Claude och GDPR: DPA, datalagring och Claude Code i Europa
Kan svenska företag använda Claude lagligt? Vi går igenom vad som händer med datan, Anthropics DPA, skillnaderna mellan prisplanerna, API mot chatt och hur ni driftsätter Claude Code i EU.
Kort svar
Ja, Claude kan användas i Europa enligt GDPR – under tre villkor: (1) ni använder en kommersiell plan (Team, Enterprise, API eller Claude via AWS Bedrock/Google Vertex AI), (2) Anthropics DPA gäller och överföringen till tredje land är dokumenterad med SCC och en egen TIA, och (3) ni har en policy för vilka data som får användas. Privata Free-, Pro- och Max-konton ska inte användas för personuppgifter eller företagsdata. Krav på bearbetning inom EU uppfylls i dag via Bedrock, Google Cloud eller Microsoft Foundry – inte direkt hos Anthropic.
Vad händer med datan i Claude?
Behandling och lagring. Prompter, filer och svar behandlas av Anthropic och dess molnleverantörer. Som standard kan kommersiell trafik dirigeras till USA, Europa, Asien och Australien, och data i vila lagras i USA. I Claude-chatten sparas konversationer tills de raderas. Kommersiell standardlagring är 30 dagar; Zero Data Retention (ZDR) kan avtalas för kvalificerade Enterprise- och API-kunder.
Träning. På kommersiella planer används er data inte för att träna modeller som standard. På konsumentplaner (Free, Pro, Max) väljer användaren själv om chattar får användas för modellförbättring – tillåter man det sparas data i 5 år, annars 30 dagar.
Överföring till tredje land. Anthropics DPA innehåller standardavtalsklausuler (SCC). Anthropics status i EU–US Data Privacy Framework har rapporterats olika under 2026 – luta er inte mot den, utan mot SCC plus en egen Transfer Impact Assessment (TIA). Underbiträden (t.ex. molnleverantörer) listas i Anthropics Trust Center.
Säkerhet. Anthropic har SOC 2 Type I och Type II, ISO 27001:2022, HIPAA-redo konfiguration med BAA samt ISO/IEC 42001:2023 för AI-ledningssystem. Begär aktuella rapporter via Trust Center inför leverantörsgranskningen.
Anthropics DPA förklarat
Data Processing Addendum (DPA) är Anthropics personuppgiftsbiträdesavtal. Det ingår automatiskt i de kommersiella villkoren (Commercial Terms of Service) och gäller därför Team, Enterprise och API. Anthropic agerar då personuppgiftsbiträde och ni är personuppgiftsansvariga. Konsumentplanerna Free, Pro och Max omfattas inte.
Få DPA:n på plats i fem steg
- Teckna kommersiellt avtal (Team, Enterprise eller API) – inte privata Pro-konton.
- Spara en kopia av DPA:n och underbiträdeslistan i ert avtalsregister.
- Gör och dokumentera en TIA för överföringen till tredje land.
- Välj lagringsnivå (30 dagar eller ZDR) och eventuell inferensregion.
- Uppdatera AI-policyn: vilket konto som får användas för vilka data.
Kontrollera detta i DPA:n
- Behandlingens syfte och instruktioner
- Lista över underbiträden och hur ändringar meddelas
- Överföringsmekanism (SCC)
- Säkerhetsåtgärder och incidentrapportering
- Radering och återlämning av data vid avtalets slut
- Assistans vid registrerades rättigheter och DPIA
Behöver ni ett eget avtal? Se vår mall för personuppgiftsbiträdesavtal.
