Canva AI / Magic Studio

Vad det är

Design-/publiceringsplattform med generativ AI-svit ("Magic Studio"/"Canva AI"): Magic Write (text), Magic Design, Magic Media (text-till-bild/-video), Magic Grab/Expand/Edit, videogenerering, konversations-assistent och "Canva Code". Relevant för byråns marknadsföring/design, inte för engagement-/finansdata.

Typisk dataaccess

• Innehåll användaren skapar/laddar upp (text, bilder, varumärkeselement)
• Prompts till generativa AI-funktioner
• Vid Brand Kit: byråns varumärkesresurser

EU AI Act-bedömning

Risknivå: Limited

Motivering: Genererar syntetiskt innehåll (text/bild/video) → Article 50-märkningsplikt. Canva bäddar in C2PA Content Credentials i AI-genererat innehåll och förbjuder borttagning — stödjer Article 50:s maskinläsbara märkning (i kraft 2026-08-02).

GDPR-överväganden

Datalagring: AWS; EU-data-residency-val på Enterprise (annars default-region). Befintlig data migreras vid byte (30+ dagar).

Datatransfer: EU SCC + UK IDTA + transfer impact assessments. Multi-provider AI kan dela input med "Technology Partners".

DPA tillgänglig: Ja: https://www.canva.com/policies/data-processing-addendum/. Sub-processorer via Trust Center/DPA (AWS = kärninfra; LLM-partners per AI Product Terms).

Träningsstance (skiljer per tier): Free/Pro: träning på som default, opt-out i Privacy-inställningar. Teams/Business/Enterprise/Education: innehåll används aldrig för att förbättra AI-funktioner — och det går inte att slå på. Verbatim: "Content from Canva Teams, Business, Enterprise, and Education users is not used to improve AI-powered features, and this cannot be turned on."

LLM-/modell-leverantörer: Multi-provider — OpenAI (inkl. DALL·E), Google Cloud (Imagen/Veo), Runway, Stability AI + Canvas egna finjusterade design-modeller.

Certifieringar: SOC 2 Type II, ISO 27001, GDPR/CCPA-anpassad.

Särskilda risker:

• Free/Pro tränar på innehåll som default — fel tier för byrå
• Multi-provider betyder flera sub-processors (OpenAI/Google/Runway/Stability)
• Uppladdat klient-/varumärkesmaterial kan delas med "Technology Partners"

Vanliga risker

• Anställd använder personlig Free/Pro → innehåll tränas på som default
• Känsligt klientmaterial laddas upp i en design för "snabb snygging"
• AI-genererade bilder används utan att C2PA-/AI-märkning kommuniceras
• Brand Kit med klient-varumärken delas bredare än avsett

Rekommenderade mitigeringar

• Kräv Teams/Business/Enterprise i policy (ingen AI-träning på innehåll; kan inte slås på)
• Sätt EU data residency på Enterprise
• Förbjud Free/Pro för byrå-arbete (träning som default)
• Lita på inbyggd C2PA-märkning för Article 50, och kommunicera AI-genererat innehåll
• Undvik att ladda upp klient-konfidentiellt/finansiellt material i Canva

Branschspecifik vägledning – revision/redovisning

Får användas för:

• Byråns marknadsföring: sociala inlägg, presentationer, rapportlayout, event-material
• Intern design och utbildningsmaterial
• Varumärkesresurser (med rätt tier + EU-residency)

Får INTE användas för:

• Klient-konfidentiell eller finansiell data i designer
• Granskningsdokumentation eller klient-rapporter med känsligt innehåll
• Free/Pro-tier för byrå-material (träning som default)

Särskild försiktighet vid:

• Tier-val (Free/Pro tränar; Teams+ gör inte)
• AI-genererat innehåll + Article 50-märkning vid publik delning
• Uppladdning av material som delas med Technology Partners

Källor

• Canva AI: https://www.canva.com/canva-ai/
• Canva trust/privacy (träningsstance per tier): https://www.canva.com/trust/privacy/
• Canva data residency (US/EU): https://www.canva.com/help/data-residency/
• Canva AI Product Terms (C2PA, partners): https://www.canva.com/policies/ai-product-terms/
• Canva security (SOC 2 Type II, ISO 27001): https://www.canva.com/security/
• Saknas: enskild kanonisk sub-processor-tabell-URL (nås via DPA/Trust Center), Canva-officiella sidor 403:ar för automatisk hämtning (verifiera ordalydelse manuellt)