Claude DPA: så hanterar Anthropic er data (svensk guide)

Juristen frågar om Claude DPA och GDPR. Er IT-chef frågar om datalokalisering. Och ni sitter där och inser att ni inte riktigt vet vad Anthropic faktiskt lovar. Det är helt normalt.

Och det är bra att ni hamnar där innan ni skickar er första kunddatabas genom en prompt, inte efter.

Här är vad ett DPA betyder, vad Anthropic skriver under på och en detalj många missar. Anthropics status i EU-US Data Privacy Framework är oklar och har skiftat i olika källor under 2026, till skillnad från Microsoft som är certifierat.

Vad är ett DPA egentligen?

Vad DPA betyder går att säga på en rad. DPA står för Data Processing Addendum, eller på svenska personuppgiftsbiträdesavtal. Det är helt enkelt det avtal GDPR artikel 28 kräver när ni, som personuppgiftsansvarig, låter en extern leverantör som Anthropic behandla personuppgifter åt er.

Tänk på det som ett städbolag ni anlitar till kontoret. Ni äger allt i lokalen. Städbolaget gör jobbet enligt era instruktioner och går sen utan att ta med sig något. DPA:t slår fast de reglerna, men för data istället för dammtussar.

Utan ett giltigt DPA på plats har ni faktiskt ingen rättslig grund att skicka personuppgifter genom Claude. Det gäller kundnamn i en chatt, medarbetardata i ett HR-dokument eller en e-postadress som råkar följa med i en kopierad text. Så länge det är en fysisk person som kan identifieras, gäller reglerna.

Anthropics standard-DPA för svenska företag

Den goda nyheten är att Anthropic inte tvingar er att förhandla fram ett eget avtal från noll. De har ett standardiserat DPA som gäller för alla kommersiella produkter, det vill säga Claude Team, Claude Enterprise och Claude API.

Och det bästa av allt: ni behöver inte jaga en separat signatur. DPA:t är redan inbyggt i Anthropics Commercial Terms of Service. Accepterar ni de kommersiella villkoren, accepterar ni DPA:t på samma gång.

Den kostnadsfria eller privata Claude.ai-appen har andra villkor, och där finns inget standard-DPA att luta sig mot. Ska ni använda Claude för affärsdata behöver ni ett kommersiellt konto, inte ett vanligt Pro-abonnemang som en medarbetare tecknat på sitt eget kort.

Hur får ni tag på DPA:t via Anthropic Trust Center?

Anthropic samlar all sin efterlevnadsdokumentation på Trust Center, och själva DPA-dokumentet ligger på Anthropics legal-sida. Ni behöver inte kontakta support för att få tillgång till grunddokumentet.

Så här hittar ni det praktiskt:

1. Gå till Anthropics DPA-dokument under legal-sektionen på anthropic.com
2. Läs igenom det, framför allt bilagorna om sub-processorer och säkerhetsåtgärder
3. Spara en kopia i er egen avtalspärm eller ert compliance-system
4. Om ni har ett Enterprise-avtal kan ert kontoteam via Anthropic bekräfta exakt vilken version som gäller för er

Trust Center innehåller också de certifieringar Anthropic faktiskt har: HIPAA-redo konfiguration med tillgänglig Business Associate Agreement, ISO 27001:2022, ISO/IEC 42001:2023 för AI-hantering, och SOC 2 Type I och Type II¹. Men lägg märke till vad som inte finns i den listan, för det tar oss till nästa och viktigaste avsnitt.

Dataöverföring till USA: SCC är grunden hos Anthropic, oavsett DPF-status

EU-US Data Privacy Framework, DPF, är ett amerikanskt certifieringsprogram som ger en enklare rättslig grund för att skicka personuppgifter från EU till USA. Microsoft är certifierat under DPF. Anthropics egen status har rapporterats olika av olika källor under 2026, äldre uppgifter säger nej, nyare säger aktiv. Kontrollera det aktuella läget på det officiella DPF-registret² eller Anthropics Privacy Center¹ innan ni bestämmer er.

Det som gäller oavsett hur DPF-frågan landar: Anthropic förlitar sig på Standard Contractual Clauses, SCC, som rättslig grund för dataöverföring till USA. SCC är kontraktsmallar från EU-kommissionen, och de finns inbakade i Anthropics DPA³. Det är den mekanismen ni ska utgå från i er egen transfer impact assessment.

Men jobbet slutar inte vid SCC. Sedan Schrems II-domen räcker SCC inte längre ensamt som skydd. Ni måste också göra en egen transfer impact assessment, TIA, en bedömning av om mottagarlandet faktiskt erbjuder ett skydd som är likvärdigt EU:s⁴. Integritetsskyddsmyndigheten pekar ut just bristande dokumenterad TIA som en av de vanligaste bristerna vid granskningar⁴.

Ska ni kunna svara "ja" när en revisor frågar om ni är GDPR-säkra med Claude, behöver ni SCC på plats (det får ni via DPA:t) plus er egen dokumenterade TIA (det jobbet är ert, inte Anthropics). Anthropic ger er verktygen, men TIA-dokumentet måste ni själva skriva.

Hur en fullständig DPIA och subprocessorkedja ser ut för Claude står i vår guide om GDPR och Claude. Samma konstruktion gäller för OpenAI, som inte heller finns i DPF-registret vid vår senaste kontroll. Deras avtal, lagring och IMY:s krav går vi igenom i guiden om ChatGPT och GDPR för svenska företag.

