Är AI-analys av en workshop laglig enligt EU:s AI-förordning och GDPR?

Två separata EU-lagar styr AI-analys av en workshop: AI-förordningen avgör vilka metoder som är förbjudna, GDPR avgör hur personuppgifter får hanteras. Här är vad var och en säger om känsloigenkänning, biometriska uppgifter, könsstatistik och inspelningar.

Att använda AI för att analysera en workshop eller ett möte är inte förbjudet i EU. Det lagen gör är att sätta gränser, och gränserna kommer från två olika förordningar som svarar på två olika frågor. EU:s AI-förordning, förordning (EU) 2024/1689, avgör om en viss AI-metod är tillåten över huvud taget, inklusive en kort lista över helt förbjudna användningar i artikel 5. GDPR, förordning (EU) 2016/679, styr hur personuppgifter i mötet samlas in, lagras och används, oavsett vilket verktyg som gör jobbet. En metod kan klara den ena och ändå gå emot den andra, så det ärliga sättet att svara på "är det här lagligt" är att ta lagarna en i taget.

Två lagar, och vad var och en styr

AI-förordningen reglerar AI-system som sådana. Artikel 5 räknar upp metoder som är förbjudna rakt av, de som EU bestämt inte ska finnas på marknaden i någon form. Om det ett verktyg gör inte står på den listan och inte klassas som högrisk på annat sätt, är det inte AI-förordningen som står i vägen. GDPR är bredare och äldre. Den gäller närhelst personuppgifter om identifierbara personer behandlas, oavsett om någon AI är inblandad, och det är den som sätter reglerna om samtycke, ändamål, lagring och hur länge uppgifter får sparas. De flesta frågor om att "spela in en workshop lagligt" är i grunden GDPR-frågor. De flesta frågor om "förbjuder AI-lagen känsloigenkänning" är frågor om AI-förordningen. Att hålla isär dem är första steget till att svara rätt på någon av dem.

Förbjuder EU:s AI-förordning känsloigenkänning i möten?

Artikel 5.1 f förbjuder att man tar i bruk "AI-system för att dra slutsatser om fysiska personers känslor på arbetsplatser och inom utbildningsanstalter", med ett snävt undantag för medicinska skäl eller säkerhetsskäl. En faciliterad yrkesworkshop kan rymmas inom "arbetsplats", så den här är värd att förstå snarare än att vifta bort. Hur långt förbudet når beror på vad "dra slutsatser om känslor" är förankrat i. Förordningens definition av ett "system för känsloigenkänning" i artikel 3 beskriver ett system som läser av känslor "på grundval av deras biometriska uppgifter", och skäl 18 håller kvar det där: det räknar upp vilka känslor som omfattas och undantar rena fysiska tillstånd som smärta eller trötthet, liksom ren avläsning av ett ansiktsuttryck som inte används för att sluta sig till en underliggande känsla. Skäl 44 förklarar skälet till förbudet och pekar på den svaga vetenskapliga grunden för att läsa av känslor och på den maktobalans som känslopoängsättning skapar i ett klassrum eller på ett kontor.

Den praktiska gränsen går vid biometriska uppgifter. EU-kommissionens riktlinjer om förbjudna AI-användningar (C(2025) 884 final, publicerade den 4 februari 2025) läser förbudet genom definitionen av känsloigenkänning och säger rakt ut att ett system som sluter sig till känslor ur skriven text, den sortens innehålls- eller sentimentanalys som bedömer tonen i ett stycke, inte är grundat på biometriska uppgifter och därför faller utanför förbudet. Beteendebiometri som tangenttrycksmönster eller kroppshållning ligger innanför; orden en person säger, när de väl är transkriberad text, gör det inte. En ärlig reservation hör hemma här. Ordalydelsen i artikel 5.1 f säger "AI-system för att dra slutsatser om känslor" utan att upprepa "biometriska uppgifter", så biometrigränsen vilar på definitionen i artikel 3 plus kommissionens vägledning, och den vägledningen är inte bindande lag. EU-domstolen har sista ordet om hur artikeln ska läsas, och den har inte prövat frågan. Och vad AI-förordningen än täcker eller inte täcker gäller GDPR fortfarande för den underliggande transkriptionen.

Vad räknas som biometriska uppgifter enligt AI-förordningen?

