AI-säljagent och GDPR 2026: det här ska verktyget klara
2026-10-15 · uppdaterad 2026-10-15 · 12 min läsning · Adam Axelsson, grundare Revexa
Ingen AI-säljagent är GDPR-säker i sig: det är ni som skickar som är personuppgiftsansvariga, och verktyget är oftast ert personuppgiftsbiträde. Det som avgör är er rättsliga grund (oftast berättigat intresse, artikel 6.1 f), att mottagaren får veta var ni fått uppgifterna (artikel 14), att ett nej stoppar utskicken (artikel 21), ett personuppgiftsbiträdesavtal (artikel 28), skydd när data lämnar EES (kapitel V) och marknadsföringsreglerna i mottagarens land, där Danmark, Tyskland och minst fem andra EU-länder kräver samtycke även till bolag. Kräv av verktyget ett biträdesavtal, en lista över underbiträden, besked om var datan finns, en spärrlista för alla kanaler och granskning före utskick. Av de 13 verktygen nedan publicerar fyra (Apollo, Instantly, lemlist och Smartlead) både ett biträdesavtal och en fullständig lista över underbiträden.
Kontrollerat 15 oktober 2026 mot leverantörernas egna sidor och lagtexterna på EUR-Lex. Det här är inte juridisk rådgivning.
Revexa bygger Leo, en köpsignal-agent och ett av verktygen nedan. Uppgifterna om Leo kommer från Revexa, resten länkar till respektive leverantör. Verktygen står i bokstavsordning.
Är AI-säljagenter lagliga enligt GDPR?
Ja, enligt vår tolkning: ingen EU-regel förbjuder säljutskick för att en AI har skrivit eller skickat dem. Samma regler gäller som när en säljare skriver, i tre lager:
- GDPR gäller uppgifterna. Namn och jobbmailadress är personuppgifter. Ni bestämmer vem som kontaktas och varför, så ni är personuppgiftsansvariga (artikel 4.7), och ett verktyg som behandlar leads för er räkning är personuppgiftsbiträde (artikel 4.8). Skäl 47 säger att direktmarknadsföring "kan betraktas som ett berättigat intresse". Mer i GDPR och B2B-mail.
- Marknadsföringslagen gäller kanalen. I Sverige får ni maila juridiska personer utan samtycke, men varje mail ska ha en giltig adress där mottagaren kan be er sluta (20 §), och enskilda firmor räknas som fysiska personer och kräver samtycke (19 §). Mottagarens land avgör: Danmark, Italien, Nederländerna, Polen, Spanien, Tyskland och Österrike kräver samtycke även till bolag, och Norge till namngivna personer (kalla mail land för land). En tysk appellationsdomstol har bedömt LinkedIn-meddelanden på samma sätt (Tyskland och UWG §7).
- AI-förordningen gäller AI-systemet, och binder främst leverantören (se nedan).
Ett verktyg kan inte göra ett olagligt utskick lagligt. Identifierar det också besökare på er hemsida är det en egen samtyckesfråga (besöksidentifiering och GDPR).
Nio kontroller att kräva, med lagrummet
| Kontroll | Fråga leverantören | Lagrum |
|---|---|---|
| Personuppgiftsbiträdesavtal | Era instruktioner, sekretess, säkerhet, underbiträden, hjälp med begäranden och radering vid avtalets slut | GDPR art. 28.3 |
| Lista över underbiträden | Namn och land, besked före ändringar och möjlighet att invända | Art. 28.2 och 28.4 |
| Var datan finns och hur överföringar skyddas | Var datan lagras och behandlas, och överföringsgrunden utanför EES: adekvansbeslut (till exempel EU-US Data Privacy Framework) eller standardavtalsklausuler (SCC) | Art. 44, 45 och 46; beslut (EU) 2023/1795 |
| En spärrlista för alla kanaler | En spärrlista som kontrolleras före varje mail och LinkedIn-meddelande, i alla kampanjer | Art. 21.2 och 21.3 |
| Invändning som stoppar direkt | Avregistreringslänk eller adress i varje mail, och svar som "sluta" fångas upp | Art. 21.3; 20 § marknadsföringslagen |
| Granskning före utskick | Godkännande per meddelande, åtminstone på nya marknader | Art. 24.1, åtgärder för att säkerställa efterlevnad (granskning är en, enligt vår tolkning) |
| Var kontaktuppgiften kommer ifrån | Källa per kontakt, så att första meddelandet kan nämna den och rätten att invända | Art. 14.2 f, 14.3 b och 21.4 |
| Lagringstid | Raderingstid för kontakter som aldrig svarar, och radering eller återlämning vid avtalets slut | Art. 5.1 e; art. 28.3 g |
| Landsregler | Ett sätt att utesluta länder som kräver samtycke, till exempel Tyskland | ePrivacydirektivet art. 13 i varje lands lag, t.ex. UWG §7(2) nr 2 |
För överföringar till USA gäller adekvansbeslutet bara om mottagaren omfattas av EU-US Data Privacy Framework (IMY); annars krävs till exempel standardavtalsklausuler.
