Lönebesked, avtal, intervjuanteckningar och kundkorrespondens kan innehålla känslig information. Dokumentmaskning hjälper dig att ta bort valda uppgifter ur den version du tänker dela eller behandla. Reversibel och permanent maskning tjänar olika syften; ingen av dem fastställer automatiskt att ett resultat är anonymt eller att en fortsatt användning är laglig.
Den här guiden är det omfattande referensverk vi saknade när vi byggde Redactic. Den går igenom vad maskning av uppgifter egentligen är och inte är, hur GDPR ramar in det (pseudonymisering enligt artikel 4 mot anonymisering enligt skäl 26), de två maskningslägen du kommer att använda i praktiken, vilka kategorier av personuppgifter som måste maskeras före all AI-användning, ett arbetsflöde i fem steg som fungerar från en enskild pdf till ett löneark med flera blad, den verkliga GDPR-risken med shadow AI i professionella tjänsteföretag, en checklista med åtta punkter för valet av maskningsverktyg och en FAQ med de frågor kunderna ställer oss varje vecka.
Du kan läsa hela artikeln uppifrån och ned, den är skriven för att kunna skummas, eller hoppa till avsnittet som motsvarar ditt akuta problem. Om din byrå redan har haft samtalet ”vad gör vi med ChatGPT” och förlorat det, börja med avsnittet om shadow AI. Om oron främst gäller tillsynsmyndighetens inspektioner, börja med GDPR-ramverket.
1. Vad maskning av uppgifter är och vad det inte är
Maskning av uppgifter (på engelska redaction) är processen att identifiera personuppgifter eller annan känslig information i ett dokument och ta bort dem ur den version som ska delas, behandlas eller lagras vidare. Ordet kommer från juridisk praxis, där passager i domstolshandlingar tjockades över före offentliggörande; i digitala arbetsflöden omfattar det en mycket bredare uppsättning åtgärder, från att ersätta ett namn med en platshållare till att permanent förstöra ett område i en bild med en pixelexakt svärtning.
Människor använder ofta ”maskning”, ”anonymisering”, ”pseudonymisering”, ”täckning”, ”kryptering” och ”radering” om vartannat. De är inte utbytbara, och skillnaden är viktig enligt GDPR. Vi återkommer till de rättsliga nyanserna i avsnitt 2; håll tills vidare följande skillnader i minnet.
- Maskning (redaction) är det överordnade momentet: att göra om ett dokument som innehåller personuppgifter till en version som inte längre innehåller dem (eller inte innehåller dem på ett sätt som angripare eller obehöriga läsare kan återskapa).
- Täckning (masking) är en teknik: varje upptäckt avsnitt med personuppgifter ersätts med en platshållare som
[PERSON_1]eller⟦NAME⟧. Platshållaren är begriplig för en efterföljande process (till exempel en LLM) men innehåller ingen identifierare. I praktiken innebär maskning av personuppgifter ett val mellan den här vägen och en permanent svärtning, beroende på vart dokumentet ska. - Pseudonymisering är täckning plus en kontrollerad, separat lagrad koppling tillbaka till de ursprungliga värdena. GDPR erkänner det uttryckligen i artikel 4.5 och gynnar det genom hela texten, men det gör inte uppgifterna ”anonyma”.
- Anonymisering är enkelriktad och oåterkallelig. Efter anonymisering ska ingen, inte heller du, kunna återidentifiera den registrerade. GDPR sätter den ribban i skäl 26, och anonyma uppgifter faller helt utanför förordningen.
- Kryptering kan hävas av var och en som har nyckeln. Krypterade personuppgifter är fortfarande personuppgifter enligt GDPR; kryptering är en säkerhetsåtgärd och ingen maskningsteknik.
- Radering tar bort dokumentet; maskning tar bort personuppgifterna ur ett dokument du behåller.
Välj permanent maskning när valda känsliga uppgifter måste bort ur det delade resultatet. Välj reversibel maskning när ett stött arbetsflöde behöver platshållare och senare återställning. I båda fallen ska du bedöma kvarvarande sammanhang och indirekta identifierare. Permanent maskning fastställer inte automatiskt anonymisering.
