Dikteringsprogram och GDPR: Varför molnbaserad taligenkänning är en juridisk risk

I korthet: Molnbaserade dikteringsprogram överför röstdata till externa servrar — ett problem för GDPR och särskilt för yrkesgrupper med tystnadsplikt enligt §203 StGB. Röstinspelningar kan innehålla biometriska data och omfattas därmed av den stränga artikel 9 GDPR. Lokala offline-lösningar undviker dessa risker helt eftersom ingen dataöverföring äger rum.

Du dikterar en skrivelse för en klient. Konfidentiella detaljer, ärendenummer, namn — allt flödar via tal in i din dator. Men vart exakt? För de flesta dikteringslösningar lyder svaret: till en server i molnet. Ofta i USA, ibland i Irland, sällan i Tyskland. För yrkesgrupper med tystnadsplikt — advokater, skatterådgivare, läkare — är detta inte bara en dataskyddsfråga. Det är potentiellt straffbart. Den här artikeln förklarar varför dikteringsprogram och GDPR bildar ett spänningsfält, vilka konkreta risker molnlösningar medför och vilka alternativ som finns.

Vad händer med dina röstdata i molnet?

Molnbaserade dikteringsprogram överför dina ljuddata till en extern server, där en AI-modell omvandlar tal till text och skickar tillbaka resultatet. Därmed passerar dina röstdata flera nätverksnoder, bearbetas på leverantörens server och lagras ofta temporärt — en process som får omfattande dataskyddsrättsliga konsekvenser.

Problemet börjar redan vid själva överföringen. Enligt en undersökning från SkyScribe (2026) laddar vissa transkriptionsappar upp ljuddata till externa servrar även före användarens samtycke — via SDK:er som redan överför data när appen startas. Denna mekanism är osynlig för användaren: Appen begär endast mikrofonåtkomst, medan ljuddata i bakgrunden vidarebefodras till molnmodeller.

De stora molnleverantörerna som Google, Apple och Microsoft bearbetar röstdata som standard på sina servrar. För Apples Siri och Googles taligenkänning fungerar röstidentifieringen överhuvudtaget inte när WLAN är avaktiverat — ett tydligt tecken på att bearbetningen inte sker lokalt. För privat bruk kan detta vara acceptabelt. För professionella användare med konfidentialitetsskyldigeter är det ett compliance-problem.

Därtill kommer frågan om datalagring. Många molnleverantörer förbehåller sig i sina användarvillkor rätten att använda ljuddata för att förbättra sina modeller. Även om omedelbar radering utlovas saknas ofta transparenta bevis för att data faktiskt tas bort helt. Utan tydliga raderingsfrister och verifierbara processer kvarstår en restrisk att dina konfidentiella diktat blir kvar på främmande servrar.

En ofta underskattad punkt: Även metadata är skyddsvärd. Även om ljudströmmen överförs krypterat kan tidsstämplar, IP-adresser, enhetsinformation och användningsmönster avslöja slutsatser om ditt arbete. I en advokatbyrå avslöjar denna metadata exempelvis när man arbetar med vilket ärende — information som kan vara värdefull för motparter eller konkurrenter.

Vilka GDPR-krav gäller för dikteringsprogram?

Dikteringsprogram som bearbetar röstdata omfattas helt av GDPR eftersom ljuddata är personuppgifter. De innehåller rösten från en identifierbar person och ofta nog även innehållsmässigt känslig information om tredje parter. Huruvida ett personuppgiftsbiträdesavtal krävs beror på om bearbetningen sker lokalt eller på externa servrar.

De centrala GDPR-kraven kan delas in i fyra områden:

Rättslig grund enligt artikel 6 GDPR. Varje bearbetning behöver en rättslig grund. För molnbaserade dikteringsprogram kommer oftast artikel 6 stycke 1 punkt f (berättigat intresse) eller punkt a (samtycke) i fråga. Båda är problematiska i professionell kontext: Det berättigade intresset måste vägas mot de registrerades rättigheter, och ett giltigt samtycke från alla personer som nämns i ett diktat är praktiskt taget omöjligt att inhämta.