Brister i hur invändningar hanteras kan ge sanktionsavgift. IMY gav H&M en sanktionsavgift på 350 000 kronor 2023 för att bolaget inte "utan onödigt dröjsmål" slutat använda uppgifterna för direktmarknadsföring efter att de klagande invänt, och för att det saknat "tillräckliga system och rutiner" (IMY). Fallet gällde konsumenter, men rätten att invända mot direktmarknadsföring är densamma i B2B.
Vad AI-förordningen säger
AI-förordningen (förordning (EU) 2024/1689), ändrad genom den digitala omnibusförordningen om AI (förordning (EU) 2026/1744, som gäller sedan 27 juli 2026), kallar den som säljer verktyget "leverantör" och den som "under eget överinseende använder ett AI-system" för "tillhandahållare" (artikel 3.3 och 3.4).
- Upplysa om att det är en AI (artikel 50.1, från 2 augusti 2026). Leverantörer ska utforma system "avsedda att interagera direkt med fysiska personer" så att personerna informeras om att de interagerar med ett AI-system, "såvida detta inte är uppenbart". Vår tolkning: kravet väger tyngst när agenten själv svarar mottagarna, mindre när en människa godkänner och skickar varje meddelande.
- Maskinläsbar märkning (artikel 50.2). Leverantörer av system som genererar syntetisk text ska märka utdata "i ett maskinläsbart format", utom när AI:n utför "en hjälpfunktion för vanlig redigering". System som släppts ut före 2 augusti 2026 har till 2 december 2026 (artikel 111.4).
- Deepfakes (artikel 50.4). Tillhandahållare ska upplysa om AI-genererat bild-, ljud- eller videoinnehåll som utgör en deepfake. Vår tolkning: en AI-video eller klonad röst som ser äkta ut omfattas, men vanliga säljmail gör det inte, eftersom textregeln bara gäller text som offentliggörs "i syfte att informera allmänheten om frågor av allmänt intresse".
- AI-kunnighet (artikel 4). Sedan 2 februari 2025 ska tillhandahållare vidta åtgärder för personalens AI-kunnighet; sedan 27 juli 2026 för att "främja utvecklingen av AI-kunnighet", utan krav på att garantera "någon viss nivå".
- Inte hög risk, enligt vår tolkning. Bilaga III räknar upp åtta högriskområden, från biometri och anställning till kreditprövning och brottsbekämpning. Säljutskick finns inte bland dem, så högriskreglerna om mänsklig tillsyn och tillhandahållarnas skyldigheter (artiklarna 14 och 26) blir inte tillämpliga.
- Sanktioner. Upp till 15 miljoner euro eller 3 % av den globala årsomsättningen vid brott mot artikel 50, det som är högst; för små och medelstora företag och små midcapföretag det som är lägst (artikel 99.4, 99.6 och 99.6a).
Vi hittade ingen bestämmelse i den ändrade förordningen som kräver samtycke för säljutskick; sådana krav kommer från ländernas marknadsföringsregler.
