GDPR (General Data Protection Regulation) är EU:s dataskyddsförordning, i kraft sedan maj 2018. Den ger individer rättigheter över sina personuppgifter (tillgång, rättelse, radering, dataportabilitet) och ålägger den som behandlar uppgifter krav på laglig grund, ändamålsbegränsning, dataminimering och säkerhet. Sanktionerna är kännbara — upp till 20 M euro eller 4 procent av global omsättning.

För AI är GDPR central på tre punkter: träningsdata som innehåller personuppgifter, överföring av prompt-data till molnleverantörer utanför EU (Schrems II-problematiken), och automatiserat beslutsfattande (art. 22). Det gör datasuveränitet och lokal inferens till praktiska GDPR-svar.

I svensk kontext är Integritetsskyddsmyndigheten (IMY) tillsynsmyndighet. Den GDPR-berörande delen av EU:s Digital Omnibus-paket (Data Omnibus) förhandlas fortsatt i rådet under hösten 2026 — Irlands ordförandeskap lade fram nytt kompromissförslag i september och rådets arbetsgrupp för förenkling (Antici-gruppen) sammanträdde 11 september 2026 med frågan som enda substantiella punkt. Ingen slutgiltig text är antagen; AI-delen av Digital Omnibus-paketet (AI Omnibus) klubbades separat redan i juni 2026 och trädde i kraft i juli.