Personuppgiftsbiträde enligt artikel 28 GDPR. Så snart en molnleverantör bearbetar dina röstdata på sina servrar föreligger personuppgiftsbiträde. Ett personuppgiftsbiträdesavtal är obligatoriskt. Det måste reglera föremål, varaktighet, art och syfte med behandlingen, typen av personuppgifter och personuppgiftsbiträdets skyldigheter. Saknas personuppgiftsbiträdesavtalet strider redan användningen av programvaran mot GDPR — och det oberoende av om en dataskyddsincident faktiskt inträffar.

Tredjelandsöverföring. Många molnbaserade dikteringstjänster bearbetar data i USA eller andra tredje länder. Sedan Schrems-II-domen från EU-domstolen (2020) är överföring av personuppgifter till USA kopplad till strikta förutsättningar. Det nuvarande EU-US Data Privacy Framework erbjuder visserligen en grund men står redan åter under juridisk kritik. Enligt DLA Piper-studien (2025) utfärdades enbart 2024 GDPR-böter på 1,2 miljarder euro i hela Europa — tredjelandsöverföringar hörde till de vanligaste överträdelserna.

Konsekvensbedömning avseende dataskydd (KBD). Om behandlingen sannolikt medför en hög risk för fysiska personers rättigheter — exempelvis vid biometriska data eller systematisk övervakning — ska enligt artikel 35 GDPR en KBD genomföras. Röstdata kan uppfylla detta kriterium, särskilt om de bearbetas i stor omfattning eller systematiskt.

Den avgörande punkten: Alla dessa krav gäller endast om en dataöverföring till tredje parter överhuvudtaget äger rum. För rent lokala dikteringsprogram som inte skickar data till externa servrar bortfaller hela compliance-ansträngningen. Det finns inget personuppgiftsbiträde, ingen tredjelandsöverföring och därmed heller ingen skyldighet till KBD — GDPR-konformiteten följer av den tekniska arkitekturen självt.

Krav	Molnbaserat dikteringsprogram	Lokalt dikteringsprogram
Rättslig grund (art. 6)	Erforderlig, komplex	Bortfaller (inga data till tredje parter)
Personuppgiftsbiträdesavtal (art. 28)	Skyldighet	Inte nödvändigt
Tredjelandsöverföring	Ofta (USA-servrar)	Utesluten
KBD (art. 35)	Ofta erforderlig	Vanligen inte nödvändig
Tekniska åtgärder	Beroende av leverantör	Full kontroll

Varför är språkdata särskilt känsligt?

Ljudinspelningar kan innehålla biometriska data i GDPR:s mening eftersom de fångar fysiska och beteendespecifika egenskaper hos en person — röstfrekvens, talrytm, artikulationsmönster. Artikel 4 nr 14 GDPR definierar biometriska data som personuppgifter som erhålls genom särskilda tekniska förfaranden och som kan identifiera en person entydigt.

När språkdata används för entydig identifiering tillämpas det strikta behandlingsförbudet enligt artikel 9.1 GDPR. Detta förbud tillåter endast tio snävt definierade undantag — till exempel uttryckligt samtycke. För molndikteringsdienster betyder detta: Även om ett DPA finns och data behandlas inom EU kan behandlingen strida mot artikel 9 om leverantören använder eller skulle kunna använda ljuddata för röstbiometri.

Enligt Dataskyddskonferensens positionspapper (DSK, 2019) ska biometriska datas lämplighet för entydig identifiering alltid beaktas vid riskbedömningen — även om den aktuella behandlingen inte syftar till identifiering. Den rena möjligheten räcker för att motivera förstärkta skyddsåtgärder. Detta gäller även fall där molnleverantören tekniskt skulle kunna skapa röstprofiler — även om de för närvarande inte gör det.

En annan aspekt: Språkdata innehåller regelbundet även innehållsmässig information om tredje parter. När en advokat skapar ett diktat om ett klientärende innehåller det personuppgifter om klienten, motparten och eventuellt vittnen. Dessa personer har varken samtyckt till behandlingen eller kan kontrollera den. I skatterådgivningssammanhang är situationen liknande: Diktat om skatteärenden innehåller inkomstdata, familjeförhållanden och förmögenhetsinformation om klienter — allt högkänsliga data som hamnar hos en molnleverantör på en server som varken skatterådgivaren eller klienten kontrollerar.