Ett annat mönster vi ser hela tiden är att maskning behandlas som ett engångssteg före delning. I en byrå med delade enheter, veckovis LLM-användning och utlagda underleverantörer måste maskningen ligga inne i arbetsflödet: vid uppladdning, vid AI-förfrågan och vid export. En månatlig manuell granskning av en paralegal med en svart överstrykningspenna räcker inte.
2. GDPR-ramverket: pseudonymisering enligt artikel 4.5 mot anonymisering enligt skäl 26
Tre hänvisningar i GDPR styr varje meningsfullt samtal om maskning av uppgifter i EU.
Artikel 4.5 GDPR definierar pseudonymisering som ”behandling av personuppgifter på ett sätt som innebär att personuppgifterna inte längre kan hänföras till en specifik registrerad utan att kompletterande uppgifter används”. De kompletterande uppgifterna måste ”förvaras separat och omfattas av tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte hänförs till en identifierad eller identifierbar fysisk person”. Pseudonymiserade uppgifter förblir personuppgifter: GDPR gäller fortfarande, du behöver fortfarande en rättslig grund och den registrerade har kvar sina rättigheter till tillgång och radering.
Skäl 26 GDPR drar gränsen för anonymisering: ”Principerna för dataskydd bör därför inte gälla anonym information, det vill säga information som inte hänför sig till en identifierad eller identifierbar fysisk person, eller personuppgifter som anonymiserats på ett sådant sätt att den registrerade inte eller inte längre är identifierbar.” Anonyma uppgifter ligger utanför tillämpningsområdet. Ribban är hög och förstås bäst genom de tre kriterierna i artikel 29-gruppens yttrande 05/2014: att urskilja en person, att koppla ihop poster och att dra slutsatser. Om ett maskerat dokument fortfarande gör det möjligt att urskilja en enskild person, koppla poster mellan datamängder eller härleda egenskaper hos en viss person, har du pseudonymiserat och inte anonymiserat.
Artikel 25 (inbyggt dataskydd och dataskydd som standard) och artikel 32 (säkerhet vid behandlingen) lyfter tillsammans fram pseudonymisering som en klok teknisk åtgärd vid riskfylld behandling. Artikel 32.1 a nämner den uttryckligen. Därför belönas ett GDPR-efterlevnadsprogram som investerat i riktig pseudonymisering av tillsynsmyndigheterna: det är en åtgärd som förordningen själv anger vid namn.
EU:s AI-förordning, som överlappar GDPR på det här området, har gällt sedan 2024, med bestämmelser om högrisksystem som införs stegvis 2026 och 2027, och tillför ytterligare ett lager. AI-system som används inom HR (rekrytering, prestationsbedömning, befordringsbeslut) klassas som högrisk enligt bilaga III. De kräver riskhantering, datastyrning, teknisk dokumentation, öppenhet, mänsklig tillsyn, kontroller av noggrannhet, robusthet och cybersäkerhet samt en konsekvensbedömning avseende grundläggande rättigheter. Förordningen kräver inte pseudonymisering före AI-användning, men i praktiken är det det renaste sättet att samtidigt uppfylla dataminimering (artikel 5 GDPR) och AI-förordningens artikel om datastyrning (artikel 10). För AI-användning fungerar GDPR- och AI-förordningsefterlevnad bäst som en enda driftsmodell där de båda regelverken hanteras tillsammans.
En myt måste avlivas: många leverantörer marknadsför sitt verktyg som ”GDPR-anonymisering” när det i själva verket är pseudonymisering. Om kopplingen från platshållare tillbaka till det ursprungliga värdet finns någonstans, i ditt filsystem, i användarens webbläsare eller i en tjänst vi driver, är uppgifterna pseudonymiserade och inte anonyma. Pseudonymisering enligt GDPR är en nyttig skyddsåtgärd och det är inget fel i att erbjuda den; att kalla den anonymisering är vilseledande och utsätter kunden för en efterlevnadsfälla. Redactics maskningscertifikat gör uttryckligen skillnad mellan de två och märker varje reversibelt jobb som pseudonymisering enligt artikel 4.5.