Artikel 3.34 definierar biometriska uppgifter som personuppgifter som erhållits genom särskild teknisk behandling av en persons fysiska, fysiologiska eller beteendemässiga kännetecken, med ansiktsbilder och fingeravtryck som exempel. Ett röstavtryck eller en ansiktsskanning är biometriskt. De transkriberade orden någon sa är det inte i sig, eftersom de återger vad som sades snarare än ett uppmätt kroppsligt kännetecken. Den skillnaden gör mycket tyst arbete genom hela artikel 5. De två mötesrelevanta förbuden, känsloslutledning i artikel 5.1 f och biometrisk kategorisering i artikel 5.1 g, är båda byggda på tanken att ett system läser av något ur en persons kropp eller röst. Ett verktyg som bara hanterar texten i ett samtal och metadata om det ligger på andra sidan den gränsen.

Är könsbaserad taltidsanalys laglig, enligt AI-förordningen och enligt GDPR?

Det här är frågan som oftast besvaras för snabbt, så den är värd att dela upp per lag. Enligt AI-förordningen är det relevanta förbudet artikel 5.1 g, som förbjuder biometriska kategoriseringssystem som utifrån biometriska uppgifter kategoriserar personer för att härleda ras, politiska åsikter, medlemskap i fackförening, religiös eller filosofisk övertygelse eller sexualliv eller sexuell läggning. Två saker håller ett könsbaserat taltidsdiagram utanför det. Kön står inte på den listan alls, som nämner sexualliv och sexuell läggning snarare än kön som sådant. Och förbudet slår bara till när ett system härleder egenskapen ur biometriska uppgifter, så en könsetikett en person matat in för hand är inte biometrisk kategorisering från första början.

Enligt GDPR är frågan en annan. Kön är en personuppgift när det är kopplat till en identifierbar person, men det är inte en av de särskilda kategorier som räknas upp i GDPR artikel 9, som omfattar sexualliv och sexuell läggning, inte kön i allmänhet. Så den strängare artikel 9-regimen utlöses inte automatiskt av ett könsfält. Kön räknas ändå som en vanlig personuppgift, vilket betyder att det behöver en rättslig grund, ett tydligt ändamål och inte mer insamling än ändamålet kräver. Aggregering ändrar bilden: en siffra som säger "i den här gruppen talade kvinnor 40 procent av tiden" är statistik, och GDPR skäl 26 placerar genuint anonym information, som inte kan spåras tillbaka till en individ, helt utanför förordningen. Gråzonen är verklig och värd att namnge. I en liten grupp kan ett aggregat ändå peka på en enda person. Om ett bord har en enda kvinna är en gruppsiffra om kvinnor en siffra om henne. Om ett givet aggregat är anonymt nog för att lämna GDPR:s tillämpningsområde är situationsberoende, och lagen drar ingen skarp gräns vid en viss gruppstorlek.

Är det säkert att spela in en workshop enligt GDPR?

Det finns inget ja-eller-nej-svar, eftersom "säkert" inte är en egenskap en inspelning har. Det beskriver hur du hanterar den. GDPR förbjuder inte att spela in en workshop. Den kräver en rättslig grund enligt artikel 6, oftast deltagarnas samtycke eller ett dokumenterat berättigat intresse. Den kräver öppenhet, alltså att människor får veta vad som fångas och varför innan det börjar. Den kräver att du samlar in inte mer än ändamålet behöver, och att du behåller det inte längre än ändamålet behöver, principerna om uppgiftsminimering och lagringsminimering i artikel 5. En extra försiktighet: om samtalet troligen avslöjar något i en särskild kategori, som hälsa eller övertygelse, kan artikel 9 komma in i bilden och uttryckligt samtycke bli den vanliga vägen. Regler om arbetstagarkontroll i vissa medlemsstater kan lägga till krav ovanpå när rummet är en arbetsplats.

Vad är skillnaden mellan att lagra ljud och att lagra bara transkriptioner?