Enligt TU Darmstadt och Hochschule Rosenheim utgör molnbaserade taligenkänningssystem en betydande risk eftersom de överförda inspelningarna innehåller både biometriska och konfidentiella informationer — och skulle kunna missbrukas, till exempel för så kallade “Fake Recordings” (autentiskt verkande, artificiellt skapade ljudinspelningar). Denna risk är helt eliminerad vid lokal behandling eftersom ljuddata aldrig lämnar datorn.

Vad innebär §203 StGB för användning av dikteringsprogramvara?

§203 StGB förbjuder yrkessekretessbärare — däribland advokater, skatterådgivare, revisorer och läkare — att obehörigen röja privathemligheter och bestraffar överträdelser med fängelse upp till ett år eller böter. Den som överför klient- eller patientdata via molndikteringsprogramvara till tredjepartsservrar riskerar därmed ett straffrättsligt relevant brott mot tystnadsplikten.

Rättskonsekvenserna sträcker sig bortom böterna. Vid vinningssyfte hotar upp till två års fängelse (§203 abs. 6 StGB). Därtill kommer yrkesrättsliga konsekvenser: Advokatdomstolsförfaranden, indragning av tillstånd, skadeståndsanspråk från berörda klienter. Wikipedia betecknar överträdelser mot §203 StGB som ett massbrottslighet som i sin frekvens är “svår att överträffa” — en allvarlig lagföring sker dock sällan. Detta bör dock inte förstås som en trygghetssignal: I ett allvarligt fall — till exempel vid en dataläcka hos molnleverantören — blir frågan om vårdplikten avgörande.

Sedan reformen 2017 tillåter visserligen §203 abs. 3 StGB inkoppling av externa tjänsteleverantörer som “övriga medverkande personer”. Förutsättningen är dock att yrkessekretessbäraren noggrant väljer ut tjänsteleverantören och förpliktar denne till sekretess. Dessa medverkande personer dras i sin tur in i straffbarheten enligt §203 — de gör sig även straffbara om de röjer en hemlighet som blivit känd i samband med deras verksamhet. För molnleverantörer med säte i USA är det tveksamt om denna förutsättning kan uppfyllas — särskilt med tanke på de dortvarande övervakningslagarna som FISA Section 702 och CLOUD Act, som ger amerikanska myndigheter tillgång till data även om de lagras inom EU.

Specialadvokaten för IT-rätt Andreas Nörr träffade huvudet på spiken i en intervju med Future-Law (2026): Många advokater rådger sina klienter om dataskydd men använder själva osäkra konsumentverktyg för konfidentiella diktat. Användningen av Siri eller Google-röstinmatning för klientdiktat är en flagrant motsägelse till de yrkesmässiga skyldigheter. Han ser lösningen i professionella verktyg som behandlar data lokalt eller i certifierade europeiska datacenter — konsumentprodukter har inget att göra i kanslisammanhang.

Vilka konkreta risker finns med molnbaserad dikteringsprogramvara?

Molnbaserad dikteringsprogramvara medför betydande tekniska, juridiska, ekonomiska och ryktesrelaterade risker som kan förstärka varandra. En enda dataskyddsincident hos molnleverantören kan samtidigt utlösa GDPR-böter, en brottsutredning enligt §203 StGB, civilrättsliga skadeståndskrav och en bestående rykteskada hos klienter och patienter.

Tekniska risker. Ljuddata överförs till servern via internet. Trots HTTPS-kryptering finns det en kvarvarande risk vid komprometterade certifikat eller man-in-the-middle-attacker. På själva servern dekrypteras och bearbetas datan — den som har tillgång till servern har tillgång till dina diktat. Enligt Cloud-Monitor från KPMG och Bitkom Research ökar hoten från molnet kontinuerligt, särskilt för medelstora företag, särskilt genom datastöld och industrispionage. Särskilt lurigt: vissa appar överför ljud redan via SDK:er innan användaren ens aktivt dikterat.