Rättspraxis har skärpt gränsen ytterligare. I Breyer mot Tyskland (C-582/14, 2016) slog EU-domstolen fast att en IP-adress som en webbplatsoperatör förvarar är en personuppgift om operatören har rimliga lagliga medel att få de kompletterande identifierande uppgifterna från en tredje part. Provet ”rimliga medel” är bredare än många ingenjörer antar: uppgifter som din tjänst ensam inte kan identifiera kan ändå vara personuppgifter om ett domstolsbeslut eller ett avtalsarrangemang kan leverera de saknade bitarna. För maskning betyder det att en uppdelning i platshållare och koppling mellan två organisationer inte automatiskt är anonymisering: om någon av parterna lagligen kan tvinga den andra att lämna ut kopplingen är uppgifterna pseudonymiserade för båda. Domen SRB mot EDPS från 2023 (T-557/20) förstärkte provets kontextuella karaktär genom att skilja pseudonymiserade uppgifter hos en mottagare som inte kan återidentifiera från samma uppgifter hos den personuppgiftsansvarige som kan.
Artikel 29-gruppens yttrande 05/2014 (numera stött av EDPB) gör skäl 26 användbart med tre konkreta angreppsmodeller. Att urskilja: kan en angripare isolera en post som motsvarar en person? Att koppla ihop: kan två poster ur samma datamängd, eller över datamängder, kopplas till samma person? Att dra slutsatser: kan värdet på en egenskap härledas ur en kombination av de andra? Om svaret på någon av de tre är ja är dokumentet pseudonymiserat, inte anonymiserat. Den praktiska slutsatsen är att maskning av namnet i ett löneark inte anonymiserar det, eftersom raden fortfarande urskiljer en anställd, och att det verkligt anonyma fallet är sällsyntare än leverantörerna låter påskina.
3. De två maskningslägena: reversibelt (platshållarkoppling) och oåterkalleligt (svärtning)
I produktion använder du två lägen hela tiden. Att förstå skillnaden är skillnaden mellan ett arbetsflöde som klarar en inspektion och ett som läcker namn för att du valde fel verktyg för uppgiften.
Reversibel maskning ersätter upptäckta känsliga värden med platshållare och använder en separat koppling för återställning i stödda arbetsflöden. Skydda kopplingen och granska den förberedda texten före varje valfri AI-uppgift. Missade värden och information i sammanhanget kan fortfarande identifiera personer.
Återställningskopplingar kräver skydd och en definierad lagringspolicy. Beroende på arbetsflödet kan behandlingen omfatta tillfälligt tillstånd på serversidan utöver lokal återställning. Redactic hävdar inte att originalinnehåll eller kopplingsdata alltid stannar i webbläsaren. Se tillämpligt personuppgiftsbiträdesavtal för skyldigheter kring lagring och radering.
Permanent maskning tar bort valda känsliga uppgifter ur det exporterade dokumentet. För skanningar och bilder kan OCR hjälpa till att hitta text som behöver granskas. Kontrollera resultatet för missade värden, dold information och indirekta identifierare. Att förstöra vald text eller bildytor visar i sig inte att personer inte längre kan identifieras utifrån det som återstår.
Det fel vi oftast ser är det omvända: en byrå gör en ”anonymisering” som i själva verket är reversibel maskning, delar filen externt och låter kopplingen ligga på en delad enhet som mottagaren så småningom får tillgång till. Resultatet är en återidentifierbar post på en tredje parts server. Välj läge efter dokumentets destination.
Redactic erbjuder reversibel och permanent maskning för stödda arbetsflöden. Tillgängliga exportformat och bevarad layout beror på indata och vald åtgärd. Bekräfta resultatet med en representativ fil; utgå inte från att reversibel maskning bevarar en pdf i originalformatet.
4. Personuppgiftskategorier som måste maskeras före AI-användning
Alla personuppgifter väger inte lika tungt regulatoriskt. GDPR skiljer mellan ”personuppgifter” (artikel 4.1), allt som identifierar eller kan identifiera en fysisk person, och ”särskilda kategorier” (artikel 9) som hälsodata, biometriska identifierare, ras eller etniskt ursprung, politiska åsikter, religiös övertygelse, fackföreningsmedlemskap, sexuell läggning och genetiska uppgifter. För särskilda kategorier är ribban för behandling betydligt högre (uttryckligt samtycke, grundläggande intressen, allmänintresse på hälsoområdet med mera) och risken för oavsiktligt röjande på LLM-sidan motsvarande större.
