EU:s artikel 88c kan förtydliga AI-träning med personuppgifter – men är långt från ett frikort

Debatten om EU:s digitala omnibuspaket beskrivs ibland som att företag snart får träna AI-modeller på personuppgifter utan samtycke. Det är en alltför förenklad bild.

Det centrala förslaget är en ny artikel 88c i GDPR. Den skulle uttryckligen ange att berättigat intresse, enligt artikel 6.1 f i GDPR, kan vara en möjlig rättslig grund när behandling av personuppgifter är funktionellt nödvändig för att lagligt utforma, utveckla eller använda ett AI-system eller en AI-modell. Den skulle varken avskaffa GDPR, automatiskt godkänna webbskrapning eller göra samtycke oväsentligt när andra regler kräver det.13

Dessutom gäller detta dataförslaget i det digitala omnibuspaketet – inte den redan antagna AI-omnibusförordningen. Dataförslaget befinner sig fortfarande i EU:s lagstiftningsprocess, vilket innebär att ordalydelsen och slutresultatet inte är fastställda.

Vad artikel 88c faktiskt skulle kunna ändra

Enligt den föreslagna formuleringen kan en personuppgiftsansvarig, eller en tredje part, i vissa fall stödja sig på berättigat intresse för behandling under AI-systemets livscykel. Villkoret är att behandlingen är funktionellt nödvändig för systemets eller modellens lagliga utformning, utveckling eller användning.3

Det skulle göra en möjlighet som redan kan finnas enligt GDPR tydligare i AI-sammanhang. Europeiska dataskyddsstyrelsen (EDPB) har tidigare bedömt att berättigat intresse i vissa fall kan vara en lämplig rättslig grund för att utveckla och använda AI-modeller eller AI-system.45

Men det viktiga ordet är kan. Ett företag kan inte bara hävda att dess intresse av att bygga en AI-modell väger tyngst. Det måste fortfarande:

• peka ut ett verkligt berättigat intresse,
• visa att behandlingen är nödvändig för detta intresse, och
• väga intresset mot rättigheterna och friheterna för de personer vars uppgifter behandlas.15

Andra EU-regler och nationella regler som kräver samtycke skulle fortfarande gälla. Artikel 88c vore alltså inte ett allmänt tillstånd att samla in alla offentliga eller privata personuppgifter för modellträning.1

Skyddsåtgärderna avgör i praktiken

Mycket av diskussionen handlar mindre om huruvida berättigat intresse någon gång kan användas och mer om vilka skydd som måste följa med.

De skyddsåtgärder som har diskuterats omfattar dataminimering vid val av källor och träning, tekniska och organisatoriska skydd, meningsfull transparens samt lösningar som kan känna igen maskinläsbara invändningar eller avanmälningar. Den föreslagna modellen innehåller också en ovillkorlig rätt att invända mot den aktuella AI-relaterade behandlingen.13

Detta är avgörande. Dataminimering begränsar argumentet att en utvecklare får samla in allt som möjligen kan bli användbart senare. Transparens ger människor en chans att förstå behandlingen. Och en verklig rätt att invända måste fungera i praktiken – inte bara bestå av en svårfunnen inställning.

Känsliga personuppgifter är inte fritt fram

I rådets diskussioner om ett närliggande undantag för känsliga uppgifter har fokus legat på en betydligt snävare situation: oavsiktlig och kvarvarande behandling av särskilda kategorier av personuppgifter. Det handlar om fall där den personuppgiftsansvarige inte avsett att behandla känsliga uppgifter, men där sådana uppgifter oundvikligen förekommer i den huvudsakliga behandlingen. Det är något annat än att medvetet samla in känsliga personuppgifter som träningsmaterial.2

Varför EDPB och EDPS är kritiska

EDPB och Europeiska datatillsynsmannen (EDPS) har inte sagt att berättigat intresse aldrig kan användas för AI-relaterad behandling. Deras huvudsakliga invändning är i stället att en särskild artikel 88c inte behövs, eftersom den befintliga GDPR-bedömningen redan medger detta i lämpliga fall.45

Oro finns både juridiskt och praktiskt: en ny AI-specifik bestämmelse kan uppfattas som mer än ett förtydligande och därmed skapa osäkerhet kring etablerade skyddsregler i GDPR. Tillsynsmyndigheternas yttrande är rådgivande, inte bindande, men väger tungt i lagstiftningsdebatten.5

Är artikel 88c tillbaka? Läget är fortfarande oklart

Tillgängligt lagstiftningsunderlag visar att rådets arbete har varit omstritt. En planerad Coreper-omröstning – där medlemsstaternas ständiga representanter förbereder ministerrådets beslut – om rådets förhandlingsmandat ställdes in efter att enighet inte kunde nås i öppna frågor. Arbetet fortsatte därefter under Irlands ordförandeskap i rådet.

I Irlands ordförandeskapsprogram anges målet att nå en uppgörelse med Europaparlamentet om det digitala omnibuspaketet före utgången av 2026. Men det officiella underlaget här fastslår inte självständigt att artikel 88c slutgiltigt har återinförts i en färdig rådsposition.

Den säkraste beskrivningen är därför: artikel 88c är politiskt omstridd och förhandlingsbar. Den kan ännu inte behandlas som en bindande rättslig grund som företag kan använda i stället för GDPR:s nuvarande krav.

Blanda inte ihop de två omnibuspaketen

En del av förvirringen beror på att en annan åtgärd, AI-omnibusförordningen, redan har antagits som förordning (EU) 2026/1744.

Den ändrar tidsplanen för delar av AI-förordningen. Kraven för fristående högrisksystem i bilaga III ska börja tillämpas den 2 december 2027. För högrisksystem som ingår i reglerade produkter gäller en senare tidplan.1920

När kraven för systemen i bilaga III börjar gälla omfattar de bland annat riskbedömning och riskminskning, högkvalitativa datauppsättningar som ska minska risken för diskriminerande resultat, loggning och spårbarhet, dokumentation, information till den som använder systemet, mänsklig tillsyn samt krav på robusthet och cybersäkerhet.20

Dessa AI-regler är separata från GDPR-frågan om huruvida personuppgifter får behandlas för AI-träning. Att senarelägga kraven för högrisk-AI innebär inte att artikel 88c har blivit lag.

Vad betyder detta för företag och privatpersoner?

För AI-utvecklare kan artikel 88c ge större klarhet i lagtexten, men den skulle inte vara en genväg runt regelefterlevnad. Ett hållbart upplägg kräver fortfarande dokumenterade bedömningar av nödvändighet och intresseavvägning, dataminimering, tydlig information och fungerande processer för invändningar.

För den vars uppgifter kan användas är kärnfrågan om en slutlig lag bevarar verkliga gränser: om användningen verkligen är nödvändig, om känsliga uppgifter förblir strikt begränsade och om invändningar får teknisk effekt i stället för att bli symboliska.

Den bredare bilden är inte att EU har övergett förebyggande AI-reglering. Den antagna AI-omnibusförordningen skjuter upp vissa krav för högrisksystem, medan det separata dataförslaget undersöker en tydligare väg för viss AI-relaterad personuppgiftsbehandling. Var balansen till slut landar avgörs av förhandlingarna mellan rådet och Europaparlamentet – och av hur en eventuell sluttext tolkas och tillämpas.19