Prisplanerna jämförda ur GDPR-perspektiv
| Plan | Villkor | Träning på er data | Lagring | DPA | Admin & kontroll | Personuppgifter? |
|---|---|---|---|---|---|---|
| Free / Pro / Max | Konsumentvillkor | Användaren väljer själv | 30 dagar, eller 5 år om träning tillåts | Nej | Nej | Nej – inte för företagsdata |
| Team | Kommersiella villkor | Nej | 30 dagar (standard), ingen ZDR | Ja, ingår | Admin, SSO | Ja, med policy och TIA |
| Enterprise | Kommersiella villkor | Nej | 30 dagar; ZDR per organisation efter godkännande | Ja, ingår | SSO, SCIM, audit logs, lagringsstyrning | Ja – bäst lämpad för chatt |
| Claude API | Kommersiella villkor | Nej | 30 dagar; ZDR kan avtalas | Ja, ingår | Console, workspaces, inference_geo | Ja, med dataminimering |
| Bedrock / Google Cloud / Microsoft Foundry | Molnleverantörens villkor | Nej | Enligt molnleverantören | Ja, via AWS/Google/Microsoft | IAM, loggning, EU-regioner | Ja – enda vägen till EU-bearbetning |
Vill ni jämföra kostnaderna? Använd vår AI-kostnadskalkylator.
Claude API jämfört med Claude-chatten
Claude-chatten (claude.ai)
Färdigt gränssnitt för medarbetare. Historik sparas tills den raderas.
Team/Enterprise ger admin, SSO och DPA. Enterprise ger audit logs och styrning av lagring.
Passar kunskapsarbete, analys och skrivande.
Claude API
För integrationer, egna appar och agenter. Betalning per token.
30 dagars standardlagring, ZDR kan avtalas. Inferensregion kan låsas till USA (inference_geo), men inte till EU.
Passar automatisering och produkter. Läs mer i vår Claude API-guide.
Claude Code och GDPR
Claude Code körs lokalt i terminalen men skickar de filer, kodavsnitt, kommandon och terminalutdata som behövs för uppgiften till modellen. Innehåller er kodbas, testdata eller loggar personuppgifter följer de med.
Kontotyp avgör villkoren. Loggar en utvecklare in med ett privat Pro- eller Max-konto gäller konsumentvillkor. Med Team/Enterprise, en API-nyckel från Console eller via Bedrock, Google Cloud eller Microsoft Foundry gäller kommersiella villkor och DPA.
Lokalt och i molnet. Claude Code sparar sessionstranskript i klartext under ~/.claude/projects/ i 30 dagar (styrs med cleanupPeriodDays). Molnsessioner körs i virtuella maskiner som Anthropic driver och följer samma lagringsregler. Transkript som skickas via /feedback, /bug eller /share sparas i 5 år.
Skyddsåtgärder för Claude Code
- Neka läsning av .env, nycklar och kunddump i permissions (deny-regler)
- Använd syntetisk eller pseudonymiserad testdata
- Stäng av icke-nödvändig trafik: DISABLE_TELEMETRY, DISABLE_ERROR_REPORTING eller CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC
- Distribuera en central managed-settings.json som utvecklare inte kan skriva över
- Sätt cleanupPeriodDays och kryptera utvecklardatorer – lokala transkript ligger i klartext
- Reglera /feedback, /bug och /share i policyn (5 års lagring hos Anthropic)
- Gå inte med i Development Partner Program om data inte får användas för träning
- Kör aldrig mot produktionsdatabaser med personuppgifter
Så driftsätter ni Claude Code i Europa
Det finns fyra huvudvägar. Anthropics egen plattform erbjuder i dag bara global eller USA-låst inferens, så krav på EU-bearbetning uppfylls via en molnplattform. Där är telemetri och felrapportering dessutom avstängda som standard.
1. AWS Bedrock i EU-region
Använd en EU-region (t.ex. Frankfurt, eu-central-1) och EU-profiler för cross-region inference, som håller anropen inom EU. Kontrollera vilka Claude-modeller som finns per region. Kundhanterade nycklar finns via AWS KMS.
export CLAUDE_CODE_USE_BEDROCK=1
export AWS_REGION=eu-central-1
# Autentisering via AWS SSO/IAM-roll
claude2. Google Cloud (Agent Platform, tidigare Vertex AI) i EU-region
Välj en europeisk region där Claude-modellerna finns tillgängliga. CMEK (kundhanterade nycklar) stöds.
export CLAUDE_CODE_USE_VERTEX=1
export CLOUD_ML_REGION=europe-west1
export ANTHROPIC_VERTEX_PROJECT_ID=ert-projekt-id
claude3. Microsoft Foundry
För organisationer i Azure. Vid "Hosted on Azure"-driftsättning stannar prompter och svar i Azure; endast användningsmetadata och innehåll flaggat av säkerhetssystem går till Anthropic. Kontrollera hosting-alternativ och region.
