Mötesanteckningar med AI och GDPR:
det ni måste kräva

Är en mötesinspelning en personuppgift?

Ja, i de flesta fall. IMY skriver att även ljudupptagningar kan räknas som personuppgifter om man kan höra vem det rör, och att ljudinspelningar som lagras digitalt kan vara personuppgifter även om inga namn nämns. Transkript och sammanfattning innehåller dessutom ofta namn och vad var och en sagt.

Undantaget i artikel 2.2 c gäller bara verksamhet av rent privat natur eller som har samband med hushållet. Ett arbetsmöte omfattas inte av det.

Vem är personuppgiftsansvarig och vem är biträde?

Personuppgiftsansvarig är den som bestämmer ändamålen och medlen för behandlingen (artikel 4.7). Personuppgiftsbiträde är den som behandlar personuppgifter för den ansvariges räkning (artikel 4.8).

IMY:s rapport från juni 2026 om finjustering av AI-applikationer konstaterar att en leverantörs roll beror på varför och för vems räkning personuppgifterna behandlas. En tjänst som bara behandlar ert möte enligt era instruktioner har därför i regel rollen som biträde, medan en leverantör som använder innehållet för egna syften kan bli personuppgiftsansvarig för den delen. Kontrollera rollerna i leverantörens avtal.

Vilken rättslig grund behöver ni?

Artikel 6.1 räknar upp 6 rättsliga grunder, bland dem samtycke, avtal, rättslig förpliktelse och berättigat intresse. Minst en måste vara uppfylld.

IMY skriver att det ofta inte är lämpligt eller ens möjligt att stödja sig på samtycke, och att ni först bör överväga de andra grunderna. Dokumentera hur ni resonerar, eftersom ni ska kunna tala om för deltagarna vilken grund ni använder.

I IMY:s rapport om AI-transkribering i socialtjänsten (IMY-2026-6527, daterad 2026-04-09, försättsblad 2026-04-13, s. 12) beskrivs behandlingen som ljudinspelning, överföring av ljudfil, transkribering, AI-genererad sammanfattning, lagring och överföring av en textfil. IMY bedömer nödvändigheten för processen som helhet, eftersom varje steg är en förutsättning för de andra. Ta därför med alla steg när ni bedömer rättslig grund.

Känsliga uppgifter i mötet

Artikel 9.1 förbjuder som huvudregel behandling av bland annat uppgifter om hälsa, politiska åsikter, fackmedlemskap och biometriska uppgifter för att entydigt identifiera en fysisk person. Fråga därför om tjänsten bygger röstprofiler eller känner igen talare.

Vad ska deltagarna få veta innan ni spelar in?

Artikel 13 säger att den personuppgiftsansvarige ska lämna information när uppgifterna samlas in. För ett inspelat möte betyder det bland annat:

• vem som är personuppgiftsansvarig och hur ni nås
• ändamålet och den rättsliga grunden
• mottagare, till exempel transkriberingstjänsten
• om uppgifter förs till ett tredjeland och med vilka skyddsåtgärder
• hur länge inspelning, transkript och sammanfattning sparas
• rätten till tillgång, rättelse, radering och att klaga hos IMY

Skriv informationen i kallelsen och säg det när mötet börjar. Enligt artikel 5.2 ska ni kunna visa att principerna följs, så dokumentera att ni har informerat.

Vad ska biträdesavtalet innehålla?

När ett biträde behandlar personuppgifter åt er ska det regleras i ett bindande avtal (artikel 28.3). Avtalet ska ange föremål, varaktighet, art och ändamål, typ av personuppgifter och kategorier av registrerade. Det ska också särskilt föreskriva att biträdet ska:

• a) bara behandla enligt era dokumenterade instruktioner
• b) se till att personalen har tystnadsplikt
• c) vidta säkerhetsåtgärder enligt artikel 32
• d) följa villkoren för underbiträden
• e) hjälpa er med de registrerades rättigheter
• f) bistå med skyldigheterna i artiklarna 32 till 36
• g) radera eller återlämna uppgifterna när tjänsten upphör
• h) ge er information och möjliggöra granskning

Biträdet får inte anlita ett annat biträde utan ert särskilda eller allmänna skriftliga förhandstillstånd (artikel 28.2). IMY påpekar att EU-kommissionen har tagit fram standardavtalsklausuler för biträdesavtal som kan användas men inte är obligatoriska.

