KONFIDENTIALITET
Exempel för ekonomer
När en controller skriver en första avvikelsekommentar till månadsrapporten är huvudfrågan inte om AI kan skriva texten, utan vilka uppgifter, beslut och ansvar som får hanteras. Dokumentera dataklass, vem som granskar och vilket underlag som måste verifieras.
Vem står bakom innehållet?
Den här guiden ingår i AI på svenska och är redaktionellt framtagen som praktiskt stöd i arbetet.
Innehållet ersätter inte professionell bedömning eller lokala regler. Kontrollera alltid interna riktlinjer, avtal, sekretess och dataskydd innan material används i skarpt läge.
Ekonomidata är organisationens känsligaste information
Löneinformation, resultaträkningar, prognoser, budgetdata, prissättning, kundlönsamhet — ekonomifunktionen sitter på information som kan skada organisationen allvarligt om den hanteras fel. Det gäller oavsett om det sker via ett AI-verktyg eller på annat sätt.
Grundregeln är enkel: information som är konfidentiell i andra sammanhang är konfidentiell även i AI-verktyg. "Det är bara ett AI-verktyg" är inte ett försvar.
Vad som aldrig matas in i icke-godkända verktyg
- Individers löner och förmåner. Löneinformation är personuppgifter och ofta starkt konfidentiell. Aldrig i icke-godkänt AI-verktyg.
- Icke-offentliga finansiella resultat. Kvartal- och helårssiffror innan de är offentliggjorda kan utgöra insiderinformation. Extremt känsligt.
- Kundspecifik ekonomidata. Kundlönsamhet, prissättning per kund, debiteringsunderlag — sannolikt konfidentiellt och potentiellt avtalsskyddat.
- Affärshemligheter i siffror. Marginaler, kostnadsstrukturer och prismodeller kan vara affärshemligheter — behandla dem därefter.
- Data som identifierar individer. Även aggregerad data kan vara GDPR-relevant om den kan kopplas till en specifik person.
Personuppgifter i ekonomiarbetet
Ekonomifunktionen hanterar mer personuppgifter än den ibland är medveten om: löner, förmåner, reseräkningar, traktamenten, pensionsavsättningar och sjuklönekostnader per individ är alla personuppgifter enligt GDPR.
Vad det innebär för AI-användning:
- Godkänt system räcker inte ensamt. Om leverantören behandlar personuppgifter för organisationens räkning behövs personuppgiftsbiträdesavtal. Ni behöver också ha rättslig grund, bestämt ändamål, lämplig säkerhet och lämna information till registrerade där det krävs.
- Anonymisering kräver att återidentifiering inte längre är möjlig. Att bara ersätta namn är normalt pseudonymisering. Lönenivå, avdelning och anställningstid kan fortfarande räcka för att identifiera en person.
- Aggregerade siffror kan ge lägre risk. Kontrollera att grupperna inte är så små eller kombinationerna så unika att en individ ändå kan identifieras.
Så här arbetar du säkert med AI och ekonomidata
- Minimera och avidentifiera underlaget. Använd bara de uppgifter som behövs. Att ersätta namn kan minska exponeringen, men uppgifterna är fortfarande personuppgifter om någon kan identifieras.
- Formulera — mata inte in rådata. Istället för att ladda upp en Excel-fil med löner, skriv ut de relevanta siffrorna i anonymiserad form direkt i prompten.
- Använd organisationens godkända verktyg för känslig data. Säkerställ med IT, dataskydd och informationssäkerhet att användningsfallet, avtalet och konfigurationen är godkända innan personuppgifter eller konfidentiella uppgifter behandlas.
- Bedöm behovet av konsekvensbedömning. Om användningen sannolikt leder till hög risk för individer, exempelvis vid systematisk övervakning, ska organisationen bedöma och vid behov genomföra en konsekvensbedömning före start.
- Dokumentera vad du gör. Om din organisation har en AI-policy — följ den. Om den inte har det, dokumentera ditt eget arbetssätt så att du kan redovisa det om någon frågar.
Extra hänsyn vid insiderinformation
Arbetar du i ett börsnoterat bolag eller med information om börsnoterade bolag gäller extra restriktioner. Icke-offentlig finansiell information — resultat, prognoser, planerade transaktioner — kan klassas som insiderinformation.
Att mata in insiderinformation i ett AI-verktyg är inte per automatik ett brott — men det ökar risken för otillbörlig spridning och kan vara ett brott mot interna policyer. Kontrollera vad som gäller i din organisation innan du använder AI för arbete med potentiellt insiderkänslig information.
BÖRSNOTERATKontrollera mot primärkällor
- IMY: Arbetsgivarens personuppgiftsansvar
- IMY: Personuppgiftsbiträdesavtal
- IMY: Konsekvensbedömning i arbetslivet
- Bokföringsnämnden: bokföring, verifikationer och systemdokumentation
För börsnoterade bolag och andra reglerade verksamheter behöver ni dessutom följa egna insider-, informationssäkerhets- och rapporteringsrutiner.
NÄSTA STEG
Etik och juridik
Får jag mata in finansiell data i ChatGPT eller Claude?
Offentlig och tillräckligt aggregerad information innebär ofta lägre risk. Personuppgifter och konfidentiella finansiella uppgifter ska bara behandlas i en miljö som organisationen godkänt efter kontroll av ändamål, avtal och säkerhet.
Vem ansvarar när AI gör en analys eller prognos?
Organisationen och den ansvariga funktionen behåller ansvaret. AI kan stödja formulering och scenarioarbete, men siffror, antaganden och slutsatser måste valideras mot källorna innan de används i rapporter eller beslut.
Hur hanterar vi AI och bokföringens krav på spårbarhet?
Bevara verifikationer och den dokumentation som bokföringsreglerna kräver i ordinarie system. Om AI används som stöd bör ni dessutom dokumentera användningsfall, granskningssteg och vilken version av texten som godkänts.