OpenAI presenterade den 19 augusti 2026 en teknik som ska hitta missbruk av företagets mest avancerade modeller utan att bolaget lagrar kundernas prompts eller svar. Den heter Private Safety Processing och testas nu av ett begränsat antal kunder, med bredare lansering planerad till september 2026. Det korta svaret för dig som kör OpenAI:s API i ditt företag: leverantören slutar vara ditt arkiv och ansvaret för att ha loggar om något går fel flyttar till dig.
Systemet ser mönstret men läser aldrig texten
Traditionell säkerhetsgranskning fungerar ungefär som en dörrvakt som tittar på en prompt i taget. Ser den okej ut släpps den igenom. Problemet är att missbruk sällan ser ut som en enda uppenbart olämplig fråga längre. Den som vill få ut något skadligt delar upp uppgiften: en fråga i en konversation, nästa fråga i en annan, en tredje via ett separat konto. Var för sig ser allt harmlöst ut.
Private Safety Processing vänder på ordningen. I stället för att skicka innehållet till OpenAI för granskning inspekterar automatiserade system interaktionerna där de sker, i kundens miljö. Det enda som lämnar systemet är en smal signal: vilken kategori av misstänkt beteende det rör sig om och hur allvarligt det bedöms vara. Aldrig själva texten, aldrig modellens svar. Computer Sweden beskriver tekniken som ett sätt att upptäcka missbruk utan att läsa kundernas data.
Konkret innebär det att OpenAI kan upptäcka att någon systematiskt testar var modellens vägran-gränser går, att förfrågningar om skadlig kod styckats upp över flera sessioner eller att en agent fortsätter agera efter att ha blivit tillsagd att sluta. Vad som faktiskt stod i meddelandena vet bolaget inte.
När en signal går i gång kontaktar OpenAI kunden och ber om mer information. Kunden avgör sedan själv om ytterligare data ska delas. Det är en märkbar förskjutning av makt. Tidigare kunde leverantören titta i sina egna loggar, nu måste den fråga.
Tekniskt bygger upplägget på att systemet kan köras inom kundens egen kontrollerade infrastruktur och att krypteringsnycklarna hålls på kundsidan. Effekten är att OpenAI-personal inte kan läsa innehållet ens om de skulle vilja. Kunddata används inte heller för att träna modellerna om kunden inte aktivt väljer in det. Ett undantag finns: innehåll som flaggas som misstänkt material med sexuella övergrepp mot barn lagras oavsett vilka inställningar kunden gjort.
Det här är förstås också en konkurrensmanöver. Anthropic kräver 30 dagars datalagring på sina mest kapabla modeller för att kunna göra säkerhetsgranskning. För en bank, en vårdaktör eller ett forskningsbolag med hårda krav på var data får finnas är den månaden ofta ett direkt hinder. OpenAI säljer noll dagar.
OpenAI har inte längre din sessionshistorik
Om något går snett i ett AI-flöde och du behöver rekonstruera vad som hänt, finns den fullständiga sessionshistoriken numera bara hos dig. OpenAI har den inte.
För större bolag med säkerhetsteam är det ett hanterbart skifte. För ett mindre bolag som byggt en kundtjänstbot eller ett internt analysverktyg ovanpå API:et kan det bli en obehaglig upptäckt först den dag en kund hör av sig och undrar vad systemet egentligen svarade i mars. Om du inte loggar själv finns svaret ingenstans.
Det handlar också om avtal. Många företag har skrivit sina personuppgiftsbiträdesavtal och sina tredjepartsriskbedömningar med antagandet att leverantören lagrar data under en viss tid. Det antagandet gäller inte längre för de här modellerna. Går du igenom din leverantörsgranskning nästa gång behöver den delen skrivas om och din interna incidentrutin behöver peka på dina egna loggar i stället för på ett supportärende hos OpenAI. Samma resonemang som gäller när du bygger upp kontroll över AI-kostnader gäller här: ansvaret sitter hos den som driftar, inte hos den som säljer.
GDPR-frågan är inte avgjord
Att data inte lagras löser inte automatiskt dataskyddet. Personuppgifter behandlas fortfarande i det ögonblick de skickas in i modellen och du är fortfarande personuppgiftsansvarig för den behandlingen. Vad noll-lagring gör är att korta ned tiden uppgifterna finns kvar, inte att ta bort behandlingen.
Integritetsskyddsmyndigheten har samlat sin vägledning om AI och dataskydd och det är där du bör börja om du är osäker på vad som gäller för din användning. Något besked om huruvida just den här arkitekturen räcker för att uppfylla dokumentations- och kontrollkraven i GDPR finns inte ännu. En teknisk vitbok från OpenAI är planerad till september 2026 och tills europeiska tillsynsmyndigheter uttalat sig får du utgå från de vanliga kraven: rättslig grund, dataminimering och förmåga att visa vad som faktiskt hänt.
Där finns en paradox värd att notera. Kravet på att kunna redovisa en behandling förutsätter att någon har loggat den. När leverantören slutar logga blir din egen loggning inte bara en säkerhetsfråga utan en efterlevnadsfråga. Regelverken kring AI skärps stadigt och det här är ännu en punkt där ansvaret landar hos den som använder tekniken snarare än hos den som byggt den.
Tre saker att göra före september
Kör du OpenAI:s API i produktion finns tre saker att gå igenom innan bred lansering. Kontrollera om din avtalsform omfattas av noll-lagring och vad det i så fall ändrar i ditt biträdesavtal. Säkerställ att du själv sparar tillräckligt av interaktionerna för att kunna utreda en incident, med rimlig gallringstid. Och uppdatera din leverantörsbedömning så att den beskriver hur det faktiskt ser ut, inte hur det såg ut i fjol.
För de flesta svenska småbolag som använder AI för fakturaunderlag, textutkast eller kundsvar är förändringen framför allt positiv. Mindre kunddata hos en amerikansk leverantör är en mindre riskyta. Men fördelen kommer med en räkning och den räkningen heter egen loggning.
Magnus Bergström
Magnus Bergström är nyhetsredaktör på alltomforetagande.se. Ekonomijournalist med journalistexamen från JMG vid Göteborgs universitet. Tolv års erfarenhet av rapportering från svenska SME-bolag, kapitalmarknad och konjunkturläget, bland annat åtta år på en ledande ekonomidagstidning. Bevakar löpande skatteregler, bidragsändringar, politiska beslut och branschtrender som påverkar svenska företag.