Juridiska risker. Förutom GDPR-böter (upp till 20 miljoner euro eller 4 % av den globala årsomsättningen enligt art. 83 GDPR) och straffbarhet enligt §203 StGB hotar även civilrättsliga skadeståndskrav. Art. 82 GDPR ger drabbade rätt till skadestånd vid GDPR-överträdelser — även för immateriella skador. År 2025 utfärdade enbart BfDI en bot på 45 miljoner euro mot Vodafone på grund av bristfällig uppdragsbehandling (GDPR-Portal, 2026). Samma år bötfällde CNIL Google med 325 miljoner euro och Shein med 150 miljoner euro.

Ekonomiska risker. Molnbaserad dikteringsprogramvara orsakar löpande kostnader: prenumerationer, AVV-förvaltning, regelbundna compliance-kontroller, DSFA-skapande. Dragon Anywhere kostar som prenumerationsmodell månadsvis mellan 20 och 30 euro per användare med en minimitid på 12 månader. Därtill kommer kostnader för juridisk granskning av dataskyddskonformitet, som uppstår på nytt vid varje leverantörsbyte.

Ryktesrisker. En dataskyddsincident hos en molnleverantör påverkar potentiellt alla användare samtidigt. För advokatbyråer och mottagningar kan en sådan incident vara existenshotande. Det genomsnittliga antalet rapporterade dataskyddsöverträdelser steg enligt DLA Piper (2025) till 363 rapporter per dag i Europa. År 2025 rapporterades totalt 10 259 dataintrång till de tyska myndigheterna — en ökning jämfört med föregående år med 8 623 rapporter (GDPR-Portal, 2026).

Riskkategori	Molnlösning	Lokal lösning
Dataläckage vid överföring	Möjligt	Uteslutet
Serverbaserad tillgång av tredje part	Möjligt (även amerikanska myndigheter)	Uteslutet
GDPR-böter	Upp till 20 milj. € / 4 % omsättning	Minimal risk
§203 StGB straffbarhet	Ja, för yrkessekretessbärare	Nej
Löpande compliance-kostnader	AVV, DSFA, granskningar	Inga

Hur fungerar lokal taligenkänning som alternativ?

Lokal taligenkänning bearbetar ljuddata helt på användarens egen dator, utan internetanslutning och utan överföring till externa servrar. AI-modellen körs direkt på den lokala hårdvaran, vilket innebär att ingen tredje part involveras i bearbetningskedjan, inget uppdragsbehandlingsavtal behövs och GDPR-konformitet är arkitektoniskt given.

Det teknologiska genombrottet som möjliggör detta kallas OpenAI Whisper. Denna open source-modell tränades med 680 000 timmar flerspråkig ljuddata och uppnår för tyska en Word Error Rate (WER) på cirka 5,8 % — jämförbart med kommersiella molntjänster. Det avgörande är: Whisper körs helt på lokal hårdvara. Moderna processorer bearbetar diktat i nästan realtid, med GPU-stöd (Apple Metal på Mac, NVIDIA CUDA på Windows) till och med betydligt snabbare.

Genom modellkvantifiering — omvandling av 32-bitars flyttalsvikter till mindre format — krymper modellen till en hanterbar storlek utan att väsentligt påverka noggrannheten. Enligt MLCommons (2025) uppnår Whisper-referensimplementeringen en Word Accuracy på 97,93 % och reducerade felfrekvensen jämfört med den tidigare MLPerf-ASR-modellen med över 72 %. MIT-licensen tillåter dessutom obegränsad kommersiell användning — en avgörande fördel jämfört med proprietära molntjänster där du är bunden till en enda leverantör.

För GDPR-konformitet är resultatet entydigt: Om inga taldata lämnar datorn finns det ingen uppdragsbehandling, ingen tredjelandsöverföring och ingen molnleverantör som du behöver lita på. Hela compliance-komplexiteten försvinner. Även för §203 StGB är situationen klar: Data som aldrig lämnar datorn kan inte “avslöjas”.

