Avidentifiera text för AI: namnbyte räcker inte

1. Bestäm vad AI faktiskt behöver

Skriv uppgiften i en mening innan du kopierar arbetsmaterial: ”Jag vill ha en generell rutin för hur sena dokumentleveranser följs upp.” Fråga sedan vilken information som ändrar svaret. För en rutin kan ansvar, nästa steg och ett neutralt tonläge räcka. Personens namn, arbetsplats och tidigare konflikt hjälper inte den uppgiften.

Gör bearbetningen i en lokal miljö som din organisation tillåter. Skicka inte först originalet till AI för att be tjänsten avidentifiera det; då har du redan lämnat över originalet. Använd checklistan före inklistring för den bredare kontrollen av material och verktyg.

Dataskyddsförordningens artikel 5.1 c kräver att personuppgifter begränsas till vad ändamålet behöver. Här används samma fråga som praktisk arbetsmetod: vilken detalj kan strykas utan att rutinutkastet blir sämre? Det avgör inte i sig om en AI-tjänst får användas. Källa: GDPR.

2. Ta bort direkta identifierare

Alla personer, platser och händelser nedan är helt uppdiktade för guiden. Exemplet bygger inte på ett verkligt personalärende. Siffror och datum är övningsdetaljer, inte statistik. Uppgiften är att skapa en allmän rutin för dokumentleveranser.

Före: uppdiktat underlag

Mira Exempel, den enda nattansvariga arkivsamordnaren på Nordgläntans lilla filial, missade leveransen den 17 september. Hon hade nyligen återkommit efter rehabilitering. Chefen vill skriva en uppföljningsrutin. Kontakt: mira@example.invalid, ärende NK-431.

Efter: bara direkta identifierare borttagna

Person A, den enda nattansvariga arkivsamordnaren på Nordgläntans lilla filial, missade leveransen den 17 september. Hon hade nyligen återkommit efter rehabilitering. Chefen vill skriva en uppföljningsrutin.

Namn, e-postadress och ärendenummer har försvunnit. Men texten beskriver fortfarande en särskild roll, en liten filial, ett datum och en personlig omständighet. I ett verkligt fall skulle sådana ledtrådar kunna räcka för igenkänning. Leta också i rubriker, signaturer och citerade mejl; en ren första mening hjälper inte om namnet står kvar längre ned.

3. Granska kombinationer av roll, plats och tid

Markera uppgifter som verkar harmlösa var för sig och läs dem sedan ihop. ”Medarbetare” är brett. ”Nattansvarig arkivsamordnare på en liten filial efter en viss händelse” är betydligt snävare. Kontrollera även exakta citat och ovanliga händelseförlopp. Byt inte bara filialnamnet om resten av berättelsen fortfarande pekar ut samma person.

För just rutinuppgiften kan roll och plats strykas helt, och datum ersättas av ”efter överenskommen tid”. Uppgiften om rehabilitering behövs inte och tas bort. Du förlorar detaljrikedom, men behåller det som rutinutkastet ska lösa.

Efter: minskat underlag

En dokumentleverans blev sen. Ta fram en generell rutin för uppföljning efter överenskommen tid: vem tar kontakt, hur ett nytt datum bestäms och hur nästa steg dokumenteras. Undvik bedömningar av enskilda personer.

Detta är en illustration av minimering, ingen intygad anonymisering. Skäl 26 i GDPR säger att bedömningen av identifierbarhet ska ta hänsyn till hjälpmedel som rimligen kan användas, även av andra. Därför räcker det inte att du själv saknar namnnyckeln. Källa: GDPR, skäl 26.

4. Gör ett kollegieprov med tydligt facit

Öva med de två bearbetade versionerna ovan. Be en kollega markera kvarvarande ledtrådar och säga vilka uppgifter som behövs för en generell rutin. Be inte kollegan samla in fler uppgifter om verkliga personer. Om du tillämpar granskningen på arbetsmaterial ska granskaren redan ha rätt att se det inom organisationens rutin.