Följande tabell är den operativa kortlista vi använder. Innan ett dokument går till ChatGPT, Claude, Gemini, Mistral eller någon annan LLM-leverantör ska varje post nedan antingen maskeras med en platshållare eller svärtas, beroende på om arbetsflödet behöver reversibilitet.
| Kategori | Exempel | Varför det är viktigt |
|---|---|---|
| Direkta identifierare | Fullständigt namn, e-post, telefon, postadress | Den minsta uppsättningen personuppgifter; identifierar utan svårighet. |
| Nationella identifierare | Italienska Codice Fiscale, franska NIR/INSEE, tyska Steuer-ID, spanska DNI/NIE, passnummer i EU | Landsspecifika identifierare kräver lämplig täckning och mänsklig granskning. Att ett format stämmer bekräftar inte nödvändigtvis identifieraren eller vem den tillhör. |
| Finansiella | IBAN, SWIFT, betalkortsnummer, bankkonto, skatte-/momsnummer | Risk nära PCI-DSS och direkt bedrägeririsk. |
| Anställning | Anställningsnummer, löneuppgift, anställningsdatum, lön, prestationsbetyg | Gör identifiering möjlig i en liten organisation även utan namn. |
| Hälsa (artikel 9) | Diagnoser, läkemedel, orsaker till sjukfrånvaro, anteckningar från företagshälsovården | Särskild kategori; uttryckligt samtycke eller annan grund enligt artikel 9 krävs. |
| Biometri / id-handlingar | Id-kortsnummer, körkort, pass, ansiktsfotografier | Särskild kategori om de används för unik identifiering. |
| Kvasi-identifierare | Födelsedatum + postnummer + kön, exakt roll + avdelning, ovanlig befattning | Används i kopplingsattacker. Sweeneys 87-procentsregel: postnummer + födelsedatum + kön identifierar de flesta vuxna i USA. |
| Röjanden i fritext | Utträdesintervjuer, kundklagomål, supportärenden | Den svåraste kategorin. Slinker ofta förbi mönsterbaserade verktyg och kräver ML-baserad igenkänning av namngivna enheter. |
Automatisk identifiering av personuppgifter kan kombinera mönsterbaserade tekniker och maskininlärning för att hitta sannolikt känslig information. Redactic kombinerar automatisk identifiering med dokumentbehandling och mänsklig granskning på infrastruktur i Europa som Redactic kontrollerar. Omaskerat innehåll skickas inte till tredje parts AI- eller maskininlärningstjänster under identifiering eller maskning. Noggrannheten beror på dokumentets kvalitet, språk och sammanhang.
OCR gör text i stödda skanningar och bilder tillgänglig för identifiering och granskning. Låg upplösning, rotation, handskrift och komplexa layouter kan påverka resultatet. Kontrollera varje relevant sida och det exporterade dokumentet; OCR-stöd garanterar inte att varje känsligt värde hittas.
Rapporter som till stor del består av hälsouppgifter kräver samma omsorg, och Redactic visar hur psykologer kan maskera psykologiska utlåtanden och sakkunnigrapporter innan de delas med advokater, skolor eller domstolen.
5. Arbetsflödet i fem steg som skalar
Ett repeterbart maskningsflöde kombinerar val av dokument, automatisk identifiering, mänsklig granskning, tillämpning och kontroll av resultatet. De följande fem stegen är en praktisk utgångspunkt; anpassa dem till din organisations krav på datahantering och godkännande.
- Ladda upp. Välj ett stött dokument och bekräfta att du har rätt att behandla det. I standard-SaaS laddas originaldokumentet upp till Redactic för behandling i Europa. Identifiering och maskning skickar inte omaskerat innehåll till tredje parts AI-inferenstjänster.
- Identifiera. Hitta sannolika namn, kontaktuppgifter, finansiell information och relevanta nationella identifierare. För skanningar och bilder kan textigenkänning hjälpa till att hitta information. Behandla träffar som förslag som kräver granskning.
- Granska. Gå igenom upptäckta värden, rätta felaktiga träffar och leta efter känslig information som missats. Ägna särskild uppmärksamhet åt kontextuella identifierare, dåliga skanningar, tabeller och inkonsekvent stavning.
