Sebastian Juul
EU-rådet vill låta företag träna AI-modeller på europeiska medborgares personuppgifter utan att be om samtycke.
Den 21 oktober 2026 godkände medlemsstaternas ambassadörskommitté Coreper ett förhandlingsmandat om det så kallade Digital Omnibus-paketet, som på 179 sidor föreslår flera ändringar i GDPR, ePrivacy-direktivet och NIS2. Kärnan i förslaget är en ny artikel 88a som ska ge företag rätten att utveckla och köra AI-system baserat på ”legitimt intresse” i stället för att inhämta användarens samtycke.
I praktiken innebär det att dina chatthistorier, sociala medie-inlägg, mejl och andra uppgifter kan användas som träningsdata för AI-modeller från bolag som Google, Meta och OpenAI, utan att du först får en direkt förfrågan. Det gäller också data som samlades in för helt andra ändamål, i vissa fall för tiotals år sedan.
Så vill rådet skriva om reglerna
Rådets version är betydligt mer företagsvänlig än den text kommissionen ursprungligen lade fram. Flera av de skyddsmekanismer som kommissionen hade bakat in har strukits ur själva artikeltexten.
Den villkorslösa rätten att invända mot behandlingen är borta och ersatt av den vanliga balanstest som finns i artikel 21 i GDPR. Det innebär att den som vill motsätta sig behandlingen själv måste visa att den egna situationen gör det orimligt att data används, i stället för att få säga nej per automatik.
Ett särskilt skydd för barns uppgifter har flyttats från den bindande artikeln till en icke-bindande förklaring. Krav på dataminimering i urval av källor och träning av modeller, samt kravet på utökad transparens, är helt borttagna ur den operativa texten.
Rådet föreslår även en ny undantagsregel för ”incidentell” behandling av känsliga uppgifter under teknisk utveckling, så länge de inte har samlats in med avsikt. Pseudonymiserade data skulle enligt förslaget inte längre räknas som personuppgifter för tredje parter som själva inte kan identifiera individen.
”Digital expropriering” av Europas medborgare
Integritetsorganisationen noyb, grundad av den österrikiske aktivisten Max Schrems, publicerade sin reaktion den 23 oktober och kallar förslaget en ”digital expropriering” av européerna.
”Under den överenskomna texten skulle AI-företagens vinster typiskt sett väga tyngre än européernas grundläggande rätt till privatliv”, säger Schrems till noyb.
Organisationen varnar för att formuleringen fäster vid en teknik snarare än ett definierat ändamål, vilket skulle göra varje form av AI-utveckling privilegierad. Enligt noyb skulle klausulen även omfatta uppgifter om personer som aldrig varit kunder hos AI-företaget och information som samlades in för flera decennier sedan.
Nästa steg: förhandlingar med parlamentet
Rådstexten är ett mandat för förhandlingar, inte den slutliga lagen. Nu väntar så kallad trilog mellan rådet, Europaparlamentet och kommissionen. Parlamentet har ännu inte fastställt någon officiell position, och rådet har begärt att alla pågående omnibus-paket ska slutförhandlas före utgången av 2026.
Thomas Byrne, Irlands minister för Europafrågor och ordförande i rådsmötet, säger att ”dessa åtgärder kommer att minska efterlevnadskostnaderna och stärka konkurrenskraft och innovation”.
För svenska konsumenter innebär det att GDPR-skyddet, som Integritetsskyddsmyndigheten pekar ut som fortsatt gällande vid AI-träning i sin vägledning från 2024, kan komma att försvagas märkbart om rådets linje vinner i triloger. IMY har lyft fram AI som ett prioriterat tillsynsområde under 2026.