1. Vilka ledtrådar återstår i versionen med ”Person A”?
2. Vilken personlig uppgift saknar betydelse för rutinuppgiften?
3. Vad kan den kortaste versionen hjälpa AI att göra, och vad kan den inte bedöma?

Facit: den ovanliga rollen, den lilla filialen och datumet är kvar; ordet ”enda” gör urvalet extra snävt. Rehabiliteringen behövs inte för en generell leveransrutin. Den kortaste versionen ger underlag för ett rutinutkast, men inte för att bedöma varför en viss medarbetare blev sen eller hur ett personalärende ska hanteras.

Om kollegan kan ana personen är det en varningssignal. Om kollegan inte kan det har du bara prövat den personens kunskap i den situationen. Kollegieprovet är redaktionens praktiska övning, inte ett juridiskt test eller bevis på anonymisering. Inget verkligt kollegieprov eller AI-test har utförts för denna guide.

5. Välj material eller stoppa inmatningen

Dokumentera ett av fyra val innan du fortsätter. Minska materialet när onödiga detaljer kan strykas och uppgiften fortfarande går att lösa; pröva sedan den nya versionen igen. Använd helt uppdiktat material när du vill öva ett arbetssätt eller skapa en generell struktur. Konstruera då exemplet från uppgiften, utan att återberätta ett verkligt känsligt fall med andra namn.

Använd en godkänd skyddad arbetsgång om verkliga uppgifter behövs och organisationen har bedömt just behandlingen och tjänsten. Kontrollera att godkännandet omfattar den aktuella informationen och användningen. Avstå från att lämna in materialet när igenkänning kvarstår, du saknar en tillåten arbetsgång eller du inte kan avgöra vilka uppgifter som behövs. Ta frågan till ansvarig funktion enligt arbetsplatsens rutin.

För övningen blir beslutet: ”Syfte: generell uppföljningsrutin. Borttaget: person, kontakt, ärende, roll, filial, datum och rehabilitering. Kvar: sen leverans och önskade rutinsteg. Val: helt uppdiktat, kort scenario. Kontroll: exemplet beskriver ingen verklig händelse. Ansvar: jag granskar rutinutkastet före användning.” Beslutet visar vad du gjorde; det ersätter inte organisationens dataskyddsbedömning.

6. Skilj namnbyte från anonymisering

Pseudonymisering enligt artikel 4.5 innebär bland annat att ytterligare information behövs för att koppla uppgifter till en person och att den informationen hålls separat med skyddsåtgärder. Ett enkelt namnbyte visar inte att definitionen är uppfylld. Källa: GDPR, artikel 4.5.

IMY skiljer pseudonymisering från anonymisering: pseudonymiserade uppgifter är fortfarande personuppgifter. GDPR gäller inte information som verkligen är anonym, men själva anonymiseringen av personuppgifter är en behandling som omfattas av GDPR. Använd alltså inte ordet ”avidentifierat” som ett automatiskt undantag. Källa: IMY.

För offentlig verksamhet finns fler frågor än igenkänning. Fortsätt med sekretess och GDPR i offentlig sektor. Guiden här hjälper dig välja underlag; den prövar inte sekretess eller den rättsliga grunden i ett enskilt ärende.

Nästa steg

Testa metoden på ett eget helt uppdiktat scenario och jämför vad som behövs för uppgiften före och efter strykningarna. I samma tema: AI och sekretess i socialtjänsten. Använd sedan checklistan före inklistring och din arbetsplats godkända rutin inför faktisk användning.

Källor och avgränsning

• IMY: anonymiserade personuppgifter – anonymiseringens behandling och skillnaden mot pseudonymisering. Kontrollerad 2026-10-04.
• EUR-Lex: dataskyddsförordningen – skäl 26 samt artiklarna 4.5 och 5.1 c. Kontrollerad 2026-10-04.

Laguppgifterna stöds av källorna. Exemplet, granskningsfrågorna och beslutsanteckningen är redaktionens övningsmaterial. Ingen remissversion används som bindande rätt.