Att ersätta namn med platshållare är ett bra första steg. Enligt GDPR gör det inte i sig uppgifterna anonyma. Den här artikeln går igenom vad förordningen säger, vad EU-domstolen avgjorde i september 2025 och vad du kan göra åt det.
Det korta svaret
Ja, i allmänhet. GDPR säger att personuppgifter som har pseudonymiserats och som kan hänföras till en person med hjälp av ytterligare information är uppgifter om en identifierbar person. Om du har nyckeln som kopplar ”Person_1” till ett verkligt namn är texten du ersatte fortfarande personuppgifter i dina händer, och din behandling av den omfattas av GDPR.
Det mer nyanserade svaret är att det beror på vem som har uppgifterna och vilka medel personen rimligen skulle kunna använda för att identifiera personen. Det är här domstolsbeslutet från 2025 spelar roll.
Vad GDPR säger
Artikel 4.5 definierar pseudonymisering så här:
”behandling av personuppgifter på ett sådant sätt att personuppgifterna inte längre kan hänföras till en specifik registrerad utan att ytterligare information används, under förutsättning att denna ytterligare information förvaras separat och är föremål för tekniska och organisatoriska åtgärder för att säkerställa att personuppgifterna inte hänförs till en identifierad eller identifierbar fysisk person”
Skäl 26 säger att personuppgifter som har pseudonymiserats och som kan hänföras till en fysisk person med hjälp av ytterligare information ska betraktas som uppgifter om en identifierbar fysisk person. För att avgöra om en person är identifierbar ska hänsyn tas till alla medel som rimligen kan komma att användas, till exempel att särskilja personen, antingen av den personuppgiftsansvarige eller av någon annan, med beaktande av kostnaderna och tidsåtgången för identifieringen samt tillgänglig teknik.
Två praktiska slutsatser följer av formuleringen. Nyckeln måste förvaras separat, med tekniska och organisatoriska skyddsåtgärder. Och ”identifierbar” bedöms utifrån realistiska medel, inte utifrån om identifiering är teoretiskt möjlig.
Vad EU-domstolen tillade 2025
Den 4 september 2025 avgjorde EU-domstolen målet EDPS mot SRB (mål C-413/23 P). Det gällde kommentarer som en bankmyndighet lämnade till en konsultfirma efter att ha ersatt upphovspersonernas identiteter med koder. Målet avgjordes enligt förordning 2018/1725, som gäller EU:s institutioner, men dess definitioner av personuppgifter och pseudonymisering motsvarar GDPR:s.
Domstolen slog fast att pseudonymiserade uppgifter inte ska betraktas som personuppgifter ”i alla fall och för varje person”. Om uppgifter är personuppgifter för en viss mottagare beror på omständigheterna, bland annat på om mottagaren har medel som rimligen kan användas för att återidentifiera de berörda personerna. Den part som utförde pseudonymiseringen och har den ytterligare informationen befinner sig i en annan situation än en mottagare som inte har något sätt att koppla koderna till någon.
Det här är en rättslig utveckling som specialister fortfarande analyserar. Tolka det inte som ett tillstånd att skicka pseudonymiserade klientuppgifter vart som helst. Det betyder att frågan bedöms utifrån mottagarens perspektiv, inte att frågan försvinner.
Vad detta innebär för en AI-chattbot
- Du är fortfarande personuppgiftsansvarig för originaluppgifterna och nyckeln. Dina egna skyldigheter enligt GDPR gäller det du gör med dokumentet, inklusive ersättningen av uppgifter.
- Huruvida AI-leverantören tar emot personuppgifter är en fråga som beror på de specifika omständigheterna. Sammanhanget kan identifiera en person även utan namn: ett ovanligt yrke, en liten ort, en sällsynt händelse. Om någon realistiskt skulle kunna lista ut vem texten handlar om bör du behandla den som personuppgifter.
- Bygg inte din efterlevnad på antagandet att platshållare gör texten anonym. Utgå från att det fortfarande kan röra sig om personuppgifter och betrakta platshållarna som en av flera skyddsåtgärder.
Det är fortfarande värt att pseudonymisera, och GDPR säger det uttryckligen. Artikel 32.1 a nämner pseudonymisering bland de säkerhetsåtgärder som en personuppgiftsansvarig kan använda. Skälen 28 och 78 säger att det kan minska riskerna för registrerade och bidra till inbyggt dataskydd och dataskydd som standard. Förordningen behandlar det som en skyddsåtgärd, inte som en väg ut ur regelverket.
Vad du kan göra i praktiken
- Minimera först. Skicka bara det avsnitt som uppgiften kräver. Se hur du använder AI-verktyg med klientdokument.
- Ersätt varje identifierare, inte bara namn. Kontonummer, ID-nummer och födelsedatum är också identifierare. I checklistan finns en lista över dem.
- Förvara nyckeln hos dig, separat från texten du skickar, och radera den när ärendet är avslutat.
- Kontrollera leverantörens villkor och ditt abonnemang. Ett företagsabonnemang med personuppgiftsbiträdesavtal innebär något annat än ett kostnadsfritt privatkonto. Se vad datainställningarna säger.
- Sök rådgivning i högriskärenden: hälsouppgifter, barns uppgifter, särskilda kategorier av personuppgifter eller sådant där ett dataintrång skulle få allvarliga följder.
I vardagligt tal används termerna ganska löst. Anonymisering, pseudonymisering och maskning jämför dem.
Vanliga frågor
Är pseudonymiserade uppgifter samma sak som anonyma uppgifter?
Nej. Skäl 26 säger att dataskyddsprinciperna inte gäller för anonym information, det vill säga information som inte rör en identifierbar person, eller uppgifter som har gjorts anonyma så att personen inte längre är identifierbar. Pseudonymiserade uppgifter som kan kopplas tillbaka är en annan kategori.
Förbjuder GDPR användning av AI-verktyg med personuppgifter?
Nej. Förordningen kräver en rättslig grund, uppgiftsminimering, säkerhet och, när en leverantör anlitas, ett lämpligt avtal. Platshållare bidrar till uppgiftsminimering.
Gäller detta utanför EU?
Storbritannien har en egen motsvarighet, och många länder har liknande regler. GDPR kan också gälla företag utanför EU som erbjuder tjänster till personer inom EU.
ClientSafe behåller tabellen som kopplar platshållare till riktiga namn på din dator. Texten du kopierar till ett AI-verktyg innehåller bara platshållarna. Du granskar först vad verktyget hittade, eftersom inget verktyg hittar allt.
Allmän information, inte juridisk rådgivning. Fråga en kvalificerad dataskyddsrådgivare om din egen situation.