GDPR och AI-headshots för företag: Så gör ni det lagligt

Innan ni rullar ut AI-headshots till LinkedIn, intranät och Platsbanken behöver HR och legal en leverantörschecklista — inte ett advokat-pm. Fråga var medarbetarnas bilder ligger, hur länge modellerna lever, vilka underbiträden ni har, hur radering fungerar, vilken rättslig grund ni använder för personalporträtt, och om en admin kan bjuda in och låsa bakgrunder. Headshots.se är ett danskt bolag med EU-hostade databaser, AES256 och modeller som raderas efter 30 dagar. Det här är praktiskt inköpsspråk. Det är inte juridisk rådgivning.

Onsdagens verktygsjämförelse rankade generatorer. Den här sidan är förtroendepasset för företag: frågorna ni ställer till oss och till alla andra, innan första inbjudan går ut. Skriv till hey@headshots.dk om legal vill ha produktfakta på mejl.

Vad ska HR och legal låsa innan ni rullar ut AI-headshots?

Lås sex saker innan första selfien laddas upp: dataplats, lagringstid, underbiträden, radering, rättslig grund för medarbetarbilder och team-admin. Ett danskt bolag med EU-databaser och 30 dagars modellradering är lättare att dokumentera än ett amerikanskt eller singaporianskt verktyg som bara skriver GDPR i footern. Behandla det som inköp. Er legal väljer grunden. Det gör inte vi.

Headshots.se rammar GDPR på sajten: krypterade bilder, europeiska servrar, radera när som helst, kommersiell licens, låsta matchande bakgrunder och admin-inbjudningar. Över 180 företag har kört samma motor. Teampris från startsidan är 447 kr per person, 15 % rabatt vid 15 personer. Det är produkttext. Det är inte er konsekvensbedömning.

Vilka frågor ska ni ställa till varje AI-headshot-leverantör?

Ställ samma sju frågor till alla — även till Headshots.se, och även till amerikanska eller singaporianska verktyg som marknadsför GDPR 2026. Fråga var primär lagring ligger, om app-servrar eller failover lämnar EU, när modeller och uppladdningar raderas, vilka underbiträdena är, hur en anställd kan radera, och om en admin kan bjuda in och låsa bakgrunder. Skriv svaren in i ärendet. En integritetspolicy-mening är inte hela filen.

1. Var ligger primär lagring, och lämnar app-servrar eller backup EU?
2. Hur länge sparas uppladdningar, färdiga bilder och tränade modeller?
3. Vilka är underbiträdena, och är de SOC 2- eller ISO 27001-certifierade?
4. Kan anställd och admin radera uppladdningar och genererade foton när som helst?
5. Hur stöder ni den rättsliga grund vår legal väljer för personalporträtt?
6. Kan en admin bjuda in kollegor och låsa matchande bakgrunder?
7. Hur hanterar ni öppenhet enligt EU AI Act artikel 50 för AI-bilder?

Var ligger medarbetarnas bilder faktiskt?

Be om databasens region, inte ett slagord. Headshots.se hostar databaser i EU och krypterar med AES256. Leverantörerna för bilderna är SOC 2- och ISO 27001-certifierade — det är FAQ:n på startsidan, inte ett certifikat för Headshots själva. Enligt 2026-leverantörsmarknadsföring lagrar vissa amerikanska verktyg primärt i Frankfurt med US-bearbetning; vissa singaporianska bolag lagrar foton i Västeuropa med app-servrar i USA. Fråga. Granska inte en marketingsida som revision.

Två namn som ofta dyker upp — som 2026-leverantörsmarknadsföring, inte som något vi har granskat: BetterPic (amerikanskt bolag, primär lagring i Frankfurt, viss US-bearbetning) och HeadshotPro (singaporianskt bolag, fotolagring i Västeuropa, app-servrar och failover i USA). HR ska ändå be om den aktuella regionkartan. Marketingsidor flyttar sig.

Hur länge lever modellerna, och kan ni radera?

