AI og GDPR
AI og GDPR i praksis
Ja, I må godt bruge AI, selvom I behandler personoplysninger. Om det er i orden, afgøres af tre ting: hvilken konto værktøjet kører på, hvad der bliver skrevet ind i det, og om et menneske stadig træffer afgørelserne. Her er, hvordan I sætter det op — ikke en gennemgang af lovteksten.
Praktisk erfaring fra opsætningen · ikke juridisk rådgivning · dette site sætter ingen cookies
Det korte svar
Spørgsmålet er sjældent om I må — men på hvilke vilkår
"Må vi overhovedet det for GDPR?" er den sætning, der stopper flest AI-projekter i danske virksomheder, og den er næsten altid stillet et led for tidligt. GDPR forbyder ikke AI. Reglerne handler om personoplysninger, og de skelner ikke mellem, om det er en model eller et regneark, der behandler dem. Det, der afgør sagen, er fire helt konkrete valg — og tre af dem træffer I selv, længe før nogen skal læse en paragraf.
I praksis ser vi den samme rækkefølge hver gang: virksomheden bruger allerede AI, den bruger den bare på den forkerte konto. Der er ingen beslutning at træffe om, hvorvidt man går i gang — det er sket. Der er en beslutning at træffe om, hvor det foregår.
Kontoen, ikke værktøjet
Det samme værktøj kan være både i orden og problematisk. Forskellen er, om det kører på en erhvervsplan med en databehandleraftale eller på en privat gratiskonto.
Prompten, ikke politikken
Et politik-dokument på tolv sider ændrer ingenting. Tre linjer om, hvad der må skrives ind i et AI-værktøj, gør — hvis de hænger et sted, folk ser dem.
Afgørelsen, ikke svaret
At AI svarer på noget, er ikke i sig selv en afgørelse. Det bliver det, når svaret har en konsekvens for personen — og så skal et menneske kunne gribe ind.
Fire led · I bestemmer selv over tre af dem
Sporet, ikke hukommelsen
Bliver I spurgt om et halvt år, skal svaret kunne slås op, ikke huskes. Derfor logger vi hvad der blev kørt hvornår — det er billigere end at rekonstruere.
Tjekliste
7 ting I skal have styr på, før AI rører kundedata
Det her er den liste, vi selv går igennem, når vi sætter en AI-løsning op hos en kunde. Den er skrevet som opgaver, ikke som paragraffer — hvert punkt er noget, en person i virksomheden kan gøre færdigt på under en time. Er punkterne på plads, er langt de fleste af de spørgsmål, en revisor eller en kunde stiller, allerede besvaret.
- 01
Beslut hvilke værktøjer der er godkendt
Skriv én side: hvilke AI-værktøjer må bruges til arbejde, og på hvilken konto. Uden listen bruger folk det, der er hurtigst at komme i gang med, og det er stort set altid gratisversionen på en privat login. Listen er ikke til for at forbyde noget — den er til for at gøre det lovlige valg til det nemme valg.
- 02
Sæt kontoen rigtigt op, og få aftalen på skrift
Virksomhedens egen konto, en erhvervsplan, og en databehandleraftale, I kan finde igen. Aftalen skal være indgået, før I begynder at sende personoplysninger — ikke hentet frem, når nogen spørger. Det er her de fleste fejl både starter og slutter.
- 03
Skriv ned, hvad der må stå i en prompt
Tre linjer, alle kan huske, slår et dokument, ingen læser. Vores forslag står i afsnittet om prompten længere nede — og den vigtigste af dem er, at man beskriver opgaven i stedet for at klistre personen ind.
- 04
Find ud af, hvor data fysisk ligger
Land, leverandør og grundlag for overførsel, hvis den går ud af EU. Det står i leverandørens vilkår og tager typisk tyve minutter at finde pr. værktøj. Skriv datoen ned, så I ved, hvornår I sidst kiggede.
- 05
Behold mennesket på afgørelser med konsekvens
Alt, hvad der kan gøre en forskel for en person — afslag, priser, prioritering af sager, opsigelser — skal have et menneske, der kan se det, ændre det og stå på mål for det. Det er både et krav og en god måde at opdage, når modellen tager fejl.
- 06
Skriv løsningen ind i jeres fortegnelse
GDPR kræver en fortegnelse over jeres behandlinger. Når et AI-flow går i drift, er det en ny behandling — også når det bare flytter data mellem to systemer, I havde i forvejen. Én linje er nok: hvad gør det, hvorfor, hvilke oplysninger, hvor længe gemmes de.
- 07
Fortæl folk, at de taler med en maskine
Skriv det i chatbottens første besked og i telefonsvaret. Det koster ingenting at gøre, det er den forpligtelse, AI-forordningen oftest lander på for mindre virksomheder, og det fjerner den klage, vi hører hyppigst: at man troede, man skrev med et menneske.
Databehandleraftale pr. værktøj
Den fejl, flest laver: gratisversionen med rigtige kundedata
De fire værktøjer, danske virksomheder bruger mest, har det samme mønster: databehandleraftalen hører til erhvervsplanerne. Den gratis eller private udgave af det samme produkt er ikke sat op til at behandle en virksomheds personoplysninger — og det er typisk den udgave, en medarbejder finder først, fordi den ikke kræver, at nogen godkender noget. Det er ikke ond vilje. Det er den korteste vej til at få arbejdet gjort.
- —
ChatGPT (OpenAI)
Databehandleraftale og erhvervsvilkår hører til holdplanerne og API-adgangen. Der bruges indholdet som udgangspunkt ikke til at træne modellen. Gratis- og privatplanen er ikke sat op til virksomhedens kundedata.