- Tillämpa. Välj permanent maskning eller reversibel maskning för den tänkta destinationen. Skydda återställningskopplingar när de används. Kontrollera dokumentegenskaper och dold information vid sidan av synlig text; formatspecifika begränsningar är viktiga.
- Dela eller återställ. Granska det exporterade resultatet innan du delar det. Om du väljer ett valfritt AI-flöde, granska först det förberedda innehållet och leverantörens villkor. Återställ värden bara i ett stött arbetsflöde med en lämpligt skyddad koppling. För register över åtgärder som passar dina revisionskrav.
Ett maskningscertifikat kan komplettera dina register över åtgärder med hashvärden för dokument och sammanfattningar av maskningen. Det bevisar inte att varje känsligt värde har upptäckts, fastställer inte anonymisering och bevisar inte oberoende att ingen kopia av ett dokument har sparats. Jämför fälten i det faktiska certifikatet med dina revisionskrav.
Ett lönesteam kan till exempel gå igenom ett kalkylblad med flera blad för anställdas namn, skatteidentifierare, bankuppgifter och känsliga anteckningar. Teamet bekräftar träffarna, rättar missade värden och väljer reversibel eller permanent maskning efter behov. Före delning kontrolleras den exporterade arbetsboken, inklusive formler, numeriska celler, dolda blad, kommentarer och egenskaper. Exemplet illustrerar ett arbetsflöde och är ingen uppmätt garanti för noggrannhet eller bearbetningstid.
6. Shadow AI: varför tanklös ChatGPT-användning bryter mot GDPR
Samtalet vi oftast har med kunder börjar så här: ”Vi förbjöd ChatGPT för känsliga uppgifter. Sedan upptäckte vi att alla klistrar in saker ändå, från privata konton, på mobilen, efter arbetstid.” Det är shadow AI: användning av publika LLM-tjänster med känsliga uppgifter, utan IT:s insyn, ofta i all välmening. Det är den dominerande AI-risken inom professionella tjänsteföretag 2026.
Shadow AI bryter mot GDPR på tre konkreta sätt. För det första blir LLM-leverantören personuppgiftsbiträde utan personuppgiftsbiträdesavtal. Artikel 28 kräver ett sådant avtal, och artikel 28.3 anger de åtta klausuler det måste innehålla, före all behandling för den personuppgiftsansvariges räkning. En användare som klistrar in klientnamn i ett privat ChatGPT-konto skapar behandling utan avtal, utan notering i registret över behandlingar (artikel 30), utan prövning enligt artikel 28 och utan dokumenterad kedja av underbiträden. För det andra kan, beroende på konsumentnivåns standardinställningar hos leverantören, indata användas för att träna nästa modell, ett oåterkalleligt röjande som radering (artikel 17) inte kan upphäva. För det tredje passerar uppgifterna EU:s gräns till ett datacenter i USA utan att den personuppgiftsansvarige gjort någon konsekvensbedömning av överföringen efter Schrems II.
Redactics identifiering och maskning av dokument körs på infrastruktur i Europa som Redactic kontrollerar, utan tredje parts AI- eller maskininlärningsinferens på omaskerat innehåll. Valfria AI-flöden är separata: upptäckta känsliga värden tas bort eller ersätts innan det förberedda innehållet skickas till den valda leverantören. Granska dokumenttexten, extra instruktioner och chattmeddelanden; missade värden och kontextuella detaljer kan fortfarande identifiera personer. Leverantör, region, lagring och träningsvillkor beror på det valda flödet och tillämpligt avtal.
