Claude (Anthropic)

Vad det är

Generell konversations-AI från Anthropic. Stark på resonemang, längre kontextfönster (upp till 1M tokens i Sonnet 4.6+ / Opus 4.7), och uttalat säkerhetsfokus ("Constitutional AI"-träningsmetod). Används till research, kodning, juridisk/regulatorisk genomgång, dokumentanalys.

Typisk dataaccess

• All text/dokument/bild som användaren laddar upp eller klistrar in
• Tidigare meddelanden i konversationen (kontextfönster)
• Vid Claude Projects: dokument explicit kopplade till projektet
• Vid integrationer (MCP, Connectors): externa datakällor som användaren explicit anslutit
• Vid Computer Use / Agent SDK: skärm-och-klick-data om aktiverat

EU AI Act-bedömning

Risknivå: Limited (general-purpose AI)

Motivering: Claude är GPAI med transparensplikt. Användning i Annex III-områden (klientbeslut, anställningsbeslut, kreditbedömning) flyttar high-risk-skyldigheter till användaren.

GDPR-överväganden

Datalagring:

• Free, Pro, Max (konsumentnivåer): Sedan augusti/september 2025 default opt-IN för modell-träning — användaren måste explicit opt-OUT i Settings → Privacy. 5-års retention om opt-in, 30-dagar om opt-out.
• API, Claude for Work (Team/Enterprise), Claude Gov, Claude for Education (kommersiella nivåer): Ingen modell-träning by default. Opt-in krävs (via feedback-knapp eller explicit consent) för att data ska användas till träning.
• Anthropic Commercial DPA automatiskt inkluderat i Commercial Terms sedan 1 januari 2026 — gäller alla kommersiella nivåer.

Datatransfer: Direkt-API:t kör på US-infrastruktur (Anthropic-managed). EU → US-överföring sker. Standard Contractual Clauses (SCC) tillämpas via DPA. För strikt EU-residency: använd Claude via AWS Bedrock i en EU-region eller Vertex AI EU-endpoint istället för direkt-API:t.

DPA tillgänglig: Ja, för alla Commercial Terms-nivåer (API, Team, Enterprise, etc) sedan 1 januari 2026. Free + Pro + Max har bara konsumentavtal — inte tillräckligt för byrå som behandlar klientdata.

Särskilda risker:

• Free/Pro/Max: opt-out måste aktivt sättas, annars går klient-data till modell-träning
• Direkt-API utan AWS Bedrock/Vertex går via US — Schrems II-överväganden
• "Projects" och "Memory"-funktion (om aktiverad i konsumentnivåer) lagrar info över sessioner — kan blanda data mellan klienter

Vanliga risker

• Anställd använder personlig Free/Pro-licens utan att veta att opt-out behöver sättas → klient-data går till modell-träning
• Hallucinationer på detaljer (paragrafnummer, datum, bolagsregistreringsuppgifter) trots starkare resonemang än många konkurrenter
• Vid Computer Use / agentisk användning: oavsiktliga åtgärder i system Claude har access till
• Långa kontextfönster gör det enkelt att ladda upp hela klientdokument på en gång — höjer impact om något läcker

Rekommenderade mitigeringar

• Kommersiell licens (Team eller Enterprise) eller API via AWS Bedrock/Vertex AI EU. Förbjud Free/Pro/Max för professionell användning i policy.
• Aktivera SSO och centraliserad användarhantering i Claude for Work.
• För strikt EU-residency: Claude via AWS Bedrock (eu-central-1 Frankfurt eller eu-north-1 Stockholm) eller Vertex AI europe-region.
• Aldrig klistra in klientmedel-information, granskningsbevis, eller sekretessbelagda dokument utan klientmedgivande.
• Verifiera regulatoriska/juridiska referenser mot primärkälla — Claude hallucinerar mer sällan men inte aldrig.
• Vid Computer Use: kör i sandbox/VM, inte direkt på arbetsstation med klient-access.

Branschspecifik vägledning – revision/redovisning

Får användas för:

• Research kring redovisningsregelverk, EU AI Act, GDPR (verifiera mot källa)
• Längre dokumentanalys av offentliga dokument (årsredovisningar, prospekt)
• Formulering av interna memos och rapportstycken
• Kodgenerering för Excel-makron, SQL-queries mot anonymiserad data
• Genomgång av regulatorisk text (revisorslagen, ISA-standarder) för förståelse

Får INTE användas för:

• Inmatning av klientdata via Free/Pro/Max utan verifierad opt-out
• Granskningsbevis enligt ISA — AI-genererat material räknas inte som revisorns självständiga observation
• Beslut om klients fortlevnadsförmåga (going concern) eller väsentlighetsbedömningar
• Klientmedel-relaterade dokument utan klientmedgivande (revisorslagen 19 §)
• Genuint identifierande information utan rättslig grund

Särskild försiktighet vid:

• Computer Use / agentiska flöden — kan vidta åtgärder snabbare än man hinner stoppa
• Konsument-nivåer (Free/Pro/Max) — opt-out-statusen måste verifieras regelbundet, kan ändras vid kontotyp-byte
• "Projects"-funktion när flera klienter ligger i samma projekt — risk för informationsblandning

Källor

• Anthropic Privacy Policy: https://www.anthropic.com/legal/privacy
• Is my data used for model training: https://privacy.claude.com/en/articles/7996868
• Anthropic Commercial DPA (gäller alla Commercial Terms från 2026-01-01)
• Claude via AWS Bedrock: https://aws.amazon.com/bedrock/claude/
• Claude via Google Cloud Vertex AI: https://cloud.google.com/vertex-ai/generative-ai/docs/partner-models/use-claude
• EU AI Act, Article 50 (transparensplikt för GPAI)