Diktly använder exakt detta tillvägagångssätt. Programvaran bearbetar tal helt lokalt via Whisper-modellen. Inget internet, inget moln, ingen serveranslutning — inte ens för uppdateringskontroller. För yrkessekretessbärare enligt §203 StGB är detta det säkraste sättet: Datan stannar på datorn, tystnadsplikt garanteras tekniskt.

En praktisk fördel som ofta förbises: Lokal taligenkänning fungerar även där det inte finns internet — i domstolen, vid klientmöten, på tåget eller utomlands. Medan molnlösningar misslyckas vid dålig anslutning eller kämpar med hög latens, arbetar lokal programvara tillförlitligt och utan fördröjning. För skatterådgivare under den intensiva skattedeklarationsperioden och advokater med snäva deadlines är detta inte en komfortfråga utan en produktivitetsfaktor.

Vilka krav bör GDPR-kompatibel diktatlösning uppfylla?

GDPR-kompatibel diktatlösning måste säkerställa att röstdata inte överförs till tredje part utan rättslig grund och att användaren alltid behåller fullständig kontroll över sina ljuddata. Begreppet “GDPR-kompatibel” är inte skyddat — granska därför konkret hur mjukvaran hanterar dina data.

Följande kriterier hjälper vid bedömningen:

1. Databehandling. Var sker röstigenkänningen — på din enhet eller på en extern server? Testa genom att koppla bort internetanslutningen och starta en diktering. Fungerar mjukvaran offline är behandlingen verkligen lokal. Detta test avslöjar även leverantörer som marknadsför sig med “lokal AI” men faktiskt är beroende av molnbehandling.

2. Nätverkskommunikation. Kontrollera om mjukvaran överför data i bakgrunden. Vissa appar marknadsför sig med “lokal AI” men skickar ändå telemetridata, användningsstatistik eller modelluppdateringar över nätet. Enligt SkyScribe-analysen (2026) skickar vissa transkriptionsappar inspelningar via bakgrundsprocesser till molnmodeller, även om de endast begär mikrofonåtkomst. Var särskilt uppmärksam på appar som upprättar en nätverksanslutning vid start, trots att de inte borde behöva internet för dikteringsfunktionen.

3. Databehandlaravtal och dokumentation. Om mjukvaran använder molnkomponenter: Erbjuder leverantören ett fullständigt databehandlaravtal? Var finns servrarna? I vilket land är leverantören registrerad? Vilka underleverantörer är involverade? Ett saknat eller ofullständigt databehandlaravtal är redan ett GDPR-brott — oavsett om data faktiskt läcker ut.

4. Datalagring och -radering. Lagras ljuddata eller transkript? I så fall, hur länge? Finns det tydliga raderingsfrister? Saknas uppgifter som “radering efter X dagar” finns enligt GDPR ingen garanti för att dina data inte lagras obegränsat. Observera även om leverantören använder ljuddata för att träna sina AI-modeller — det är ett separat behandlingsändamål som kräver egen rättslig grund.

5. Open Source-transparens. Är den använda AI-motorn öppen källkod? För Open Source-modeller som Whisper (MIT-licens) kan oberoende säkerhetsgranskningar genomföras. Proprietära molnmodeller är svarta lådor — du måste lita på leverantören utan att kunna kontrollera dess databehandling.

Hur ser rättsläget ut för molnbaserad röstigenkänning på advokatbyrån?

Molnbaserad röstigenkänning på advokatbyråer är inte förbjuden per se, men den kräver efterlevnad av både dataskyddsrättsliga och yrkesrättsliga bestämmelser. Utöver GDPR gäller advokaternas yrkesetik: tystnadsplikt över allt som blivit känt i yrkesutövningen.