4. Anthropic API eller Team/Enterprise
Enklast att komma igång med. Kommersiella villkor och DPA gäller, men trafiken kan behandlas globalt och data i vila lagras i USA. Styr åtkomst via Console-workspaces eller SSO och distribuera gemensamma inställningar till teamet.
Mer om att rulla ut verktyget i organisationen: Implementera Claude Code i företaget och Claude Code-checklistan för team.
Personuppgifter i Claude – när är det ok?
Oftast ok (på kommersiell plan)
- Sammanfatta mejl och möten med kontaktuppgifter
- Bearbeta kundärenden med dataminimering
- Analys av pseudonymiserad data
- Kodarbete med syntetisk testdata
Kräver DPIA eller undvik
- Hälsodata, fackmedlemskap och andra känsliga uppgifter (art. 9)
- Personnummer i stor skala
- Automatiserade beslut om individer (art. 22)
- Rekrytering och kreditbedömning – även högrisk enligt EU AI Act
Läs även AI, GDPR och informationssäkerhet och EU AI Act för svenska företag.
Checklista för IT-chefen: 10 punkter
- 1Välj en kommersiell plan (Team, Enterprise, API eller Bedrock/Vertex) – aldrig privata Pro-konton för företagsdata.
- 2Säkerställ att DPA:n gäller och arkivera den i ert register över personuppgiftsbiträden.
- 3Dokumentera överföringsgrunden (SCC i DPA:n) och gör en egen Transfer Impact Assessment (TIA).
- 4Uppdatera registret över behandlingar (art. 30) med syfte och rättslig grund för Claude-användningen.
- 5Gör en DPIA om ni behandlar känsliga uppgifter, stora datamängder eller gör profilering.
- 6Skriv en AI-policy: vilka data som får och inte får klistras in.
- 7Aktivera SSO och styr åtkomst centralt, stäng av privata konton på jobbdatorer.
- 8För Claude Code: använd managed settings, blockera läsning av .env/hemligheter och stäng av icke-nödvändig trafik.
- 9Sätt cleanupPeriodDays för lokala Claude Code-transkript och reglera /feedback, /bug och /share i policyn.
- 10Välj Bedrock, Google Cloud eller Microsoft Foundry i EU-region om krav på EU-bearbetning finns.
- 11Utbilda medarbetarna och följ upp användningen minst årligen.
Vanliga frågor om Claude, GDPR och DPA
Får man använda Claude enligt GDPR?
+
Ja, om ni använder en kommersiell plan (Claude Team, Enterprise, Claude API eller Claude via AWS Bedrock/Google Vertex AI). Där tränar Anthropic inte på er data som standard och ett personuppgiftsbiträdesavtal (DPA) ingår. Ni behöver fortfarande rättslig grund, dokumentation och i vissa fall en DPIA.
Kan vi ha personuppgifter i Claude-chatten?
+
I Claude Team och Enterprise: ja, med en tydlig policy, dataminimering och dokumenterad rättslig grund. I Free, Pro och Max: nej – de omfattas av konsumentvillkor utan DPA, och den enskilda användaren styr om chattar får användas för träning.
Kan vi ha personuppgifter i Claude Code?
+
Claude Code skickar de filer, kodavsnitt och terminalutdata som behövs för uppgiften till modellen. Använd Claude Code via Team/Enterprise, API eller Bedrock/Vertex, blockera åtkomst till produktionsdata och hemligheter, och arbeta med testdata eller pseudonymiserad data. Loggar man in med ett privat Pro/Max-konto gäller konsumentvillkor.
Tränar Claude på vår data?
+
På kommersiella planer och API: nej – undantaget är om en administratör aktivt går med i Development Partner Program. På konsumentplaner (Free, Pro, Max) väljer användaren själv, även för Claude Code; tillåts träning sparas data i 5 år, annars 30 dagar.
