Är HeyGen GDPR-säkert? Det du behöver veta 2026

HeyGen är ett amerikanskt bolag med huvudkontor i Los Angeles. Enligt deras egen säkerhetssida och integritetspolicy körs tjänsten på AWS i USA. Det är den viktigaste punkten om du ska bedöma verktyget utifrån GDPR.

Tre snabba svar

• Data lagras i USA. Inget publikt EU-lagringsalternativ finns för vanliga planer.
• Bolaget är amerikanskt. Det innebär en tredjelandsöverföring och potentiell CLOUD Act-påverkan.
• SOC 2 Type II-certifierat finns, men certifieringen säger inget om var datan fysiskt lagras.

När är HeyGen okej att använda?

För marknadsföringsmaterial där du skapar avatarer och röster utan att lämna ifrån dig personuppgifter är risken liten. Du bör fortfarande läsa villkoren, men grundproblemet med tredjelandsöverföring minskar om det inte finns personuppgifter i kedjan.

När bör du tänka längre?

• Du laddar upp bilder eller filmer på anställda, kunder eller patienter.
• Du hanterar känsliga personuppgifter eller information som kan kopplas till enskilda personer.
• Du arbetar åt en myndighet eller offentlig aktör med särskilda krav på datalagring.

I de fallen bör du antingen teckna kompletterande avtal (SCC/DPF och eventuell dataresidency) eller överväga ett alternativ med lagring inom EU/EES.

Så använder du HeyGen tryggare

1. Ladda inte upp mer än nödvändigt. Använd generiska avatarer i stället för riktiga personer.
2. Läs DPA:n. Se till att du har ett personuppgiftsbiträdesavtal om du matar in personuppgifter.
3. Gör en riskbedömning. Dokumentera varför överföringen till USA är försvarlig i just ditt fall.
4. Överväg europeiska alternativ om GDPR-läget är avgörande.

Alternativ att jämföra

• Synthesia – större företagsfokus, uppger drift inom EU på Enterprise-planer.
• D-ID – israeliskt bolag, granska datalagring och DPA noggrant.

Sammanfattning

HeyGen är smidigt och prisvärt för avatarvideo och dubbning, men inte självklart GDPR-säkert för personuppgifter. Är materialet ren marknadsföring utan riktiga personer i bild är risken liten; hamnar ansikten eller röster från kunder och kollegor i kedjan är det dags för en egen riskbedömning – eller ett verktyg med lagring inom EU.