter och är det enda ni har att visa upp.
Om tröskeln: inom EU bereds ett förslag om att höja gränsen i artikel 30.5 till färre än 750 personer. Det är ett förslag och inte gällande rätt. Räkna med 250 tills något annat är beslutat, och kontrollera aktuell status innan ni lutar er mot en ändring.
När AI dyker upp som en funktion i ett verktyg ni redan har
Det vanligaste sättet AI kommer in i en organisation är inte genom ett inköp utan genom en uppdatering: mötesverktyget får sammanfattningar, ärendesystemet får förslag på svar, kontorspaketet får en assistent. Verktyget står redan i förteckningen. Frågan blir om den befintliga raden ska ändras eller om en ny ska skapas.
Det finns ingen formell regel som säger ”en rad per system”. Använd ändamålet som skiljelinje:
- Samma ändamål, nytt medel → ändra raden. Ni sammanfattade kundärenden förut också, nu gör en AI-funktion det. Ändamålet står kvar; det som ändras är beskrivningen av medlet, mottagarledet, eventuell tredjelandsuppgift och gallringen. Notera datum för ändringen.
- Nytt ändamål → ny rad. Funktionen gör något ni inte gjorde tidigare — poängsätter, rangordnar, drar slutsatser om personer. Då är det en annan behandling, oavsett att den nås genom samma inloggning.
- Ny mottagare eller ny överföring → alltid en ändring som ska synas. Även när ändamålet är oförändrat kan uppgifterna nu gå till en modellleverantör som inte fanns i bilden förut. Det fältet måste stämma.
Exempel: ett mötesverktyg som ni haft i tre år får transkribering och automatisk sammanfattning i en uppdatering. Ändamålet ”mötesdokumentation” är detsamma, men innehållet är nu talat språk från namngivna deltagare, det passerar en ny underleverantör och sparas enligt en ny inställning. Raden finns kvar — tre av dess fält är fel. Att fånga sådant innan funktionen är påslagen för alla är precis vad en test- och beslutsrutin är till för; vi har beskrivit en sådan i Testa nya AI-funktioner före utrullning.
Kategorier av registrerade och personuppgifter när underlaget är fritext
I ett lönesystem är fältet enkelt: systemet har ett schema, och kategorierna följer av det. Ett generellt AI-verktyg har inget schema. Det tar emot vad någon skriver in. Det är därför det här fältet stoppar arbetet oftare än något annat.
Två utvägar är vanliga och båda är dåliga. Den ena är att skriva ”uppgifter som användaren väljer att mata in”, vilket inte beskriver någon behandling alls. Den andra är att räkna upp allt tänkbart — namn, kontaktuppgifter, hälsouppgifter, ekonomiska förhållanden, fackligt medlemskap — vilket gör raden både oanvändbar och missvisande, eftersom den påstår att ni behandlar sådant ni försöker hålla ute.
Beskriv i stället det avsedda och styrda innehållet, i tre led:
- Utgå från arbetsmomentet, inte från verktyget. Vilka texter går faktiskt in här? Kundärenden, utkast till kundbrev, interna mötesanteckningar, ansökningshandlingar? Kategorierna av registrerade följer direkt: kunder, medarbetare, sökande, leverantörskontakter.
- Koppla uppgiftskategorierna till instruktionen. Om er instruktion säger att personnummer och hälsouppgifter inte får matas in, ska förteckningen inte lista dem som kategorier — den ska beskriva de kategorier som är avsedda. Instruktionen blir därmed en del av avgränsningen, och avgränsningen blir kontrollerbar.
- Skriv ut restposten ärligt. Fritext betyder att material utanför avsikten kan följa med. Beskriv det som det är: uppgifter som förekommer i det inklistrade underlaget inom ramen för instruktionen, med en hänvisning till hur ni upptäcker och hanterar avvikelser.
Det här är också provet på om avgränsningen håller. Kan ni inte skriva kategorierna utan att lista halva förordningen, är det inte förteckningen som är problemet utan att behandlingen saknar gräns. Då är rätt åtgärd att smalna av användningen — inte att bredda beskrivningen.
Mottagaren är sällan ett enda namn
Fältet frågar efter kategorier av mottagare, och där är ett AI-verktyg ovanligt genom att kedjan nästan alltid är längre än ett steg. Leverantören ni har avtal med kan i sin tur anlita en molnplattform för drift, en modellleverantör för själva inferensen, en supportfunktion och en leverantör av loggning eller övervakning.
Uppgifterna finns redan skrivna någonstans — men inte hos er. De står i personuppgiftsbiträdesavtalets bilaga och i leverantörens publicerade underbiträdeslista. Arbetet är alltså inte att ta reda på något nytt utan att flytta över det som redan är avtalat till rätt fält, och att lägga in en rutin för att fånga tillägg i listan. Den juridiska granskningen av själva bilagan har vi gjort separat i Personuppgiftsbiträdesavtal för AI; här handlar det om att förteckningen ska säga samma sak som avtalet.