Det är en skillnad i uppgiftsminimering, och den betyder mer än den först ser ut att göra. En rå ljudinspelning är en personuppgift, och en röst kan identifiera en talare, så ljud bär ett tyngre avtryck än texten av det som sades. Att behålla bara transkriptionen och metadata, och kasta ljudet när det väl behandlats, är uppgiftsminimering och lagringsminimering i praktiken: mindre känsliga uppgifter lagrade, under kortare tid, med mindre som kan läcka. Följdfrågan att ställa till vilket verktyg som helst är inte om det är "säkert" i abstrakt bemärkelse utan om rått ljud lagras alls, och i så fall hur länge. Två verktyg som båda kallar sig privata kan skilja sig helt åt på just den punkten.

Räknas det som övervakning att spåra vem som talar i ett möte?

Inte i sig. Taltid och deltagandemått är beteendeanalys, och om de tippar över i den sortens övervakning som väcker juridiska eller etiska larm beror på några saker: om deltagarna vet att det sker, om måttet står i proportion till ett verkligt ändamål, och om det rapporterar om namngivna individer eller om gruppen. Dold, kontinuerlig övervakning av anställda är en tungt reglerad verksamhet i stora delar av EU. En engångsövning i facilitering där alla i rummet vet att taltid mäts, och där resultatet är en balans på gruppnivå snarare än en poäng per person, ligger i motsatt ände av det spannet. Övervakningsoron handlar om hemlighet och proportionalitet, inte om att ett mått existerar.

Vem har tillsyn över det här i Sverige?

Själva lagen är EU-gemensam, men tillsynsmyndigheten är nationell, och där skiljer sig Sverige åt i praktiken. För GDPR är det Integritetsskyddsmyndigheten (IMY) som är svensk tillsynsmyndighet, och det är dit klagomål om personuppgiftsbehandling går. För AI-förordningen är tillsynen fortfarande under uppbyggnad. En statlig utredning (SOU 2025:101, oktober 2025) föreslår att Post- och telestyrelsen (PTS) blir huvudsaklig marknadskontrollmyndighet, medan IMY föreslås få ansvar för flera högrisksystem och för de förbjudna AI-användningarna i artikel 5. Det är ett förslag, inte färdig lagstiftning, så uppställningen kan ändras innan den träder i kraft. Poängen för den som gör en bedömning i dag: känslo- och biometrifrågorna ovan hör hemma hos den myndighet som får hand om de förbjudna metoderna, och de vanliga uppgiftsfrågorna om samtycke och lagring hör hemma hos IMY.

Ett arbetsexempel: hur ett verktygs design möter dessa frågor

För att göra ramverket konkret, så här ställer sig den dokumenterade arkitekturen i ett verktyg, RoomRadar, mot frågorna ovan. Det här är en beskrivning av var konkreta designval landar, inte ett efterlevnadsintyg. Enligt dess egen integritetsguide lagrar det inget rått ljud i vila: ljudet behandlas live och bara texten och metadata sparas, krypterat. I GDPR-termer är det uppgiftsminimering och lagringsminimering inbyggt, och det betyder inget lagrat röstavtryck, vilket håller materialet på den icke-biometriska sidan av den gräns som artikel 5 drar. Uppgifter lagras i EU (Finland) och krypteras i transit och i vila.

De ärliga reservationerna är en del av exemplet. Samma guide noterar att viss AI-behandling kan ske hos betrodda leverantörer utanför EU under standardavtalsklausuler, överföringsskyddet i kapitel V i GDPR, så det vore fel att beskriva standarduppsättningen som helt EU-intern. På högre abonnemang håller ett valfritt Secure mode transkription och AI-sammanfattningar inom EU-infrastruktur med noll lagring, men det är av som standard, tillgängligt på begäran, och täcker inte bild- eller sketchnote-generering, som fortfarande använder en modell utanför EU och varnar innan den körs. På könsfrågan använder taltidsfördelningen per kön en könsetikett som facilitatorn sätter för hand på transkriptionsrader, aldrig härledd av systemet, och fördelningen redovisas per grupp snarare än per person. Det är därför den inte aktiverar förbudet mot biometrisk kategorisering: det finns inget system som härleder kön ur någons kropp eller röst. Inget av detta avgör din egen efterlevnadsposition. Det visar hur en uppsättning konkreta val läser sig mot en uppsättning juridiska frågor, vilket är övningen att köra mot vilket verktyg du än tittar på.

Så bedömer du vilket verktyg som helst mot dessa frågor

Vanliga frågor