Detta är ingen teoretisk oro. Samsung förbjöd ChatGPT och andra generativa AI-verktyg i maj 2023 efter att personal enligt uppgift matat in företagsinformation, däribland källkod, i chattboten. Italiens Garante stängde tillfälligt av ChatGPT den 30 mars 2023 på grund av artikel 6 (rättslig grund), artikel 13 (informationsskyldighet) och avsaknad av ålderskontroll; tjänsten återställdes den 28 april 2023 först sedan OpenAI infört en åldersspärr, en möjlighet att välja bort och en uttrycklig information. Garante meddelade sedan ett slutligt beslut den 20 december 2024 med en böter på 15 miljoner euro. Parallellt inledde den spanska AEPD en utredning i april 2023, och Europeiska dataskyddsstyrelsen bildade i april 2023 en särskild ChatGPT-arbetsgrupp som publicerade preliminära slutsatser i maj 2024. Cyberhavens studie från 2023, som Cleansum citerar, fann att 11 % av företagens ChatGPT-prompter innehöll känsliga uppgifter, som löneregister, källkod och kundinformation, uppladdade inifrån brandväggar. AI-förordningen lägger från augusti 2025 till skyldigheter för AI för allmänna ändamål som ytterligare begränsar hur konsumenttjänster med LLM kan användas i reglerade sammanhang. Ett trovärdigt svar på ChatGPT-integritet är nu den operativa förutsättningen för AI-införande i din byrå.
Ett godkänt AI-arbetsflöde bör vara praktiskt för personalen att använda och stödjas av tydliga hanteringsregler. Redactic erbjuder valfria AI-flöden vid sidan av dokumentmaskning, med täckning av upptäckta känsliga värden. Vi gör här inget jämförande påstående om hastighet: bearbetningstid och granskningsinsats beror på filen, uppgiften och arbetsflödet.
Som inköpsfråga handlar LLM-dataskydd om tre konkreta svar. (1) Har leverantören en EU-slutpunkt med datalagring inom EU och en tydlig lista över underbiträden? (2) Är dina indata undantagna från modellträning som standard, med ett undertecknat biträdesavtal om detta? (3) Är lagringstiden noll eller strikt begränsad, med ett revisionsspår som du kan återskapa? Allt svagare än ja på alla tre skjuter efterlevnadsbördan tillbaka på din byrå, och på juristen, redovisningskonsulten eller HR-chefen som varken har tid eller utbildning att bära den. Konsumentnivåns standardinställningar för integritet i ChatGPT klarar inte provet; företagsnivåerna gör det, men kräver både noggrann upphandling och ett maskningslager framför sig för att gå att försvara.
När du bedömer shadow AI-risken för din egen byrå bör du behandla de statistikuppgifter som cirkulerar med försiktighet: vår granskning av de mest upprepade shadow AI-statistikuppgifterna spårar varje siffra till primärkällan och visar flera som inte mäter det de brukar citeras för.
För att använda AI utan att lämna ut namn och identifierare kan Redactic förbereda dina dokument för AI: de funna värdena blir platshållare och de riktiga namnen kommer tillbaka i din webbläsare när svaret anländer.
7. Att välja maskningsverktyg: en utvärderingschecklista med 8 punkter
Om du köper programvara för dokumentmaskning, med eller utan AI-baserad identifiering, eller väger ett internt bygge mot en färdig produkt, är följande checklista den vi använder med presumtiva kunder. Poängsätt varje punkt 0-2 (nej / delvis / ja) och väg punkterna om integritet dubbelt. Om du hamnar under 18 av högst 32 har du en efterlevnadsrisk; under 12 har du också en produktivitetsrisk.
- Arkitektur utan spår. Bearbetar tjänsten dokumentet i minnet och kastar det direkt? Är indata krypterade i vila i det tillfälliga lagret, med kort TTL, och skrivs de aldrig till en beständig logg? Varför det är viktigt: en lagrad kopia är fortfarande en personuppgift; maskningsprocessen blir i sig en separat behandling om indata överlever förfrågan.
- Flerspråkig identifiering av personuppgifter. Hanterar modellen italienska Codice Fiscale, franska NIR, tyska Steuer-ID, spanska DNI/NIE, polska PESEL med flera, eller bara engelska namn och amerikanska SSN? Varför det är viktigt: engelskcentrerade detektorer missar 30-50 % av de nationella identifierarna i EU-dokument.
- OCR för skanningar. Kan verktyget maskera en inskannad pdf eller ett fotograferat id-kort med pixelexakt svärtning? Varför det är viktigt: fallen som skrämmer ditt dataskyddsombud mest, gamla avtal och fotograferade dokument, är exakt de fall där ett rent textverktyg inte kan hjälpa.
- Stöd för två lägen. Kan verktyget från samma uppladdning ge både reversibelt (platshållare) och oåterkalleligt (svärtning) resultat? Varför det är viktigt: verktyg med ett enda läge tvingar dig att underhålla två processer.