Namngiven fallgrop: underbiträdeslistan är levande och kan ändras utan att någon hos er läser aviseringen. En förteckning som stämde vid påskrift stämmer inte automatiskt ett år senare. Sätt ett datum för när mottagarfältet ska stämmas av mot listan, och skriv datumet i raden — ”löpande” går inte att revidera.
Glöm inte de interna mottagarna heller. Går sammanfattningarna vidare till en chef, ett ärendesystem eller ett beslutsunderlag är det en del av behandlingen, även om ingen extern part är inblandad.
Fältet som kräver att ni vet var behandlingen sker
Punkten om överföring till tredjeland gäller ”i tillämpliga fall”, och det är just tillämpligheten som är svår att avgöra för en AI-tjänst. Ett besked om att data lagras inom EU besvarar frågan om var uppgifterna vilar, inte var modellen körs när anropet behandlas. Fältet i förteckningen ska spegla det som faktiskt sker, inte det som står i marknadsföringsmaterialet.
Skillnaden mellan lagringsort och driftsort och hur ni får ut svaret ur leverantören har vi gått igenom i Var behandlas era AI-anrop? — det resonemanget upprepas inte här. Det som hör hemma i förteckningen är resultatet: vilken konfiguration ni kör på, vilken geografi den innebär för lagring respektive behandling, och, om kedjan går utanför EU/EES, vilken överföringsmekanism som åberopas.
Kan ni inte svara i dag, skriv inte ”nej” i fältet. Skriv vad ni vet, markera vad som är obesvarat och vem som ska ta reda på det. En förteckning med en öppen punkt är ärlig; en förteckning med ett gissat ”ingen överföring” är ett fel som blir svårt att förklara i efterhand.
Tidsfristen ligger i någon annans inställningar
Artikel 30 kräver ”de förutsedda tidsfristerna för radering av de olika kategorierna av uppgifter”. För ett internt system är det en rutin ni själva äger. För ett AI-verktyg är det ofta en inställning i leverantörens administrationsgränssnitt — och den har ett standardvärde som gäller från dagen ni började använda tjänsten, oavsett om någon hos er valde det.
Två slutsatser följer. Den första: leverantörens standardvärde är er gallringstid tills ni ändrar det. Den andra: uppgifterna ligger sällan på ett enda ställe med en enda tid. Gå igenom dem var för sig, för det är precis det formuleringen ”de olika kategorierna av uppgifter” begär:
- Konversationer och promptar i verktygets historik.
- Uppladdade filer och det som härletts ur dem.
- Administrations- och användningsloggar.
- Innehåll som lämnats in i ett supportärende.
- Säkerhetskopior, som normalt har en egen och längre cykel.
Skriv in de värden som faktiskt är satta i er miljö, med enhet — ”30 dagar”, ”12 månader” — och notera var värdet styrs. Var noga med att skilja på vad leverantören kan erbjuda och vad ni har valt. Hur länge material ligger kvar i olika AI-tjänster och vad som styr det har vi behandlat i Hur länge sparas AI-chattarna?
Avvägningen: en kort gallringstid är enkel att försvara men tar bort möjligheten att i efterhand utreda vad som matades in vid en incident. En lång tid ger spårbarhet men bygger upp ett lager av inklistrat material som ingen har överblick över. Välj medvetet, och skriv skälet i raden — det är den anteckningen som gör att nästa person förstår varför siffran ser ut som den gör.
”Allmän beskrivning” är inte samma sak som ingen beskrivning
Sista fältet frestar till en mening om kryptering och behörighetsstyrning, kopierad från raden ovanför. Kravet är mycket riktigt en allmän beskrivning, men den ska handla om den här behandlingen. För ett AI-verktyg betyder det åtminstone: hur inloggning och behörigheter är satta, om verktyget nås med organisationskonto eller privata konton, vilka administrativa spärrar som är på, vad instruktionen säger om vad som får matas in, och hur avvikelser upptäcks.
Ta med det organisatoriska ledet, inte bara det tekniska. För ett verktyg där innehållet bestäms av användarna är instruktionen och utbildningen en säkerhetsåtgärd i egentlig mening — det är den som avgör vad som hamnar i tjänsten. En rad som bara nämner tekniska åtgärder beskriver inte det som faktiskt begränsar behandlingen.
Artikel 30 är inte AI-förordningens dokumentationskrav
En återkommande missuppfattning är att en genomgång inför AI-förordningen skulle täcka registerförteckningen, eller tvärtom. Det är två skilda regelverk med skilda utlösande faktorer.
