Forskarbloggen

Hur privat är det jag skriver i ChatGPT?

Publicerat 2026-10-12

Annonser är på väg in i AI-chattarna. När tjänster som ChatGPT ska börja finansieras med reklam ställs en fråga på sin spets som annars är lätt att skjuta ifrån sig mitt i användandet: hur privat är egentligen det jag skriver? I det följande går jag igenom vad man faktiskt delar med sig av, var de rättsliga gränserna går, vad som är nytt med just AI-chatten och hur man kan påverka hur mycket data man delar med tjänsterna.

Mindre privat än det känns

Det man skriver i ChatGPT delar man med företaget bakom tjänsten, OpenAI. Så det är möjligen mindre privat än det känns. Samtidigt hamnar informationen som ofta utgör personuppgifter inte direkt ute på internet. Exakt vad OpenAI får göra med uppgifterna beror på användarvillkoren och integritetspolicyn. Om man vill veta mer om hur ens data används behöver man börja där.

Vad lagen sätter för gränser

Den främsta gränsen för datainsamling för annonsändamål bör vara dataskyddsförordningen, GDPR, i den mån det handlar om personuppgifter. Enligt GDPR krävs det en rättslig grund, ett tydligt ändamål som anges i förväg och att man bara samlar in de uppgifter som är nödvändiga. Jag har svårt att se att känsliga personuppgifter om exempelvis hälsa, religion eller politiska åsikter kan användas på ett lagligt sätt för annonsering i AI-chattar. EU-domstolen stramade åt kraven på personanpassade annonser i domen i det banbrytande Meta-målet (C-252/21) som handlade om tjänsten Facebook. För den typen av uppgifter krävs användarens uttryckliga samtycke som rättslig grund. Det är dock oklart om ett sådant samtycke kan lämnas på ett giltigt sätt i förväg, när det ännu inte är känt exakt vilka uppgifter användaren kommer att dela med sig av.

Det nya med annonser i AI-chattar

Det nya med annonser i AI-chattar är förmodligen att tjänsteleverantören inte bara observerar vad du gör och gissar vilka intressen du har. Du berättar själv för AI-systemet om vad du intresserar dig för, vad som händer i ditt liv och vad som oroar dig. Det gör sannolikt informationen mer trovärdig och annonserna ännu mer träffsäkra. Samtidigt ökar det rimligen risken för att känsliga personuppgifter behandlas. Tröskeln för vad som anses som känsliga personuppgifter i en större datamängd är relativt låg enligt EU-domstolens rättspraxis.

Om vi däremot lämnar ifrån oss mer i en konversation än i annan användning av internet vågar jag inte uttala mig om. Av egen erfarenhet vet jag dock att den information som AI-system har om oss är mycket omfattande, djupare och betydligt mer personlig. Beroende på hur man använder tjänsten kan det sparas en sorts ”profil” som systemet minns till framtida samtal. Systemet vet nog väldigt mycket om oss, om vi tillåter det.

En nyansering om försäljning av konversationer

Vad är den juridiska skillnaden mellan att jag själv säljer mina konversationer till annonsörer och att OpenAI använder dem? Rättsligt bör integritetsfrågan vara densamma: enligt GDPR krävs en laglig grund för behandlingen oavsett vem som står bakom den. Skillnaden ligger i att när du aktivt säljer dina konversationer till en tredje part blir transaktionen kring dina personuppgifter tydligare för dig som berörs och försäljningen sker dessutom i ett extra led.

När annonser i stället visas i chatten baserat på dina konversationer behandlas uppgifterna av AI-leverantören, inte av annonsören. Den avgörande poängen är att leverantörens egen behandling av dina uppgifter för detta ändamål ändå kräver en laglig grund enligt GDPR. Det leverantören säljer är inte dina konversationer, utan annonsutrymmet i din chatt.

Hur skiljer det sig från sociala medier?

När det gäller GDPR bör bedömningen i grunden inte vara annorlunda än avseende sociala medier. Huruvida annonser i AI-chattar kan leva upp till kraven är oklart i skrivande stund, främst med tanke på användningen av känsliga personuppgifter. Min spontana bedömning är att tydliga annonser utan profilering av användaren och utan matchning mot samtalsinnehållet bör vara tillåtna, men att det blir allt svårare att rättfärdiga ju mer personanpassade annonserna är och ju fler personuppgifter som används.

En skillnad mot sociala medier är att vissa regler eller förbud i EU:s AI-förordning kan aktualiseras, till exempel förbudet mot manipulativa AI-system i artikel 5.1. AI-förordningen kräver dessutom att du ska få veta att du interagerar med ett AI-system, se artikel 50.1. AI-förordningen gäller dock enbart för AI-system och för vissa AI-modeller och för onlineplattformar, inklusive sociala medier, gäller parallellt EU:s förordning om digitala tjänster (Digital Services Act, DSA). Enligt artikel 26.3 DSA får leverantörer av onlineplattformar inte presentera annonser som bygger på profilering med användning av känsliga personuppgifter. För AI-system gäller detta förbud inte direkt, men samma resultat bör i princip följa av GDPR.

Vad du själv kan göra

Det finns flera sätt att påverka hur mycket data man delar:

• Man kan betala för tjänsten. Då brukar inga annonser visas. Upplägget liknar den kända modellen ”pay or consent”, dvs. valet mellan att betala en avgift eller att samtycka till att ens personuppgifter behandlas för annonsändamål.
• Tänk på tjänstens konfiguration och stäng av träningen. I inställningarna kan man vanligen slå av att chattarna används för att träna modellerna.
• Var medveten om olika funktioner. Det finns oftast en funktion som sparar chatthistoriken samt en för minnen. Man kan rensa historiken och slå av funktionen för minnen.
• Var sparsam med vad du skriver. Akta vilken information du delar och avstå från att skriva in känsliga uppgifter i chatten.
• Använd dina rättigheter. Som användare har du rättigheter enligt GDPR, bland annat rätt till tillgång och radering i förekommande fall.

Vad som är på gång och slutsatsen

Rättsläget är i rörelse. EU avser att göra vissa justeringar i GDPR mot bakgrund av teknikutvecklingen genom det så kallade Digital Omnibus-paketet, men den delen förhandlas fortfarande. Europeiska kommissionen har dessutom nyligen designerat ChatGPT som en mycket stor onlinesökmotor enligt DSA. Det medför krav på bland annat systematisk riskbedömning och riskreducering, men dessa regler tar sikte på systemrisker. En ny regel som uppmärksammades i nyhetsmedier har dessutom börjat gälla från augusti 2026, nämligen en märkningsplikt för AI-genererat innehåll i artikel 50.2 i AI-förordningen. Inget av detta handlar direkt om datainsamling för att visa annonser.

Slutsatsen är att själva integritetsfrågan inte är ny, eftersom GDPR gäller som vanligt, men att AI-chatten gör frågan ännu skarpare. Vi lämnar frivilligt ifrån oss mer och mer personlig information och tills rättsläget klarnat ligger det närmaste skyddet därför hos oss själva: vi behöver tänka efter innan vi skriver.

Hajo Michael Holtz, lektor i rättsvetenskap med fokus på IT-rätt

__________________________________________________________________