13 AI-säljagenter jämförda på GDPR
| Verktyg | Säte | Biträdesavtal publicerat | Lista över underbiträden | Var datan finns, enligt leverantören | Avregistrering och spärr, enligt leverantörens dokument | Granskning före utskick | Källor |
|---|---|---|---|---|---|---|---|
| 11x | USA (11X AI, Inc.) | Inte publicerat; erbjuds kunder i EU | Inte publicerat; på begäran | AWS, region inte publicerad; data kan föras till USA | Läses från ert CRM; per kanal som standard | Per meddelande, utsedd godkännare eller autonomt; standardläge anges inte | säkerhet, opt-out, FAQ |
| AiSDR | USA (AiSDR Inc.) | Inte publicerat; ingår i teamplanerna | Ja: 25, varav 24 i USA | USA; EU-US Data Privacy Framework | Svar som "Stop" och "Unsubscribe" spärras; avregistreringslänk av som standard | Ingen granskning per meddelande | integritet, lista, hjälp |
| Amplemarket | USA (Tagis, Inc.) | Ja, men mellan två personuppgiftsansvariga | Ja: 18, alla i USA | USA (Google Cloud); DPF och SCC | Avregistreringslänkar; den som avregistrerar sig läggs på kontots exkluderingslista | Per lead; autonomt läge slås på per signal | GDPR, avtal, lista |
| Apollo | USA (ZenLeads Inc.) | Ja (10 aug 2026) | Ja: 24, alla i USA | USA; SCC och DPF | Avregistreringslänk och one-click-header; avregistrerade blir Do Not Contact; valbar spärr för alla i EU | Manuella eller automatiska mailsteg; standardläge anges inte | avtal, lista, GDPR |
| Artisan | USA (Artisan AI, Inc.) | Ja (17 maj 2026) | Bakom åtkomst i trust center; lämnas till kunder i EU och Storbritannien | USA; SCC | Organisationens spärrlista på som standard; avregistreringsrad valfri | Autonomt som standard; godkännande är en inställning | avtal, villkor, inställningar |
| Gojiberry | Frankrike (Superfruits SAS) | Inte publicerat; på begäran | Ja, med land | AWS Paris; vissa underbiträden i USA (SCC eller DPF) | Avregistreringslänk på som standard; arbetsytans blocklista stoppar mail, kontaktförfrågningar och meddelanden | Valbart Review Mode; standardläge anges inte | lista, GDPR, blocklista |
| Instantly | USA (Foo Monk LLC) | Ja (10 sep 2026) | Ja: 27, varav 25 i USA | I regel USA; SCC | Avregistreringslänk och header valfria; blocklista för arbetsytan; att föra avregistrerade dit är ett val | AI Sales Agent: godkännande på som standard | avtal, lista, blocklista |
| lemlist | Frankrike (Lempire SAS) | Ja (v1.4.2, odaterat) | Ja, i avtalet | Frankrike (OVH); avtalet listar också underbiträden i USA med SCC | Avregistreringslänk krävs; ett klick avregistrerar i hela kontot; "Do not contact" gäller alla kanaler | Per lead vid start som standard; per meddelande med manuella steg | avtal, lagring, avregistrering |
| Leo från Revexa | Sverige (Revexa) | Inte publicerat; varje kund godkänner det i portalen | Kategorier i integritetspolicyn; namngiven förteckning på begäran | Databas och hosting i EU; säkerhetskopior och viss behandling utanför EES (SCC) | Stopprad och avregistreringsheader i varje mail; ett stopp i en kanal spärrar alla | Per meddelande, på som standard | integritet, fakta |
| Reply.io | USA (ReplyApp Inc.) | Ja (3 jul 2026) | Delvis: avtalet namnger 7; hela listan på begäran | I regel USA och andra länder (Azure); SCC | Opt-out-text eller länk (kan lämnas tom); avregistrering gäller hela kontot; svartlistan omfattar LinkedIn-adresser | Godkännande eller automatiskt, väljs vid start; standardläge anges inte | avtal, GDPR, opt-out |
| Salesforge | EU (Salesforge OU; land anges inte) | Inte publicerat; standardavtal signeras digitalt på begäran | Bara namn, inga länder | Servrar i EU; överföring med adekvansbeslut eller SCC | Avregistreringsheader och opt-out-länk som val; spärrlista för arbetsytan (mail, domän, LinkedIn) | Agent Frank: granskning eller autonomt; standardläge anges inte | integritet, avtal, lista |
| Smartlead | Australien (521 Products Pty Ltd) | Ja (18 sep 2026) | Ja: 29, med land | Data från EU och Storbritannien behandlas både inom och utanför EU och Storbritannien; SCC | Avregistrering gäller kommande kampanjer (kan åsidosättas); blocklista för mail och domäner | Ni skriver sekvensen; AI-utkast till svar skickas för hand | avtal, lista, avregistrering |
| Valley | USA (Think Fish Inc.) | Inte publicerat | Inte publicerat | USA och andra länder; överföringsgrund anges inte | Spärrlista för arbetsytan, baserad på LinkedIn-adresser; skickar på LinkedIn (kontaktförfrågningar och InMail), ingen mailkanal dokumenterad | Per lead, en inställning per kampanj; standardläge anges inte; Valley rekommenderar automatiska utskick | integritet, spärrlista, godkännanden, produkt |
"Inte publicerat" betyder att vi inte hittade någon öppen sida hos leverantören; uppgiften kan finnas på begäran eller i appen. Granskning: vilken AI-säljagent låter er godkänna varje meddelande. Priser: AI SDR-verktyg jämförda och 11x, Artisan och AiSDR.