Artikel 30 hör till dataskyddsförordningen. Den utlöses av att ni behandlar personuppgifter och bryr sig inte om huruvida ett AI-system är högrisk, begränsad risk eller något annat. AI-förordningens dokumentations- och loggningsskyldigheter utlöses i stället av er roll — leverantör eller tillämpare — och av systemets riskklass. Ett verktyg kan alltså kräva en rad i registerförteckningen utan att träffas av några särskilda skyldigheter enligt AI-förordningen, och ett system kan omfattas av AI-förordningen utan att behandla en enda personuppgift.
Praktiskt: håll dokumenten isär men gör inventeringen en gång. Samma genomgång av vad verktyget används till, av vem och med vilket underlag matar båda spåren. Vilka skyldigheter AI-förordningen lägger på er roll går vi igenom i Krav och skyldigheter enligt AI-förordningen.
Ifyllnadsmall för en registerpost om ett AI-verktyg
Sex steg som stänger luckan
- Lista era AI-verktyg och vilka arbetsmoment de används i — momenten, inte licenserna.
- Gå igenom befintliga rader i förteckningen och markera dem där AI har blivit ett nytt medel. Ändra dem först.
- Pröva de tre villkoren i artikel 30.5 för varje behandling och skriv ned slutsatsen, även när den blir att undantaget gäller.
- Hämta mottagar- och tredjelandsuppgifterna ur biträdesavtalets bilaga och underbiträdeslistan i stället för att formulera dem själva.
- Öppna leverantörens inställningar och skriv av de faktiska gallringstiderna per uppgiftskategori, med enhet.
- Sätt ett datum för nästa avstämning i varje rad ni rört, och en namngiven ägare — annars åldras förteckningen i samma takt som verktygen ändras.
Testet på om arbetet är gjort är enkelt: om IMY i morgon begär ut förteckningen, går den att skicka som den är? Kan ni inte svara ja, är det den luckan som ska stängas först.
Vanliga frågor om artikel 30 och AI-verktyg
Måste AI-verktyget stå i registerförteckningen?
Behandlar verktyget personuppgifter och är ni personuppgiftsansvariga för behandlingen, ska den beskrivas i förteckningen. Att uppgifterna matas in av medarbetarna själva ändrar ingenting: det är ni som har bestämt ändamålet och medlet. Undantaget för organisationer med färre än 250 personer prövas per behandling och faller om något av tre villkor är uppfyllt.
Gäller undantaget för färre än 250 anställda oss?
Artikel 30.5 undantar företag och organisationer som sysselsätter färre än 250 personer, men bara så länge behandlingen är tillfällig, inte sannolikt medför en risk för de registrerades rättigheter och friheter och inte omfattar särskilda kategorier av uppgifter. Villkoren är alternativa: det räcker att ett av dem träffar behandlingen för att den ska föras in. Löpande användning av ett AI-verktyg i det dagliga arbetet är sällan tillfällig.
Ska vi skapa en ny post eller uppdatera den befintliga när AI läggs till i ett verktyg vi redan har?
Utgå från ändamålet. Är ändamålet detsamma och bara medlet nytt, uppdatera den befintliga posten och notera det nya medlet, den nya mottagarkedjan och den nya gallringen. Är ändamålet nytt, eller går uppgifterna till en mottagare som inte fanns i posten förut, skapa en egen post. Det finns ingen regel som säger en rad per system.
Hur beskriver vi kategorier av personuppgifter när innehållet är fritext som medarbetarna klistrar in?
Beskriv det avsedda och styrda innehållet, inte allt som teoretiskt kan klistras in. Utgå från vad verktyget används till i era arbetsmoment och från vad instruktionen tillåter, och skriv kategorierna utifrån det. En förteckning som räknar upp alla tänkbara uppgiftsslag beskriver ingen behandling och går inte att följa upp.
Källor och vidare läsning
- IMY: Föra register över behandlingar (öppnas i ny flik) — punktlistan över vad förteckningen ska innehålla för ansvariga och för biträden, samt kravet på skriftlig och elektroniskt tillgänglig form som hålls uppdaterad.
- IMY: Föra register över personuppgiftsbehandlingar (öppnas i ny flik) — undantaget för färre än 250 anställda och att varje behandling ska bedömas för sig.
- IMY: Dataskyddsförordningen i fulltext (öppnas i ny flik) — artikel 30 i sin helhet, punkterna 1–5.
- EUR-Lex: dataskyddsförordningen (EU) 2016/679 (öppnas i ny flik) — förordningstexten på svenska.
- EDPB och EDPS om förslaget att ändra registerföringskraven (öppnas i ny flik) — det ännu inte antagna förslaget om en höjd tröskel i artikel 30.5.
- EUR-Lex: AI-förordningen (EU) 2024/1689 (öppnas i ny flik) — det separata regelverk vars dokumentationskrav beror på roll och riskklass.