Slack AI

Vad det är

AI-lager i Slack: konversations-/trådsammanfattningar, AI-sök med svar, kanal-recaps, huddle-AI-anteckningar, transkript av ljud-/videoklipp. Relevant för byråns interna kommunikation.

Typisk dataaccess

• Meddelanden i kanaler och DM användaren har åtkomst till
• Trådar och kanaler som sammanfattas/söks
• Huddle-/klipp-innehåll (där tillgängligt)

EU AI Act-bedömning

Risknivå: Limited

Motivering: Slack AI-sammanfattningar är interna (informerar inte "allmänheten"), så Article 50:s innehållsmärkning biter i liten grad; chatbot-interaktions-transparens är den relevanta vinkeln. Inte Annex III i normal användning.

GDPR-överväganden

Datalagring: LLM:er inom Slacks trust boundary. Data residency Business+/Enterprise inkl. Frankfurt/Paris. (Notera: i Zürich/Dubai är AI-huddle-anteckningar/klipp-transkript ej tillgängliga.)

Datatransfer: Kunddata stannar inom Slacks infrastruktur; LLM-leverantören har inte åtkomst till kunddata.

DPA tillgänglig: Ja (alla planer): https://slack.com/terms-of-service/data-processing. Sub-processor-dokument (Salesforce Infrastructure & Sub-processors): https://www.salesforce.com/content/dam/web/en_us/www/documents/legal/misc/salesforce-infrastructure-and-subprocessors.pdf. Kärninfra: AWS.

Träningsstance (verifierad): "Slack will not use Customer Data to train generative AI models unless Customer provides affirmative opt-in consent." + "AI in Slack uses off-the-shelf LLMs where the models are not updated by and don't in other ways retain Customer Data." + "Customer Data stays in Slack's trust boundary, and the providers of the LLM don't have access to Customer Data." (Separat opt-out finns för Slacks egna icke-generativa ML-modeller via feedback@slack.com.) LLM-leverantör för kärn-Slack-AI ej namngiven publikt (Anthropic Claude körs dock inom Salesforce trust boundary och finns som Claude-app för Slack).

Certifieringar: SOC 2, SOC 3, ISO 27001, ISO 27017, ISO 27018; EU SCC; EU-US/UK/Swiss DPF.

Särskilda risker:

• Sammanfattningar/sök exponerar innehåll användaren har åtkomst till — gamla känsliga kanaler kan dyka upp
• Klient-känslig info i Slack-meddelanden → med i AI-sammanfattningar
• EU-residency endast Business+/Enterprise (ej gratis-/lägre planer)

Vanliga risker

• Anställd skriver klient-känslig info i en kanal → AI-sök/-recap exponerar den
• AI-sammanfattning av en kanal når någon som inte borde ha sammanhanget
• Antagande att EU-residency gäller alla planer (gäller Business+/Enterprise)
• Huddle-transkript av känsliga samtal

Rekommenderade mitigeringar

• Använd Business+/Enterprise med EU data residency (Frankfurt/Paris)
• Lämna AI-träning som opt-out (default är ingen träning på kunddata)
• Strukturera känsliga klientdiskussioner i separata, åtkomstbegränsade kanaler
• Inventera vilka AI-features (recap/huddle-notes) som är aktiva
• Granska sub-processor-dokumentet vid upphandling

Branschspecifik vägledning – revision/redovisning

Får användas för:

• Intern byrå-kommunikation och kunskapsdelning
• AI-sammanfattning av interna kanaler utan klient-känslig info
• Sök i intern historik (med åtkomststyrning)

Får INTE användas för:

• Kanaler där klientmedel (revisorslagen 19 §) eller granskningskänslig info diskuteras, om inte åtkomst + residency är strikt kontrollerade
• Lagring av granskningsbevis (Slack-sammanfattningar är inte ISA-bevis)
• Känsliga personuppgifter om klienters anställda

Särskild försiktighet vid:

• AI-sök/-recap som exponerar äldre känsliga kanaler
• Plan-/residency-nivå (EU-residency kräver Business+/Enterprise)
• Huddle-AI-anteckningar av känsliga samtal

Källor

• Slack AI security (träning/residency/trust boundary): https://slack.com/help/articles/28310650165907-Security-for-AI-features-in-Slack
• Slack privacy principles (no-training): https://slack.com/trust/data-management/privacy-principles
• Slack data residency (Frankfurt/Paris): https://slack.com/help/articles/360035633934-Data-residency-for-Slack
• Slack DPA: https://slack.com/terms-of-service/data-processing
• Salesforce/Anthropic-partnerskap (Claude i trust boundary): https://www.anthropic.com/news/salesforce-anthropic-expanded-partnership
• Saknas: namngiven LLM-leverantör för kärn-Slack-AI, uttrycklig Article 50-position