- Manuell granskning. Låter gränssnittet en människa godta eller avvisa varje upptäckt avsnitt innan maskningen tillämpas? Varför det är viktigt: identifiering inriktad på full täckning är rätt standard men ger felaktiga träffar som behöver en snabb granskningsväg.
- Borttagning av metadata. Tar verktyget också bort dokumentegenskaper (författare, senast ändrad av, XMP, EXIF)? Varför det är viktigt: den vanligaste läckan i produktion är en ren brödtext med författarnamnet i pdf-egenskaperna.
- Revisionscertifikat. Skapar verktyget för varje jobb en kryptografisk post över vad som behandlats, med hashvärden och antal per kategori men utan innehåll? Varför det är viktigt: certifikatet är vad du visar tillsynsmyndigheten, försäkringsgivaren och klienten.
- Efterlevnadsläge. Datalagring inom EU, DPA ingår vid registrering, register över underbiträden, click-wrap-samtycke med kryptografisk ögonblicksbild, rollseparation (ditt verktyg agerar som personuppgiftsbiträde, inte som ansvarig). Varför det är viktigt: det avgör om verktyget passar in i ditt befintliga GDPR-program eller skapar nya behandlingar som du måste styra.
Verktyg som levereras som Chrome-tillägg kan vara eleganta men får dåligt betyg på (1) och (8): det finns sällan ett riktigt DPA bakom ett gratistillägg. Öppen källkod som Presidio eller Piiranha får bra betyg på (2), men det operativa fotavtrycket (inga spår, OCR, revision, certifikat), som är det mesta av arbetet, ligger hos dig. Kommersiella hostade verktyg varierar; frågan att ställa är: ”visa mig certifikatet från ett exempeljobb och listan över underbiträden.”
Bygga eller köpa bör ta hänsyn till dokumenthantering, mänsklig granskning, validering av resultat, lagringskontroller, åtkomsthantering, avtalsdokumentation och löpande support. En prototyp för identifiering är bara en del av en underhållen tjänst. Jämför den totala driftsinsatsen med din organisations krav med hjälp av representativa dokument.
Redactic kombinerar automatisk identifiering, dokumentbehandling och mänsklig granskning för att hjälpa till att hitta känslig information, även i stödda inskannade dokument. Granska upptäckta värden innan du tillämpar permanent eller reversibel maskning. Täckningen beror på dokumentets kvalitet, språk och sammanhang; automatisering kan missa information. Pröva representativa filer och exporterade resultat innan du inför ett arbetsflöde. Läs mer: DPA
Viktiga begränsningar: exportformat och bevarad layout beror på det valda arbetsflödet. Skanningar, delvisa namn, alternativa stavningar och kontextuella identifierare kan leda till missade eller inkonsekventa träffar. Kontrollera dessa fall och den slutliga exporterade filen. För reversibel återställning kan en koppling behövas, och den bör skyddas separat.
8. Vanliga frågor
Vad är skillnaden mellan maskning av uppgifter och anonymisering av uppgifter?
Maskning tar bort valda uppgifter ur ett resultat. Reversibel maskning ersätter upptäckta värden och använder en koppling för återställning. Permanent maskning gör inte automatiskt resten av dokumentet anonymt: information i sammanhanget kan fortfarande identifiera personer. Bedöm identifierbarheten separat innan du behandlar ett resultat som anonymt.
Är pseudonymisering samma sak som kryptering?
Nej. Kryptering kan hävas av var och en som har nyckeln och är en säkerhetsåtgärd; pseudonymisering ersätter identifierande värden med platshållare och håller den omvända kopplingen under strängare åtkomstkontroll. GDPR erkänner uttryckligen pseudonymisering i artikel 4.5 och artikel 32.1 a; krypterade personuppgifter är fortfarande personuppgifter.
Kan jag använda ChatGPT säkert med maskerade dokument enligt GDPR?
Maskning kan minska de personuppgifter som delas med en AI-leverantör, men gör inte automatiskt en användning laglig. Granska det förberedda innehållet, inklusive extra instruktioner, bekräfta leverantörens villkor och bedöm ändamål, rättslig grund och kvarvarande sammanhang. I Redactic SaaS laddas dokument upp till Redactic för behandling innan en separat vald, valfri AI-uppgift utförs.
