Känsliga uppgifter, i GDPR kallade särskilda kategorier av personuppgifter (artikel 9), omfattar uppgifter om hälsa, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, genetiska och biometriska uppgifter för identifiering samt uppgifter om sexualliv och sexuell läggning. Utgångspunkten är att behandling av dessa uppgifter är förbjuden; den blir tillåten bara om ett av de särskilda undantagen i artikel 9.2 är uppfyllt, till exempel uttryckligt samtycke, arbetsrättsliga skyldigheter, vård och hälsa eller viktigt allmänt intresse med rättslig grund. Kravet gäller utöver den vanliga rättsliga grunden i artikel 6.

EU:s Digital Omnibus-paket innehåller två spår som båda syftar till att underlätta AI-träning på persondata, och de har utvecklats olika under 2026. AI-omnibusdelen (ändringar i själva AI-förordningen) separerades från paketet och snabbspårades — den blev gällande rätt genom förordning (EU) 2026/1744, i kraft sedan 27 juli 2026. GDPR-delen är däremot låst: en planerad omröstning i COREPER II om Rådets förhandlingsmandat ströks i september 2026 sedan medlemsstaterna inte kunde enas, och inga trepartsförhandlingar hade inletts vid utgången av september 2026.

Samtidigt har Rådets eget förslag förändrats under hand: enligt bevakning från 25 september 2026 har Rådet ströks de ursprungliga skyddsmekanismerna (rätt att invända, dataminimering) från Kommissionens AI-träningsförslag och i stället föreslår att uttryckligen namnge utveckling och drift av AI-system/modeller som ett legitimt intresse enligt artikel 6.1.f — alltså en annan rättslig väg än det ursprungliga artikel 9.2-undantaget för "residual" känslig data, men med samma mål. Båda spåren är förslag under förhandling, inte antagen rätt. För en AI som resonerar om dataskydd är det viktigt att flagga så snart känsliga kategorier kan förekomma, eftersom kraven då höjs markant, och att skilja gällande rätt (artikel 9, oförändrad) från båda de öppna förslagssåren.