Grammarly

Vad det är

AI-driven skriv- och språkassistent som används som tilläggsplugin i webbläsare, Word, Outlook, Slack, Gmail. Korrekturläser stavning/grammatik, föreslår omformuleringar, tonjustering. Fristående app + browser-extension + integrations i de flesta produktivitetsverktyg.

Typisk dataaccess

• All text användaren skriver eller redigerar i kontexten där Grammarly är aktiv
• Vid browser-extension: text på alla sidor där extensionen är aktiv (e-post, formulär, dokument)
• Vid Word/Outlook-integration: dokument- och mejl-innehåll medan användaren skriver
• Inte: text som inte aktivt redigeras (Grammarly läser inte hela sidor passivt — det skannar text fält där det aktiveras)

EU AI Act-bedömning

Risknivå: Limited

Motivering: Smal skrivassistent — inte general-purpose AI i bred bemärkelse. Transparensplikt gäller om EU AI Act anses tillämpligt. Påverkan högre vid Annex III-användning (HR-beslut baserat på språk-analys).

GDPR-överväganden

Datalagring:

• Tredjeparts-LLM-träning förbjuden: Grammarly tillåter inte sina LLM-leverantörer att träna på användarinnehåll, och säljer/monetiserar inte innehåll.
• Nyans (research 2026-05-26): Grammarly kan använda slumpmässiga, aggregerade och avidentifierade urval av användarinnehåll för att förbättra sin egen tjänst — om inte användaren opt:ar ut av "content used for product improvement and training". Detta är skilt från (det förbjudna) tredjeparts-LLM-träningen. Aktivera opt-out i policy.
• Hosting: ingen EU-region — all infrastruktur i AWS US-East (N. Virginia). EU/UK/CH-data överförs till US under EU-US DPF + SCC. Verifiera live-cert på https://www.dataprivacyframework.gov/
• Q1 FY26-uppdatering av Data Privacy Addendum är aktuell version (PDF i källor).

Datatransfer: Standard Contractual Clauses (SCC) + UK Addendum + Swiss provisions. Certifierad anslutning till EU-US, UK-US, Swiss-US Data Privacy Framework. Tredjelandsöverföring sker men med kompletta legal frameworks.

DPA tillgänglig: Ja, för Business och Enterprise. Free/Premium har bara konsumentvillkor.

Compliance-certifieringar:

• SOC 2 Type 2
• ISO 27701 (privacy information management — striktare än ISO 27001)
• ISO 42001 (AI management system) + ISO 27001/27017/27018 (verifierat 2026-05-26)
• HIPAA-compliant
• GDPR (men ingen EU data residency — US-hosting under DPF/SCC)

Särskilda risker:

• Browser-extension är aktiv så fort den är installerad — disciplin krävs för att inte aktivera den i klient-system
• Text skickas till Grammarlys servers för analys — även om inte tränas på, exponeras temporärt i tredjeland
• Premium-features (tone, fluency) använder mer avancerade AI-modeller — kan förändra säkerhetsprofil
• Outlook-integration läser mejl medan de skrivs — klientuppgifter exponeras

Vanliga risker

• Anställd glömmer att Grammarly browser-extension är aktiv när hen loggar in på klient-portal → text på sidan analyseras
• Outlook-Grammarly läser mejl till klient innan de skickats — texten skickas till Grammarly för analys
• Free-version ger viss falsk trygghet — "vi tränar inte på din data" gäller, men data exponeras ändå för Grammarlys infrastruktur
• Word-tilläggets aggressiva omformulering kan ändra juridisk innebörd i avtalstext

Rekommenderade mitigeringar

• Kräv Business eller Enterprise i policy för all professionell användning
• Disable browser-extension på klient-system och känsliga interna tjänster (lista vilka domäner)
• Förbjud Grammarly i Outlook-integration för mejl till klient — eller granska resultat före skick
• Aldrig använd "Generate" eller "Rewrite"-funktioner på avtalstext — risk att juridisk innebörd ändras
• Aktivera SSO i Business/Enterprise
• Granska Q1 FY26-uppdaterad DPA-version

Branschspecifik vägledning – revision/redovisning

Får användas för:

• Korrekturläsning av interna memos, rapporter, presentationsmaterial
• Språkjustering av offentliga rapportstycken (utan klient-info i texten)
• Engelska översättnings-stöd för internationell kommunikation (utan klient-uppgifter)
• Egna anteckningar och utbildningsmaterial

Får INTE användas för:

• Klient-mejl utan att kontextualisera vilken text som faktiskt skickas till Grammarly
• Slutlig formulering av revisionsbrev eller granskningsutlåtanden — risk att AI-omformulering ändrar substans
• Konfidentiellt material där klient-identitet eller klientmedel-uppgifter exponeras
• Avtalsutkast där exakt formulering är juridiskt bindande

Särskild försiktighet vid:

• Tone-justering ("more formal", "more friendly") — kan ändra juridisk eller fackmässig innebörd
• "Fluency" / "Rewrite"-funktioner — gör större ändringar än bara grammatik
• Browser-extension aktiv på klientportaler — text skannas innan användaren tänker på det

Källor

• Grammarly Privacy Policy: https://www.grammarly.com/privacy-policy
• Grammarly Trust Center: https://www.grammarly.com/trust
• Grammarly Security: https://www.grammarly.com/security
• Grammarly Compliance: https://www.grammarly.com/compliance
• Grammarly Data Privacy Addendum: https://www.grammarly.com/terms/Grammarly-DPA.pdf