Hur länge får inspelningen och texten sparas?

Personuppgifter får inte förvaras i en form som gör det möjligt att identifiera den registrerade längre än vad som är nödvändigt för ändamålet (artikel 5.1 e, lagringsminimering).

I rapporten IMY-2026-6527 (s. 23) skriver IMY att gallringen ska omfatta alla platser där uppgifterna kan finnas, även hos ett personuppgiftsbiträde, och även säkerhetskopior. Sätt separata tider för ljud, transkript och sammanfattning.

När blir det en tredjelandsöverföring?

IMY beskriver en överföring till tredjeland som att personuppgifter skickas eller görs tillgängliga för en mottagare utanför EU/EES. Det räcker att någon utanför EU/EES får läsbehörighet till uppgifter som lagras inom EU/EES.

En sådan överföring får bara ske om villkoren i kapitel V är uppfyllda (artikel 44). Utan ett beslut om adekvat skyddsnivå krävs lämpliga skyddsåtgärder, till exempel standardiserade dataskyddsbestämmelser (standardavtalsklausuler) som antagits av kommissionen (artikel 46.2 c). IMY skriver att ytterligare skyddsåtgärder kan behövas och att ni i vissa fall måste avstå från överföringen.

Bot i mötet eller egen app: vad skiljer?

Det finns 2 vanliga sätt att spela in ett möte. Antingen ansluter en bot till det digitala mötet och tar upp ljudet där, eller så spelar en deltagare in i en app på sin egen enhet. GDPR-kraven är desamma.

Vad kan gå fel?

• Deltagarna informeras inte innan inspelningen börjar, i strid med artikel 13.
• Sammanfattningen innehåller fel och sparas som om den vore korrekt. Artikel 5.1 d kräver korrekta uppgifter, och IMY betonade i april 2026 mänsklig kontroll vid AI-transkribering i socialtjänsten.
• Inspelningar och transkript ligger kvar utan gallringsrutin, till exempel i säkerhetskopior.
• Allt spelas in för säkerhets skull, trots att uppgifterna inte ska vara för omfattande i förhållande till ändamålet (artikel 5.1 c).

IMY inledde i maj 2026 tillsyn mot Region Gävleborg om AI-baserad transkribering i primärvården. Om behandlingen sannolikt leder till hög risk ska en konsekvensbedömning göras före behandlingen (artikel 35.1).

Checklista: frågor till en transkriberingstjänst

Så gör Nordibo

Uppgifterna kommer från Nordibos egna sidor (nordibo.se, /integritet/, /villkor/, /deltagare/, /schema/ och /sub-processors/), hämtade 2026-10-23.

• Ingen bot. Mötet spelas in i appen på den egna enheten.
• Roller. Den som spelar in är personuppgiftsansvarig och Nordibo är personuppgiftsbiträde.
• Var. Möten transkriberas på Nordibos egen server hos Hetzner Online GmbH i Helsingfors och struktureras där med regler, utan språkmodell. För mötestypen intern kan användaren välja molnbehandling: då transkriberar Berget AI AB i Sverige och Google Vertex AI i en EU-region strukturerar texten. Ljud skickas aldrig till Google.
• Transport. All trafik går via Cloudflare, ett amerikanskt bolag. Den krypterade förbindelsen avslutas i Cloudflares kantnod, så innehållet finns okrypterat i kantnodens arbetsminne under överföringen. Cloudflare lagrar inte mötesinnehållet, garanterar inte att kantnoden ligger inom EU, och överföringen omfattas av standardavtalsklausuler.
• Tredjeland redovisas. Varje leverans via MCP eller webhook anger i fältet foreign_law_exposure om minst en amerikanskägd leverantör har behandlat innehållet efter att det nått Nordibos server, eller om vägen är okänd. Fältet beskriver inte transporten via Cloudflare.
• Radering. Mötesdata raderas normalt inom 48 timmar och alltid senast 30 dagar efter mötet. Krypterad mötesdata kan finnas kvar i säkerhetskopior en begränsad tid.
• Träning. Mötesinnehållet används inte för att träna AI-modeller.