GDPR och AI-sammanfattningar av möten: vilken endpoint ska du välja?

Transkriberingen i Autorec körs på din dator. AI-sammanfattningen är det enda steget som kan lämna den. Slår du på den skickas transkriptionen till en LLM-leverantör som du väljer, och från det ögonblicket är leverantören personuppgiftsbiträde för de personuppgifter som mötet innehöll.

Den här artikeln handlar om att välja den leverantören enligt GDPR, dataskyddsförordningen. Det är inte juridisk rådgivning: det är ditt dataskyddsombud eller din jurist som avgör vad din rättsliga grund och din riskaptit tillåter. Uppgifterna om leverantörerna nedan kommer från deras egen dokumentation och är kontrollerade i oktober 2026. Villkor ändras, så läs de länkade sidorna innan du förlitar dig på en rad.

Vad Autorec faktiskt skickar

Autorecs AI-sammanfattning är avstängd tills du lägger till en leverantör under Inställningar → AI-sammanfattning. När den körs går ett enda HTTPS-anrop direkt från din dator till den Bas-URL för API du har angett. Det finns ingen Autorec-server emellan.

Anropet innehåller:

din sammanfattningsprompt, som systemmeddelande
transkriptionens text, som användarmeddelande
modellnamnet och maxlängden för sammanfattningen

Det innehåller också eventuella extra fält som du själv lägger till under Extra request fields (JSON), till exempel inställningar för hur leverantören routar anropet. Det är inställningar, inte uppgifter om mötet. Inget annat skickas. Alltså inget ljud, ingen video, inga skärmdumpar, filnamn eller deltagarlistor. Hela transkriptionen skickas, så ett långt möte blir mycket text.

Titeln och sammanfattningen som kommer tillbaka sparas bredvid inspelningen på din disk. Din API-nyckel ligger i Autorecs lokala konfiguration, och för lokala servrar behövs ingen.

Ljudet och videon, som innehåller röster och ansikten, lämnar aldrig datorn. Texten gör det, och text är fortfarande personuppgifter när någon säger namn, hälsouppgifter eller löner högt. En transkription är inte anonym bara för att den är text.

Vår artikel om GDPR och HIPAA tar upp inspelningsdelen: rättslig grund, samtycke, lagringstid. Allt där gäller fortfarande. Den här artikeln lägger till leverantörssteget.

Autorecs inställningar för AI-sammanfattning med leverantörslistan utfälld och förinställningar grupperade i aggregatorer, förstaparts-API:er, snabb inferens, lokala servrar och Custom

Det här ska du kontrollera innan du väljer leverantör

Fyra frågor avgör det mesta.

Var behandlas datan? EU är inget trollord, men det tar bort det mesta av frågan om tredjelandsöverföring. Behandling i USA kräver en överföringsmekanism och en konsekvensbedömning av överföringen.

Finns det ett personuppgiftsbiträdesavtal? Om leverantören behandlar personuppgifter för din räkning kräver artikel 28 ett avtal. Kontrollera att du kan godkänna ett sådant utan att boka ett säljmöte.

Hur länge sparas innehållet? Många API-leverantörer sparar prompter en kort tid för att upptäcka missbruk, även när de inte tränar på dem. ”Zero retention” är oftast något du ansöker om, inte standard.

Används innehållet för träning? För API-trafik är det numera sällan standard hos de stora aktörerna, men det är inte enhetligt, och det kan skilja sig mellan en gratisnivå och en betald.

Leverantörer med drift i EU

Mistral

Mistral är det första EU-alternativet i Autorecs leverantörslista (Leverantör → Mistral, bas-URL https://api.mistral.ai/v1, standardmodell mistral-small-latest).

Region: Mistrals hjälpcenter säger att data som standard lagras i EU, och i USA bara om du uttryckligen använder deras amerikanska API-endpoint. Mistral listar också underbiträden, varav några utanför EU, i sitt Trust Center.
Personuppgiftsbiträdesavtal: Mistral publicerar ett Data Processing Addendum under sina kommersiella villkor.
Träning: här ska du läsa noga. Mistrals hjälpcenter säger att du med pay-as-you-go när som helst har rätt att avstå från träning, och beskriver reglaget: i Mistral Studio, Privacy → Anonymous improvement data. För gratisläget i Studio står det att Mistral får använda dina data för att träna sina modeller. Konsumentchatten och API:et har separata reglage. Anta alltså ingenting, utan öppna sidan Privacy på det konto vars nyckel du lägger in i Autorec och kontrollera.
Lagringstid: Mistral erbjuder Zero Data Retention för API-anrop som stöds, bland annat chat completions, på betalda planer. Du ansöker via supporten och Mistral kan godkänna eller avslå. De hjälpsidor från Mistral som jag kom åt anger inte standardlagringstiden för API-innehåll, så jag skriver ingen siffra. Fråga dem eller läs avtalet.

Scaleway

Scaleways Generative APIs drivs i Paris och marknadsförs som OpenAI-kompatibla, inklusive en endpoint för chat completions. Det finns ingen förinställning i Autorec, så välj Custom… och ange bas-URL:en från Scaleways konsol.

