Får vi använda ChatGPT? Om publika AI-verktyg med amerikanska modeller

Ja, i de flesta fall, men svaret beror på tre saker: vilken version ni använder, vilken sorts uppgifter som klistras in, och hur ni har avtalat om var data får behandlas.

ChatGPT är en AI-assistent från OpenAI som genererar text med hjälp av en stor språkmodell. Den lanserades i november 2022 och gjorde generativ AI tillgänglig för vem som helst med en webbläsare. Sedan dess har frågan i de flesta organisationer flyttat sig. Den handlar inte längre om vad ChatGPT är, utan om den fråga som faktiskt ställs på ledningsmöten: får vi använda den?

Den här texten handlar därför inte bara om ChatGPT. Samma resonemang gäller Copilot, Gemini och Claude, alltså de publika verktyg som bygger på modeller från amerikanska leverantörer. Skillnaderna dem emellan är mindre än de tre frågorna ovan.

Varför det spelar roll

ChatGPT sänkte tröskeln till AI dramatiskt. Det som tidigare krävde ett datavetenskapsteam blev plötsligt något en handläggare kunde testa på en eftermiddag. Det är styrkan, och samtidigt risken. När ett verktyg är så enkelt att börja använda börjar människor använda det, med eller utan organisationens vetskap.

För en ledningsgrupp är poängen inte att förbjuda eller hylla ChatGPT, utan att förstå var den skapar värde och var den skapar exponering. En assistent som skriver utkast och sammanfattar möten är en sak. Samma assistent matad med ett personnummer eller ett sekretessbelagt underlag är en annan.

Hur ChatGPT fungerar

Bakom ChatGPT ligger en stor språkmodell. Modellen är tränad på text och har lärt sig att förutsäga nästa ord i en följd, ord för ord, utifrån mönster den sett. Den förstår inte i mänsklig mening. Den beräknar vad som sannolikt kommer härnäst, och gör det så väl att resultatet ofta läser som genomtänkt resonemang.

Tre egenskaper är värda att känna till:

• Kunskapsgräns. Modellen kan bara det den tränats på fram till ett visst datum, om den inte får hämta aktuell information via sökning eller egna källor.
• Kontextfönster. Det finns en gräns för hur mycket text modellen kan ha framför sig samtidigt. Långa dokument måste delas upp eller hämtas selektivt.
• Hallucinationer. Modellen kan formulera ett felaktigt påstående med samma självsäkerhet som ett korrekt. Den vet inte när den har fel.

Den sista punkten är skälet till att seriösa organisationer kopplar ChatGPT till verifierad data i stället för att lita på modellens minne. Tekniken för det heter RAG, där assistenten hämtar fakta ur en känd källa innan den svarar. Det är skillnaden mellan en assistent som låter övertygande och en som går att lita på.

ChatGPT, Claude och Gemini

ChatGPT är inte ensam. Claude från Anthropic och Gemini från Google bygger på samma grundidé men skiljer sig i tonläge, hur de hanterar långa dokument och vilka företagsavtal som erbjuds. Skillnaden mellan dem spelar mindre roll för en organisation än två andra val: vilken version som används, och hur assistenten kopplas till egen data och egna säkerhetskrav.

Per mitten av 2026 bygger ChatGPT på OpenAIs GPT-5.5-serie (OpenAI, hämtad juni 2026), Claude på Anthropics Opus- och Sonnet-modeller (Anthropic, hämtad juni 2026) och Gemini på Googles Gemini 3.1 Pro (Google AI, hämtad juni 2026). Samtliga tre erbjuder kontextfönster på upp till en miljon token i sina API:er, vilket räcker för att ha mycket långa dokument framför sig samtidigt. Modellnamnen byts ut ofta. Det som håller över tid är frågorna om version, data och kontroll.

När ChatGPT passar, och när den inte passar

ChatGPT passar bra för uppgifter där ett snabbt utkast är mer värt än ett exakt facit, och där en människa läser resultatet innan det används:

• Utkast till texter, som sedan redigeras.
• Sammanfattning av långa underlag.
• Hjälp med kod och felsökning.
• Idégenerering och bollplank.

ChatGPT passar dåligt, eller kräver särskild arkitektur, när:

• Svaret måste vara faktamässigt korrekt utan mänsklig kontroll.
• Känslig eller personlig data är inblandad i en konsumentversion.
• Beslut fattas automatiskt utan en människa i loopen.
• Användningen faller under högrisk enligt EU AI Act.

Gränsen går vid ansvar. Så länge en människa äger beslutet är ChatGPT ett verktyg. När verktyget börjar fatta beslutet ensamt behövs governance, spårbarhet och ofta en helt annan lösning än konsumentappen.

Säkerhet och regler i svensk kontext

Den viktigaste skiljelinjen går inte mellan gratis och betalt, utan mellan konsumentkonto och avtalat konto. I konsumentversionerna, alltså Free, Go, Plus och Pro, kan indata användas för att förbättra modellen om inställningen inte ändras aktivt. Att någon betalar 20 dollar i månaden ändrar inte det. I Enterprise och Business samt via API:et anger OpenAI att kundernas indata och utdata som standard inte tränar modellerna, och i företagsavtalet är det en utfästelse som en enskild användare inte kan slå av (OpenAI, Enterprise privacy, hämtad augusti 2026). Valet av version är därför en säkerhetsfråga, inte bara en kostnadsfråga, och den vanligaste bristen vi ser är att en organisation betalar för Plus i tron att det räcker.