Team, Enterprise eller API: skiljer sig DPA:t åt?

Nej, inte i grunden. Samma DPA-struktur gäller för alla kommersiella Anthropic-produkter, oavsett om ni kör Claude Team, Claude Enterprise eller pratar direkt med API:et. Skillnaden sitter i vilka tekniska skyddsåtgärder som finns i varje nivå.

Claude Team är byggt för mindre grupper, ofta med ett minsta antal användare, och saknar möjligheten till full nollretention. Claude Enterprise erbjuder SSO, granskningsloggar och möjligheten att förhandla ner datalagringen till noll dagar för känsligare arbetsflöden. På API-nivå är standardretentionen sju dagar för operationella loggar sedan hösten 2025, och även där används data inte för träning³. Äkta EU-datalokalisering finns inte direkt hos Anthropic på någon nivå, varken Team eller Enterprise. Det kräver att ni kör Claude via AWS Bedrock eller Google Cloud Vertex AI i en EU-region. Hur det ser ut i praktiken, med egen gateway och Bedrock i Stockholm, står i vår guide om Claude i egen regi.

Juristen frågar "vilken nivå behöver vi"? Det beror på hur känslig er data är, inte på vilket DPA som gäller.

Tränar Anthropic på er data? Så funkar det

Det korta svaret för kommersiella kunder: nej. Anthropic har kontraktuellt förbundit sig att inte använda input och output från Claude Team, Claude Enterprise och Claude API till att träna sina modeller³. Det är en explicit skrivning i avtalen, inte bara ett löfte i en blogpost.

Löftet gäller era prompts, uppladdade dokument och Claudes svar. Skillnaden mot en privat konsumentapp kan vara stor, där andra regler gäller om ni inte medvetet stänger av datadelning i inställningarna. Exakt klickväg för Free, Pro och Max, och vad som gäller redan skickade chattar, finns i tränar Claude på min data på claudetips.se.

Signera Claude DPA i fem steg

• Steg 1: Teckna ett kommersiellt avtal för Claude Team, Enterprise eller API, inte ett privat Pro-konto
• Steg 2: Läs igenom DPA:t på Anthropics legal-sida och spara en kopia lokalt
• Steg 3: Gör en egen transfer impact assessment för dataöverföringen till USA, dokumentera den skriftligt
• Steg 4: Bestäm vilken retentionsnivå ni behöver (standard, 30 dagar eller nollretention) och aktivera den om ni ligger på Enterprise
• Steg 5: Uppdatera er interna AI-policy så att medarbetare vet vilket Claude-konto som får användas för vilken typ av data

Tips från Satori: Många företag glömmer steg tre helt, för det känns som juridikjobb och inte IT-jobb. Men det är precis den TIA-dokumentationen en tillsynsmyndighet frågar om först.

Sammanfattning och nästa steg

Ett Claude DPA är inte krångligt att komma över, Anthropic bakar det redan in i sina kommersiella villkor. Det som kräver ert eget arbete är en TIA för överföringen till USA. Oavsett hur DPF-frågan landar vilar överföringen på SCC plus den TIA:n.

Kort sagt:

• DPA:t följer automatiskt med när ni tecknar ett kommersiellt Claude-avtal
• Anthropics DPF-status är oklar och skiftar mellan källor, kontrollera det officiella registret själva, men SCC plus er egen transfer impact assessment gäller oavsett
• Skyddsnivån (retention) skiljer sig mellan Team och Enterprise, äkta EU-datalokalisering kräver AWS Bedrock eller Google Cloud Vertex AI oavsett nivå

Vill ni ha hjälp att komma igång tryggt?

Satori hjälper svenska företag att rulla ut Claude med rätt avtal, rätt inställningar och en AI-policy som håller när revisorn frågar. Vår managerade Claude-lösning sätter upp ert konto med de skyddsnivåer ni behöver, och vi har en färdig AI-policy mall för svenska företag. Vad planerna kostar står i vår guide till Claude-priser och planer 2026.

Läs mer om AI-avdelning Basic eller boka ett kostnadsfritt samtal.

---

Källor & Referenser

Läs mer

• AI-avdelning Basic, managerad Claude
• AI-policy mall för svenska företag
• Claude AI pris och planer 2026

---

Publicerad: 2026-07-20 Uppdaterad: 2026-08-15 Författare: Satori Team

Footnotes

1. Anthropic Privacy Center (2026). What Certifications has Anthropic obtained?. https://privacy.claude.com/en/articles/10015870-what-certifications-has-anthropic-obtained ↩ ↩²

2. U.S. Department of Commerce (2026). Data Privacy Framework Participant Search. https://www.dataprivacyframework.gov/s/participant-search ↩

3. Anthropic Privacy Center (2026). How do I view and sign your Data Processing Addendum (DPA)?. https://privacy.claude.com/en/articles/7996862-how-do-i-view-and-sign-your-data-processing-addendum-dpa ↩ ↩² ↩³

4. Integritetsskyddsmyndigheten, IMY (2026). Lämpliga skyddsåtgärder vid tredjelandsöverföring. https://www.imy.se/verksamhet/dataskydd/det-har-galler-enligt-gdpr/overforing-till-tredje-land/lampliga-skyddsatgarder ↩ ↩²