Enligt Scaleways sida om dataskydd samlar de inte in, läser, återanvänder eller analyserar prompter eller svar, och använder dem inte för att träna modeller. Undantaget är utredning av missbruk eller fel, då data kan lagras i upp till två veckor. Sidan anger Scaleway som personuppgiftsbiträde och hänvisar till integritetspolicyn och villkoren för AI-tjänsterna för avtalsdelen.

IONOS

IONOS AI Model Hub beskriver OpenAI-kompatibla endpoints och säger att all behandling sker i deras tyska datacenter (Berlin) och att kunddata aldrig används för att träna modeller. Jag hittade ingen angiven lagringstid, så fråga dem innan du skickar mötesinnehåll genom tjänsten. Använd Custom… även här.

Övriga

OVHcloud AI Endpoints och Aleph Alpha är också europeiska. Jag kunde inte bekräfta deras aktuella villkor och API-kompatibilitet från primära källor när jag skrev det här, så de finns inte med i tabellen.

Amerikanska leverantörer

OpenAI och Anthropic har båda förinställningar i Autorec. Deras API-standardinställningar är bättre än många tror. Den öppna frågan är överföringen till USA, inte träningen.

OpenAI: enligt dokumentationen används API-data inte för att träna deras modeller om du inte själv väljer det, och loggar för missbruksövervakning sparas som standard i upp till 30 dagar. Zero Data Retention kräver förhandsgodkännande. Datalagring i EU (prefixet eu.api.openai.com) är en projektinställning, och den kommer med villkor som Zero Data Retention eller ändrad missbruksövervakning. Alla modeller stöds inte.
Anthropic: deras integritetscenter säger att indata och utdata för API-användare raderas från backend inom 30 dagar, och att indata och utdata från kommersiella produkter som standard inte används för träning. Deras personuppgiftsbiträdesavtal med standardavtalsklausuler ingår automatiskt i Commercial Terms. Jag kunde inte bekräfta något alternativ med behandling enbart inom EU, så jag påstår inte att det finns.

Översikt

Leverantör	Var data behandlas	Lagringstid	Träning	Personuppgiftsbiträdesavtal
Mistral	EU som standard; amerikansk endpoint om du väljer den	ZDR på begäran för betalda planer; standardtiden anges inte på sidorna jag läste	Reglage för att avstå i Studio; gratisnivån kan användas	Publicerat tillägg
Scaleway	Paris, Frankrike	Ingen lagring av prompter; upp till två veckor vid felutredning	Används inte	Biträdesvillkor i integritetspolicyn och AI-villkoren
IONOS	Tyskland (Berlin)	Anges inte	Används aldrig, enligt IONOS	Ej kontrollerat
OpenAI	USA; datalagring i EU möjlig med villkor	Upp till 30 dagar (missbruksloggar); ZDR efter godkännande	Används inte om du inte väljer det	Ej kontrollerat
Anthropic	Inte angivet som enbart EU	Raderas inom 30 dagar	Inte som standard	Ingår i Commercial Terms

”Ej kontrollerat” betyder att jag inte har läst det, inte att det saknas.

En gateway lägger till en part

Sätter du en aggregator som OpenRouter framför en modell blir aggregatorn också personuppgiftsbiträde, utöver det företag som kör modellen. Du kan begränsa det, bland annat med inställningar per anrop som OpenRouters flagga för zero data retention, som du kan lägga in i Extra request fields (JSON). Vår artikel om integritet på OpenRouter går igenom inställningarna. Är målet en dokumentation utan luckor är ett direkt avtal med en enda EU-leverantör enklare att redovisa än ett routinglager.

När lokalt är det bättre svaret

En endpoint i EU minskar risken. En modell på din egen dator tar bort personuppgiftsbiträdet helt: ingen leverantör, inget biträdesavtal, ingen överföring, ingen fråga om lagringstid. För möten med hälsouppgifter, advokatsekretess, personalärenden eller något som omfattas av ett strikt sekretessavtal med en kund är det ofta det beslut som är lättast att försvara.

Priset är hårdvara och kvalitet. En liten modell på en laptop skriver en grövre sammanfattning än en stor modell i molnet, och långa transkriptioner tar tid. Vår guide till lokala LLM:er visar hur du pekar Autorec mot Ollama eller LM Studio.

En rimlig uppdelning:

vanliga interna möten: en endpoint i EU med träning avstängd och ett undertecknat biträdesavtal
känsliga möten: en lokal modell, eller ingen sammanfattning alls och bara transkriptionen

Du kan byta leverantör i Inställningar när som helst, och sammanfattningar skapas per inspelning, så uppdelningen behöver inte vara allt eller inget.

En kort checklista

Välj leverantör och godkänn personuppgiftsbiträdesavtalet på det konto vars nyckel du ska använda.
Kontrollera träningsinställningen på just det kontot, inte i allmänhet.
Ansök om Zero Data Retention om leverantören erbjuder det och din risknivå kräver det.
Berätta för deltagarna att en AI-leverantör behandlar transkriptionen. Din information om inspelningen ska ange vilken kategori av personuppgiftsbiträde det gäller.
För in leverantören i din förteckning över behandlingar.
Låt Sammanfatta automatiskt efter transkribering vara avstängt för möten du vill granska först.

Autorec behåller ljudet på din dator och visar exakt vilken text som lämnar den. Avtalen och policyn får du sköta själv. För inspelningsdelen, se guiden om GDPR och HIPAA, och för varför vi inte använder mötesbottar, artikeln om inspelning utan bot.