Lagras data i EU?
+
Inte hos Anthropic direkt. Anthropic kan som standard dirigera kommersiell trafik till USA, Europa, Asien och Australien, och data i vila lagras i USA. Överföringen vilar på standardavtalsklausuler (SCC) i DPA:n. Behöver ni EU-bearbetning använder ni Claude via AWS Bedrock, Google Cloud eller Microsoft Foundry i en EU-region.
Kan man välja EU-region direkt hos Anthropic?
+
Nej, inte i dagsläget. Claude API har parametern inference_geo med värdena global (standard) eller us (1,1 gånger pris), och workspace-lagring finns bara i USA. EU-region kräver en molnplattform som Bedrock, Google Cloud eller Microsoft Foundry.
Behöver vi göra en TIA?
+
Ja, om personuppgifter överförs till USA. Anthropics DPF-status har rapporterats olika under 2026, så utgå från SCC i DPA:n och komplettera med en egen Transfer Impact Assessment enligt Schrems II. Det är ert ansvar, inte Anthropics.
Vad händer med data vid /feedback i Claude Code?
+
Transkript som skickas via /feedback, /bug eller /share – inklusive kod – sparas av Anthropic i 5 år. Stäng av eller reglera funktionen i er policy. På Bedrock, Google Cloud och Foundry är felrapportering och telemetri avstängda som standard.
Behövs ett DPA för Claude Pro?
+
Pro omfattas inte av Anthropics DPA eftersom det är en konsumentplan. Företag som behandlar personuppgifter ska därför använda Team, Enterprise eller API, där DPA:n ingår i de kommersiella villkoren.
Vad skiljer Claude API från Claude-chatten?
+
API:et används för integrationer och egna appar, faktureras per token, har 30 dagars standardlagring, möjlighet till Zero Data Retention (ZDR) efter avtal och styrning av inferensregion (global eller USA). Chatten (claude.ai) är ett färdigt gränssnitt där konversationer sparas i historiken tills de raderas. Båda omfattas av DPA på kommersiella planer.
Är Bedrock eller Google Cloud säkrare ur GDPR-perspektiv?
+
Inte automatiskt säkrare, men ni får mer kontroll: val av EU-region, er befintliga molnavtal och DPA med AWS/Google, IAM, nätverksisolering och loggning i er egen miljö. Det är ofta enklast för organisationer som redan har compliance-arbete i AWS eller GCP.
Hur länge sparas konversationer?
+
I Claude-chatten sparas konversationer tills användaren eller administratören raderar dem; därefter tas de bort från backend inom en begränsad tid. Kommersiell standard är 30 dagar för Team, Enterprise och API; Enterprise kan få ZDR efter godkännande. Konsumentplaner: 30 dagar, eller 5 år om träning tillåts.
Hur hanterar vi en begäran om radering från en registrerad?
+
Ni är personuppgiftsansvariga. Radera konversationer som innehåller personen, begär assistans av Anthropic enligt DPA:n vid behov och dokumentera åtgärden. Genom att undvika personuppgifter i prompter minskar ni arbetet kraftigt.
Behöver vi göra en DPIA för Claude?
+
En DPIA krävs när behandlingen sannolikt medför hög risk, till exempel vid känsliga personuppgifter (art. 9), storskalig behandling, profilering eller automatiserade beslut. För allmän textbearbetning utan personuppgifter räcker ofta en dokumenterad riskbedömning.
Hur påverkar EU AI Act användningen av Claude?
+
Anthropic har skyldigheter som leverantör av en allmän AI-modell. Ni som användare får skyldigheter främst om ni bygger högrisksystem (t.ex. rekrytering eller kreditbedömning) eller exponerar Claude mot kunder, där transparenskrav gäller. Se vår AI Act-guide.
Källor
Senast granskad 2026-09-30. Guiden bygger på källorna ovan och är inte juridisk rådgivning. Villkor, lagringstider och regionstillgänglighet ändras – verifiera alltid mot Anthropics Trust Center och era egna avtal.