Be om tre klockor: uppladdningar, färdiga porträtt och den tränade modellen. Hos Headshots.se raderas AI-modeller automatiskt efter 30 dagar, och användaren kan radera både uppladdningar och genererade bilder när som helst. Det matchar den offentliga FAQ:n. Raderar en leverantör bara «på begäran», skriv SLA:n. Tränar de en grundmodell på medarbetaransikten är risken en annan än en sessionsmodell som försvinner på 30 dagar.

Vad betyder EU AI Act artikel 50 för en team-utrullning från 2 augusti 2026?

Artikel 50 i EU:s AI-förordning började gälla 2 augusti 2026. Det är öppenhet för vissa AI-system och för visst AI-genererat innehåll — inte en stämpel om att en headshot-leverantör är «AI Act-certifierad». Fråga varje leverantör hur de märker AI-bilder, och vad ni som deployer ska upplysa på LinkedIn eller intranät. Vi påstår inte att Headshots är fullt bedömt mot artikel 50 utöver produktsidorna.

Sätt frågan på checklistan. Legal mappar vem som är provider och vem som är deployer. Ett intranätporträtt är inte samma sak som en offentlig deepfake. Vi låtsas inte om något annat. Läs artikel 50-texten om skyldigheten ska in i protokoll.

Hur svarar Headshots.se på checklistan?

Headshots.se svarar med ett danskt bolag, EU-hostade databaser, AES256, SOC 2- och ISO 27001-leverantörer, 30 dagars modellradering, radering när som helst, kommersiell licens och team-admin som låser matchande bakgrunder och skickar inbjudningar. Support är hey@headshots.dk i Danmark. Sajten rammar GDPR-språket — «radera dina bilder när som helst». Över 180 företag. Teampris från startsidan: 447 kr per person, 15 % rabatt vid 15 personer. Det är produktärendet. Det är inte er DPIA.

IMY har en guide om att publicera bilder på internet, plus sidor om rättslig grund i arbetslivet. Läs dem hos IMY. Citera inte den här artikeln som lag. Rättslig grund för personalporträtt är er bedömning — samtycke i anställning är ofta skört. Vi hittar inte på IMY-citat.

Vanliga frågor

Här är de fem frågor HR och legal ställer före en svensk team-utrullning: om det här är juridisk rådgivning, var data ligger, vad som raderas, vad artikel 50 betyder, och vad team kostar. Svaren använder samma produktfakta som tabellen, så ni kan citera dem utan att läsa hela guiden. Inget svar ersätter er egen legal.

Är det här juridisk rådgivning? Nej. Det är en praktisk leverantörschecklista för HR. Er legal väljer rättslig grund och skriver DPIA. IMY vägleder om arbetsliv — läs dem, inte oss, som facit.

Ligger medarbetarnas bilder i EU hos Headshots.se? Databaserna är EU-hostade. Kryptering är AES256. Leverantörer för bilderna är SOC 2 och ISO 27001. Det är FAQ:n på startsidan. Be fortfarande om aktuell region skriftligt om legal kräver det i akten.

Kan medarbetare radera uppladdningar och genererade bilder? Ja. Användaren kan radera uppladdningar och genererade foton när som helst. AI-modeller raderas automatiskt efter 30 dagar. Det är produktsidornas radering — inte ett evigt arkivavtal.

Vad ska vi fråga om artikel 50? Fråga hur leverantören märker eller upplyser AI-genererade bilder, och vad ni som deployer ska skriva på LinkedIn, intranät eller sajt. Artikel 50 gällde från 2 augusti 2026. Vi överclaimar inte Headshots utöver produktsidorna.

Vad kostar Headshots för team, och var startar vi? 447 kr per person. 15 personer = 15 % rabatt. Låsta bakgrunder, admin-inbjudningar, kommersiell licens, ca 15 minuter efter ca 10 selfies. Över 180 företag. Skriv till hey@headshots.dk.

Redo att rulla ut till teamet?

När fem eller fler kollegor ska ha samma bakgrund på intranät och LinkedIn, starta på Headshots för team. Admin bjuder in. Ni låser stilen. Paketet är 96 headshots per person, klart på ca 15 minuter efter ca 10 selfies. Under fem personer är enskilda paket oftast enklare. Frågor om dataplats och radering går till hey@headshots.dk — ett danskt team, inte en chattbot i en annan tidszon.