Fungerar automatisk identifiering av personuppgifter på inskannade pdf-filer?
OCR kan hjälpa till att hitta text i inskannade pdf-filer och bilder. Redactic stöder arbetsflöden som omfattar skanningar, med förbehåll för format- och språkstöd. Granska sidor av dålig kvalitet och exporterade resultat; OCR och automatisk identifiering kan missa känslig information.
Hur länge ska platshållarkopplingen sparas?
Spara en återställningskoppling bara så länge och för det ändamål som ditt arbetsflöde kräver, och skydda åtkomsten till den. Se tillämpligt avtal för Redactics villkor för tillfällig behandling och radering. En koppling som du själv laddar ner eller behåller behöver en egen policy för hantering och lagring.
Vad är shadow AI och varför är det ett GDPR-problem?
Shadow AI är användning av publika LLM-tjänster med känsliga uppgifter, utanför IT:s insyn, oftast via privata konton. Det ger behandling utan personuppgiftsbiträdesavtal (artikel 28), odokumenterade internationella överföringar (Schrems II) och risk att indata exponeras vid modellträning. Det som fungerar är en officiell väg som är snabbare och säkrare än skuggvägen, eftersom förbud kringgås.
Ändrar EU:s AI-förordning något när det gäller maskning?
Ja. AI-system med hög risk enligt bilaga III (HR, rekrytering, prestationsbedömning) måste uppfylla kraven på datastyrning (artikel 10), riskhantering (artikel 9) och mänsklig tillsyn (artikel 14). Att pseudonymisera indata innan de matas in i ett sådant system är det renaste sättet att samtidigt uppfylla dataminimering enligt artikel 5 GDPR och artikel 10 i AI-förordningen. AI-förordningen kräver inte maskning uttryckligen men underlättar den i praktiken.
Vad är ett maskningscertifikat och varför behöver jag ett?
Ett maskningscertifikat kan komplettera dina register över åtgärder med hashvärden för dokument och sammanfattningar av maskningen. Det bevisar inte att varje känsligt värde har upptäckts, fastställer inte anonymisering och bevisar inte oberoende att ingen kopia av ett dokument har sparats. Jämför fälten i det faktiska certifikatet med dina revisionskrav.
Kan jag maskera ett Excel-kalkylblad med personaluppgifter utan att formlerna går sönder?
Redactic stöder arbetsflöden för maskning av kalkylblad. Testa en representativ arbetsbok och kontrollera de exporterade bladen, formlerna, talvärdena, layouten och egenskaperna. Utgå inte från att varje kalkylbladsfunktion bevaras eller att all känslig information har upptäckts.
Var lagrar Redactic mina uppgifter?
Dokument och resultat använder tillfällig lagring för behandling på infrastruktur i Europa som Redactic kontrollerar. Tillfällig behandling av återställningsdata på serversidan kan ingå. Konto-, fakturerings-, samtyckes- och åtgärdsregister hanteras separat. Se Redactics personuppgiftsbiträdesavtal (DPA) och integritetsmeddelande för villkor om lagring och radering, och be oss bekräfta profilen för ditt arbetsflöde. Läs mer: förtroendesidor
Om du bara läser en sak i den här guiden, läs avsnitt 6 om shadow AI. Den största enskilda risken i din byrå 2026 är den samlade effekten av tusen små inklistringar i ChatGPT från privata konton. Svaret är en snabbare officiell väg med korrekt maskning av uppgifter och ett undertecknat DPA, eftersom strängare regler kringgås. Bygg den vägen innan tillsynsmyndigheten bygger den åt dig.
Vill du se hur det fungerar i praktiken går Redactics startsida igenom de fyra användningslägena (Maskera, Anonymisera, Använd med AI, Säker chattbot) med en livedemo på ett exempelavtal. Solo-planen täcker en enskild yrkesperson för 19 euro i månaden; Firm-planen lägger till den säkra AI-chatten och upp till femtio platser för 49 euro i månaden; Enterprise är skräddarsytt. DPA undertecknas vid registreringen och maskningscertifikatet kan laddas ner från varje slutfört jobb.