Användning av molnbaserad diktatlösning på byrån kräver åtminstone:

• Ett fullständigt databehandlaravtal med molnleverantören enligt art. 28 GDPR
• Prövning av om molnleverantören kan kvalificeras som “annan medverkande person”
• Skriftlig förpliktelse för leverantören att iaktta sekretess
• För amerikanska leverantörer: Prövning av konsekvenserna av FISA Section 702, CLOUD Act och EU-US Data Privacy Framework
• En dokumenterad konsekvensbedömning avseende dataskydd enligt art. 35 GDPR
• Information till alla berörda (art. 13/14 GDPR) — alltså även till klienterna vars data dikteras

I praktiken innebär detta betydande administrativt merarbete. Som Simon Reuvekamp, CTO vid advokatbyrån Meyer-Köring och specialist på dikteringssystem, noterade på legal-tech.de: Dataskydd begränsar inte fördelarna med röstigenkänning — förutsatt att det finns ett genomtänkt koncept bakom. Den som däremot bara använder Siri eller Google-röstinmatning för klientdiktat handlar vårdslöst. Han rekommenderar som säkraste alternativ lokala röstigenkänningslösningar som fungerar helt utan nätverksöverföring — eller åtminstone lösningar där data uteslutande går via byråns egen krypterade server.

Den enklaste lösningen som kringgår alla dessa krav: mjukvara där röstigenkänningen körs helt lokalt på byråns dator. Ingen molnleverantör, inget databehandlaravtal, ingen tredjelandsöverföring — och ingen svag punkt vid nästa dataskyddskontroll.

Ett praktikexempel förtydligar skillnaden: En enskild byrå som använder Dragon Anywhere måste granska databehandlaravtalet med Nuance/Microsoft, bedöma tredjelandsproblematiken (servrarna står enligt leverantören i ett tyskt datacenter, men Microsoft som amerikanskt företag omfattas av CLOUD Act), skapa en konsekvensbedömning, informera alla klienter enligt art. 13 GDPR och kvalificera molnleverantören som medverkande person enligt §203 abs. 3 StGB och förplikta till sekretess. Samma byrå med en lokal lösning som Diktly behöver inte göra något av detta — GDPR-kompatibiliteten följer av arkitekturen.

Vad kostar GDPR-kompatibel dikteringsprogramvara i jämförelse?

De totala kostnaderna för GDPR-kompatibel dikteringsprogramvara består av inköpspriset och de ofta förbisedda compliance-kostnaderna — de sistnämnda kan överstiga den rena programvarupriset med en mångfald vid molnlösningar. En rättvis jämförelse måste därför, förutom licensavgifterna, även beakta granskning av databehandlingsavtal, dataskyddskonsekvensbedömning och löpande compliance-dokumentation.

Lösning	Pris	Modell	Moln / Lokalt	Databehandlingsavtal nödvändigt?
Siri / Google Röstinmatning	Gratis	—	Moln	Ja (knappast möjligt)
Dragon Anywhere	~25 €/månad (Prenumeration)	Prenumeration, 12 mån.	Moln (tyskt datacenter)	Ja
Philips SpeechLive	~15–25 €/månad	Prenumeration	Moln (EU)	Ja
Whisper (Self-Hosted)	Gratis (Open Source)	—	Lokalt	Nej
Diktly Basic	14,99 € engångsköp + moms	Engångsköp	100 % lokalt	Nej
Diktly Pro	49,99 € engångsköp + moms	Engångsköp	100 % lokalt	Nej

För molnlösningar tillkommer compliance-kostnader: Den initiala granskningen av ett databehandlingsavtal av en dataskyddsombud kostar beroende på komplexitet 500–2 000 €. En dataskyddskonsekvensbedömning ligger på 1 000–5 000 €. Dessa kostnader uppstår per leverantör och vid varje leverantörsbyte på nytt. För större advokatbyråer med flera yrkesutövare multipliceras licenskostnaderna per användare, medan compliance-kostnaderna endast uppstår en gång — vid små enheter överväger däremot compliance-overhead avsevärt.

För soloföretagare och små advokatbyråer blir kalkylen särskilt tydlig: En molnprenumeration summerar över två år till 600 € eller mer — plus compliance-arbete. Räknar man in den engångsgranskningen av databehandlingsavtal (från 500 €) och en DPIA (från 1 000 €), ligger de totala kostnaderna för GDPR-kompatibel drift av en molndikteringslösning snabbt på över 2 000 € de första två åren. En lokal lösning som Diktly kostar engångsvis 14,99 € och kräver ingen löpande dataskyddshantering. Även de förmodligen “gratis” konsumentverktygen som Siri eller Google Röstinmatning har ett pris: Du betalar med dina data, och för yrkeshemlighetsinnehavare tillkommer i nödfall priset av en strafrättslig process.

