I juni 2026 publicerade Integritetsskyddsmyndigheten (IMY) en rapport om hur rollerna som personuppgiftsansvarig och personuppgiftsbiträde ska bedömas när förtränade AI-modeller finjusteras. Vägledningen är relevant för såväl leverantörer av AI-lösningar som företag som köper och anpassar sådana lösningar.

Finjustering skapar nya GDPR-frågor

Många AI-tjänster bygger på redan tränade modeller som därefter anpassas till en viss verksamhet eller ett visst användningsområde. En sådan anpassning kan ske genom så kallad finjustering, där modellen tränas vidare på mer avgränsad eller verksamhetsspecifik data.

Om sådan data innehåller personuppgifter aktualiseras GDPR. En central fråga blir då vem som är personuppgiftsansvarig för behandlingen och om AI-leverantören i stället – eller för vissa delar av behandlingen – agerar som personuppgiftsbiträde.

IMY har under våren 2026 analyserat frågan inom ramen för ett pilotprojekt tillsammans med det svenska AI-bolaget Eggsplain.

Den faktiska behandlingen avgör

En central slutsats i IMY:s rapport är att det inte går att fastställa leverantörens GDPR-roll enbart genom att titta på vilken tjänst som levereras.

Att en leverantör exempelvis tillhandahåller AI-teknik, infrastruktur eller teknisk support innebär alltså inte i sig att leverantören är personuppgiftsbiträde.

I stället måste varje behandling analyseras utifrån vad leverantören faktiskt gör med personuppgifterna, varför behandlingen sker och vem som bestämmer över behandlingen.

Detta ligger i linje med den grundläggande principen i GDPR att rollerna som personuppgiftsansvarig och personuppgiftsbiträde bestäms utifrån parternas faktiska roller och inte enbart utifrån hur de har beskrivit relationen i ett avtal.

Tre situationer vid finjustering

IMY analyserar bland annat tre olika situationer.

1. Leverantören finjusterar för egen produktutveckling

Om AI-leverantören på eget initiativ använder personuppgifter för att finjustera en modell som ett led i sin egen produktutveckling talar det för att leverantören är personuppgiftsansvarig för denna behandling.

Det kan exempelvis vara fallet om leverantören använder data för att generellt förbättra en produkt eller modell som sedan ska kunna erbjudas även till andra kunder.

Leverantören måste då själv kunna säkerställa att det finns rättslig grund för behandlingen och att övriga krav enligt GDPR är uppfyllda.

2. Finjustering sker för en specifik kund

Bedömningen blir en annan om leverantören finjusterar modellen på uppdrag av en viss kund, enligt kundens instruktioner och för kundens ändamål.

I den situationen talar det enligt IMY för att kunden är personuppgiftsansvarig och leverantören personuppgiftsbiträde.

Det innebär bland annat att behandlingen måste regleras genom ett personuppgiftsbiträdesavtal och att leverantören som utgångspunkt endast får behandla personuppgifterna enligt kundens dokumenterade instruktioner.

3. Kunden och leverantören utvecklar lösningen tillsammans

AI-projekt är emellertid inte alltid så tydligt uppdelade.

Kunden och leverantören kan tillsammans påverka hur personuppgifterna ska användas vid utveckling eller finjustering av modellen. Om parterna gemensamt bestämmer ändamålen med och de väsentliga medlen för behandlingen kan de i stället vara gemensamt personuppgiftsansvariga.

Det kräver en annan avtalsmässig och regulatorisk struktur än en traditionell kund–biträdesrelation.

En AI-leverantör kan ha olika roller samtidigt

En praktiskt viktig konsekvens är att man inte nödvändigtvis kan sätta en enda GDPR-etikett på hela relationen mellan en kund och en AI-leverantör.

En leverantör kan exempelvis vara personuppgiftsbiträde när den behandlar kundens data för att leverera den avtalade AI-tjänsten, men personuppgiftsansvarig för en separat behandling där samma eller andra personuppgifter används för leverantörens egen produktutveckling.

Det är därför viktigt att identifiera de olika behandlingarna och bedöma rollerna separat.

Vad innebär detta för AI-avtal?

IMY:s vägledning får praktisk betydelse vid såväl inköp som avtalsförhandling av AI-tjänster.

En kund bör bland annat förstå:

• vilken data som används för att tillhandahålla tjänsten,
• om kundens data används för träning eller finjustering,
• om data får användas för leverantörens generella produktutveckling,
• vem som bestämmer ändamålet med respektive behandling,
• om leverantören agerar som personuppgiftsbiträde, självständig personuppgiftsansvarig eller om gemensamt personuppgiftsansvar kan uppkomma, och
• hur respektive behandling regleras i avtalet.

Det räcker alltså inte alltid med ett standardmässigt personuppgiftsbiträdesavtal som anger att leverantören är biträde för all behandling.

Särskilt villkor som ger AI-leverantören rätt att använda kunddata för att träna, förbättra eller vidareutveckla egna modeller bör analyseras noggrant. En sådan användning kan innebära att leverantören behandlar personuppgifterna för egna ändamål och därmed själv blir personuppgiftsansvarig för den behandlingen.

Viktigt att kartlägga dataflödena

IMY:s rapport illustrerar en bredare fråga som blir allt viktigare vid köp av AI-tjänster: den juridiska analysen måste utgå från hur data faktiskt används.

För både kunder och leverantörer finns det därför anledning att kartlägga dataflöden och användningsändamål innan GDPR-rollerna fastställs och avtalet utformas.

Det gäller särskilt när en AI-lösning inte enbart används utan också kontinuerligt anpassas, tränas eller vidareutvecklas med data från kundens verksamhet.