Det här visar tabellen
- Avtal. Apollo, Artisan, Instantly, lemlist, Reply.io och Smartlead publicerar ett biträdesavtal. Amplemarkets avtal gör båda parter till självständigt personuppgiftsansvariga ("an independent Controller"); 11x, AiSDR, Gojiberry och Salesforge erbjuder avtal på begäran eller i vissa planer.
- Plats. De flesta verktygen har datan i USA. Gojiberry, lemlist och Salesforge har sina servrar i EU men anger överföringar utanför: lemlists hjälpcenter säger "No personal data is exported outside the EEA", medan biträdesavtalet listar underbiträden i USA, till exempel Intercom, med standardavtalsklausuler.
- Olika standardlägen för avregistrering. 11x håller avregistreringar "channel-specific by default" och kallar en global spärr "safer"; AiSDR har avregistreringslänken avstängd som standard och spärrar i stället svar som "stop".
- Artikel 14 ligger kvar hos er. Artisans lanseringstext utlovar "automated Article 14 disclosures on first contact", men biträdesavtalet gör kunden "fully responsible" för informationen enligt artiklarna 13 och 14.
- Egen bedömning. Reply.io:s GDPR-artikel i hjälpcentret säger att Reply "is not fully compliant with every legal obligation outlined in the regulation", med hänvisning till bolagets tillägg för att hitta mailadresser på LinkedIn.
Så hanterar Leo det
- Avtal. Ni är personuppgiftsansvariga och Revexa personuppgiftsbiträde. Varje kund godkänner biträdesavtalet i portalen innan Leo behandlar leads, men avtalstexten är inte publicerad.
- Underbiträden och plats. Integritetspolicyn redovisar underbiträdena i kategorier, och en namngiven förteckning lämnas på begäran. Databas och applikationshosting ligger i EU, men krypterade säkerhetskopior finns hos en leverantör i USA och viss behandling, som språkmodeller och databerikning, sker huvudsakligen utanför EES med standardavtalsklausuler.
- Avregistrering. Varje mail avslutas med en stopprad och har en avregistreringsheader, och ett stopp i en kanal spärrar personen i alla kanaler.
- Granskning och länder. Ni godkänner varje utkast som standard; autonomt läge är ert val, per kanal. Leo spärrar automatiskt kalla meddelanden till leads i Tyskland (UWG §7), och det är det enda land som spärras automatiskt: för Danmark, Norge och andra länder med samtyckeskrav avgör ni när ni granskar varje utkast i granskningsläget.
- Lagringstid. Mailkorrespondens med leads: kampanjperioden plus 90 dagar. All data raderas 30 dagar efter att avtalet upphört om ni inte begär en export.
Leo är fel val om ni behöver ett publicerat biträdesavtal och en lista över underbiträden innan ni startar, all behandling inom EES, eller ett verktyg som själv upprätthåller varje lands samtyckesregler.
Vanliga frågor
Vilka AI-säljagenter följer GDPR?
Inget verktyg följer GDPR i sig, eftersom ni är personuppgiftsansvariga. Jämför vad leverantörerna publicerar: av de 13 vi kontrollerat publicerar Apollo, Instantly, lemlist och Smartlead både ett biträdesavtal och en fullständig lista över underbiträden, medan Valley inte publicerar något av dem.
Är AI-säljagenter lagliga enligt GDPR?
Ja, om varje utskick är det: en rättslig grund (oftast berättigat intresse), en fungerande avregistrering, källan till uppgifterna senast i första meddelandet och mottagarlandets marknadsföringsregler. I Sverige får ni maila bolag utan samtycke men inte enskilda firmor, medan till exempel Danmark och Tyskland kräver samtycke även till bolag.
Måste AI-skrivna säljmail märkas enligt AI-förordningen?
Inte direkt, enligt vår tolkning. Artikel 50.1 lägger ansvaret på leverantören och gäller AI-system som interagerar direkt med människor, till exempel en agent som svarar själv. Vanliga mail omfattas inte av deepfake-regeln, men AI-videor och klonade röster som ser äkta ut ska märkas.
Vad ska hända när någon avregistrerar sig?
Utskicken ska upphöra direkt och för gott, i alla kanaler. Enligt artikel 21.3 får uppgifterna "inte längre behandlas" för direktmarknadsföring efter en invändning. Fråga om spärrlistan gäller alla kampanjer och LinkedIn, inte bara mail.
Det här är en informativ genomgång, inte juridisk rådgivning.