EU: Nya GDPR-regler för AI är inte tillräckligt lätta

Europeiska dataskyddsstyrelsen och Europeiska dataskyddsmyndigheten har avfärdat kommissionens förslag till Digital Omnibus med en tydlig varning. I ett gemensamt yttrande avvisar de oberoende myndigheterna nyckelförsök att begränsa definitionen av personuppgifter och inskränka användarnas rättigheter. Det är ett tydligt tecken på att den nuvarande regleringskursen möter kraftigt motstånd. För svenska tech-ledare är detta inte bara byråkratiskt brus; det bekräftar att strävan att lindra GDPR-begränsningarna för att främja AI-konkurrenskraften långt ifrån är avgjord och sannolikt kommer att förbli omdiskuterad.

Kontroversen kretsar kring kommissionens försök att omdefiniera vad som utgör personuppgifter enligt artikel 4.1 i GDPR samt att begränsa rätten till registerutdrag enligt artikel 12.5. Myndigheterna menar att dessa ändringar i praktiken skulle tillåta företag att kringgå GDPR-kraven genom att omklassificera data som icke-personuppgifter eller pseudonymiserade utan tillräckliga säkerhetsåtgärder. Dessutom, även om förslaget föreslår att berättigat intresse ska användas för AI-träning, noterar myndigheterna att artikel 88c saknar tydlighet. Detta tvingar företagen att genomföra komplexa tre-stegstester för att säkerställa efterlevnad. Ambiguiteten innebär att lita på dessa föreslagna ändringar för AI-utveckling idag är ett juridiskt risktagande, inte en trygg hamn.

De praktiska konsekvenserna för svenska CTO:er och CISO:er är att man inte kan utgå från att en lättare regleringsbörda är på väg. Myndigheternas avvisande av dessa förenklingar innebär att status quo förblir den säkraste juridiska baslinjen. Att försöka utnyttja de föreslagna luckorna för AI-träning eller databehandling kan exponera organisationen för allvarliga brister i efterlevnad och sanktioner. Myndigheterna varnar uttryckligen för att sådana ändringar främst gynnar stora amerikanska tech-företag och byråer specialiserade på att utnyttja lagluckor, snarare än att minska den administrativa börda för vanliga EU-företag. Om kommissionen försöker driva igenom dessa snäva definitioner kan man förvänta sig ökad granskning från svenska och EU-myndigheter som nu uttryckligen står emot dem.

Detta regulatoriska läge understryker det strategiska behovet av datasuveränitet. När den juridiska definitionen av personuppgifter är hotad och reglerna för AI-träning förblir otydliga, är det enda sättet att garantera efterlevnad att behålla kontrollen över datainfrastrukturen. Att behandla data lokalt inom EU eller Sverige minimerar exponeringen för dessa skiftande regulatoriska förhållanden och säkerställer att man förblir inom det tydliga skyddet av det nuvarande GDPR-ramverket. När striden om Digital Omnibus fortsätter kommer de företag som prioriterar lokal och efterlevande databehandling att vara de som är isolerade från kaoset i den lagstiftningsmässiga osäkerheten.