Var hamnar datan, rättsligt

Den frågan har ett svar som är giltigt i dag och osäkert på ett par års sikt, och båda delarna är värda att känna till innan ni bygger en rutin på det.

Överföring av personuppgifter till amerikanska leverantörer vilar på EU-kommissionens beslut om Data Privacy Framework från juli 2023. Det är gällande rätt i dag. En leverantör som är certifierad under ramverket får ta emot personuppgifter från EU utan ytterligare skyddsåtgärder.

Marken under beslutet har dock rört sig. I januari 2025 förlorade den amerikanska tillsynsnämnden PCLOB sin beslutförhet när tre av fem ledamöter avsattes, och just PCLOB var en av de institutionella garantier kommissionen lutade sig mot när den bedömde skyddsnivån som adekvat. Ett första rättsligt angrepp mot ramverket avvisades av tribunalen i september 2025, men beslutet är överklagat till EU-domstolen. Ett andra angrepp från NOYB väntar också på prövning, och bedömare räknar med ett besked någon gång kring årsskiftet 2026/2027. I juli 2026 bad Europeiska dataskyddsstyrelsen kommissionen att ompröva ramverket.

Slutsatsen är inte att ni måste sluta. Den är att ni bör veta vad ni står på. En organisation som har byggt in publika amerikanska tjänster i ett flöde som är svårt att ändra tar en risk som inte syns i dag men kan visa sig snabbt, precis som skedde när Safe Harbor och Privacy Shield föll. Den som håller känsliga uppgifter utanför de tjänsterna, eller kan byta modell utan att bygga om, har inget att göra den dagen ett besked kommer.

Vad ni faktiskt kan kräva av en publik tjänst

Digg och IMY är tydliga på en punkt som ofta glöms: för allmänt tillgängliga AI-tjänster går det sällan att ställa krav på systemets funktioner, säkerhet och informationshantering (Digg, Riktlinjer för generativ AI inom offentlig förvaltning, hämtad 2026-08-17).

Det är hela skillnaden mot en upphandlad lösning. Ni accepterar leverantörens villkor som de är, och de kan ändras. Därför säger riktlinjerna också att det måste finnas tydliga interna regler för vilka uppgifter som får användas som indata över huvud taget. Det är en policyfråga, inte en teknikfråga, och den går att lösa på en eftermiddag.

Till det kommer regelverket. EU AI Act trädde i kraft 1 augusti 2024, med regler för generell AI och styrning som gäller sedan 2 augusti 2025, transparenskrav sedan 2 augusti 2026 och krav på högrisk-system enligt bilaga III från 2 december 2027. För svensk offentlig sektor tillkommer GDPR och sekretess. Resultatet är att de flesta svenska verksamheter börjar med avgränsade användningsfall, drift inom EU och tydlig mänsklig kontroll, och skalar först när det fungerar.

I de AI-införanden vi själva har levererat ser vi att den vanligaste vinsten sällan är att ersätta arbete, utan att korta tiden för rutinuppgifter som sammanställning och efterforskning. Hur stor besparingen blir varierar med uppgift och verksamhet, och är värd att mäta i det egna fallet snarare än att anta utifrån en generell siffra.

Konkret exempel

Ta en kommun som vill avlasta sin kundtjänst. I stället för att låta handläggare chatta fritt i konsumentversionen bygger man en avgränsad assistent som hämtar svar ur kommunens egna, granskade dokument. Assistenten föreslår ett svar, handläggaren godkänner eller justerar, och varje svar går att spåra till sin källa. Samma språkmodell ligger i botten som i ChatGPT, men data stannar inom kontroll och en människa äger beslutet. Det är skillnaden mellan att prova ChatGPT och att driftsätta AI på riktigt.

Vanliga missförstånd

”ChatGPT vet vad som hänt nyligen.” Modellen kan bara det den tränats på fram till sin kunskapsgräns, om den inte uttryckligen får söka. Aktualitet är inte garanterad.

”ChatGPT är en sökmotor.” En sökmotor hänvisar till källor. ChatGPT genererar text. Utan koppling till en verifierad källa kan svaret låta rätt och ändå vara fel.

”Det är ofarligt att klistra in interna underlag.” I en konsumentversion lämnar materialet organisationens kontroll. Känslig data hör hemma i en version med rätt avtal, eller inte i verktyget alls.

”Vi betalar för Plus, då tränar de inte på vår data.” Fel. Plus och Pro är konsumentversioner och tränar som standard, om inte varje enskild användare själv har stängt av det. Det är avtalet som avgör, inte priset.

”Data Privacy Framework löser överföringsfrågan, punkt.” Det gör det i dag, men ramverket är överklagat i två spår och en av de amerikanska tillsynsfunktioner kommissionen byggde sitt beslut på har varit utan beslutförhet sedan januari 2025. Behandla det som gällande rätt med känd osäkerhet, inte som ett avslutat kapitel. Bygg så att ni kan byta.

”Om vi förbjuder verktygen slipper vi problemet.” Ett förbud utan alternativ flyttar bara användningen dit ingen ser den. Det som ser ut som noll risk i policyn blir Skugg-AI i praktiken. Ett tydligt ja till något är mer verksamt än ett brett nej.

ChatGPT är varken magi eller hot. Det är ett verktyg som blir tryggt först när någon bestämmer var det får användas, på vilken data, och vem som äger svaret.