Vanliga frågor om dikteringsprogramvara och GDPR

Är dikteringsprogramvara GDPR-kompatibel?

Det beror på arkitekturen. Molnbaserad dikteringsprogramvara överför röstdata till externa servrar och kräver ett databehandlingsavtal enligt artikel 28 GDPR. Lokalt installerad programvara som Diktly bearbetar allt på datorn — ingen dataöverföring, inget databehandlingsavtal nödvändigt, GDPR-kompatibel by design.

Varför är molndikteringslösningar problematiska ur dataskyddssynpunkt?

Molntjänster överför ljuddata till externa servrar, ofta utanför EU. Röstinspelningar innehåller biometriska kännetecken och potentiellt konfidentiellt innehåll. Utan korrekt rättslig grund, databehandlingsavtal och dataskyddskonsekvensbedömning strider användningen mot GDPR.

Vad har §203 StGB att göra med dikteringsprogramvara?

§203 StGB skyddar personliga hemligheter för yrkeshemlighetsinnehavare som advokater, skatterådgivare och läkare. Den som överför klient- eller patientdata via molndikteringsprogramvara till tredjepartsservrar riskerar en kränkning av tystnadsplikten — straffbar med upp till ett års fängelse.

Behöver jag ett databehandlingsavtal för dikteringsprogramvara?

Endast om programvaran överför data till externa servrar. För molnbaserade lösningar är ett databehandlingsavtal enligt artikel 28 GDPR obligatoriskt. För rent lokal programvara entfaller denna skyldighet, eftersom ingen uppdragsbehandling äger rum.

Vilken dikteringsprogramvara fungerar helt offline?

Diktly bearbetar röst fullständigt lokalt på datorn och behöver inget internet. Även den klassiska Dragon-desktop-versionen arbetar lokalt. De flesta moderna alternativ som Siri, Google Röstinmatning eller Dragon Anywhere använder däremot molnservrar.

Är röstdata biometriska data enligt GDPR?

Röstinspelningar kan vara biometriska data i enlighet med artikel 4 nr 14 GDPR om de bearbetas för att entydigt identifiera en person. I detta fall gäller det strikta bearbetningsförbudet enligt artikel 9 GDPR med dess begränsade undantag.

Vad kostar GDPR-kompatibel dikteringsprogramvara?

Prisspannet är stort. Diktly Basic kostar engångsvis 14,99 € plus moms. Molnlösningar som Dragon Anywhere kostar ofta 20–30 € månadsvis i prenumeration. Därtill tillkommer för molnlösningar dolda kostnader för hantering av databehandlingsavtal, dataskyddskonsekvensbedömning och compliance-dokumentation.

Slutsats: Lokal bearbetning är den säkraste vägen till GDPR-kompatibilitet

Frågan är inte om molndikteringsprogramvara kan drivas GDPR-kompatibelt. Med tillräcklig ansträngning — databehandlingsavtal, DPIA, tredjelandsprövning, §203-säkerställande — är det teoretiskt möjligt. Frågan är om denna ansträngning lönar sig när det finns en enklare lösning.

Lokal röstigenkänning eliminerar problemet vid roten. När inga data lämnar datorn finns det ingen uppdragsbehandlare, ingen överföring till tredjeland och ingen kränkning av tystnadsplikten. Compliance är inte mödosam — den är arkitektoniskt given. Tack vare open source-modeller som Whisper är igenkänningskvaliteten för lokala lösningar idag på samma nivå som kommersiella molntjänster — den ofta nämnda kvalitetsförmånen hos molnet är inte längre ett argument.

Om du som advokat, skatterådgivare eller läkare använder dikteringsprogramvara, kontrollera idag: Var hamnar dina röstdata? Om svaret är “i molnet” är det dags för ett byte. Diktly bearbetar allt lokalt, kostar engångsvis från 14,99 € och kräver inte en enda compliance-process. För det bästa dataskyddet är det när det inte finns något att skydda — eftersom datan aldrig lämnar din dator.