- —
Claude (Anthropic)
Samme mønster: det er erhvervs- og API-vilkårene, der kan bære en databehandleraftale. Forbrugerplanen er tænkt til den enkelte person, ikke til den virksomhed, personen arbejder i.
- —
Copilot (Microsoft)
Copilot inde i jeres Microsoft 365-abonnement er dækket af den databehandleraftale, I i forvejen har med Microsoft. Den gratis Copilot, man kan logge ind på med en privat konto, er ikke det samme produkt — og det er den, folk finder først.
- —
Gemini (Google)
Gemini inde i Google Workspace hører under jeres Workspace-aftale. Gemini-appen på en privat Google-konto gør ikke, uanset at det ligner det samme på skærmen.
Fælles for alle fire: det er kontoen og planen, der afgør det — ikke navnet på værktøjet. Og vilkårene bliver ændret løbende af leverandørerne. Derfor står der ingen datoer og ingen paragrafhenvisninger her: tjek det aktuelle på leverandørens egen side, før I beslutter, og notér hvornår I gjorde det. Har et værktøj slet ingen aftale at indgå, er svaret ikke at bruge det alligevel — det er at flytte opgaven derhen, hvor aftalen findes.
Hvad må stå i en prompt
Reglen, medarbejderne faktisk kan huske i en travl formiddag
Det, der bliver skrevet ind i feltet, er den behandling, der rent faktisk finder sted. Alt andet er hensigter. Her er tre kategorier, vi bruger, når vi holder workshop for et team — de er skåret, så en person kan afgøre på fem sekunder, hvilken bunke en opgave hører til.
Går fri
Generel tekst uden personer: produktbeskrivelser, et udkast til et opslag, en forklaring på noget teknisk, kode uden data i. Der er ingen personoplysning i spil, og så er spørgsmålet slet ikke GDPR. Det er langt hovedparten af det, folk bruger AI til.
Kræver at kontoen er i orden
Kundenavne, mailadresser, telefonnumre, ordrehistorik, en klagemail I vil have hjælp til at besvare. Det er personoplysninger. Det må godt — på en erhvervskonto med aftale, og kun til det formål, I har skrevet ned.
Hold det ude, indtil nogen har taget stilling
CPR-numre, helbredsoplysninger, sygefravær, personalesager, oplysninger om fagforening eller strafbare forhold. Følsomme og fortrolige oplysninger kræver et grundlag, der er besluttet på forhånd — ikke midt i en opgave, der haster.
Den ene regel, der løser de fleste sager: beskriv opgaven, ikke personen
"Skriv et venligt svar på en klage over en forsinket levering, hvor kunden har ventet i ti dage" giver et lige så brugbart udkast som at indsætte hele mailtråden med navn, adresse og ordrenummer. Forskellen er, at i det første tilfælde er der ingen personoplysninger sendt nogen steder hen, og så er hele diskussionen væk. Medarbejderen sætter selv navnet ind bagefter — det tager fem sekunder.
Den samme tankegang gælder, når vi bygger: vi spørger altid først, om opgaven overhovedet kræver personoplysninger for at kunne løses. Overraskende ofte gør den ikke, og så bortfalder både aftalen, dokumentationen og risikoen af sig selv.
Det er sjældent modellen, der er problemet. Det er kontoen, den kører på.
Automatiske afgørelser
Hvornår en AI-agent træffer en afgørelse
GDPR's artikel 22 giver folk ret til ikke at være underlagt en afgørelse, der udelukkende bygger på automatisk behandling, når den har retsvirkning eller påvirker dem væsentligt på tilsvarende måde. Det er den regel, der bliver overset oftest, når en chatbot eller en telefonrobot får lov til at gøre mere end at svare.
Grænsen går ikke ved, hvor avanceret systemet er. Den går ved, hvad svaret gør ved personen. Det er en behagelig grænse at arbejde med, fordi den kan afgøres, mens man tegner flowet — længe før noget er bygget.
Sådan bygger vi den grænse ind i praksis på siderne om AI-chatbot og AI-automatisering. Princippet er det samme begge steder: AI foreslår, mennesket afgør.
- 01
Svar er ikke afgørelser
En chatbot, der oplyser priser, åbningstider og leveringstid eller booker en ledig tid, træffer ingen afgørelse. Den slår op og gengiver. Der er ingen artikel 22 i det, og det er den type opgave, langt de fleste starter med.
- 02
Afgørelser skal have en ejer
Skal systemet afvise en ansøgning, opsige en aftale, sætte prisen efter personen eller prioritere, hvis sag der behandles først, så læg et menneske ind, før beslutningen bliver til virkelighed — og gør det synligt i flowet, hvem det menneske er.
- 03
Der skal være en vej udenom
Personen skal kunne bede om en menneskelig gennemgang og gøre indsigelse. Det er billigst at bygge ind fra start: én linje i svaret og en modtager, der rent faktisk findes og læser med.
Hvor data ligger
EU eller USA — og hvorfor det stadig betyder noget
Personoplysninger må gerne sendes ud af EU, men det kræver et grundlag. I praksis er det leverandøren, der leverer grundlaget: typisk EU-Kommissionens standardkontraktbestemmelser eller en certificering under aftalen mellem EU og USA. Jeres opgave er ikke at vurdere gyldigheden af den aftale — det er at vide, hvilket grundlag jeres leverandør bruger, og hvor det står skrevet.
Grunden til, at vi alligevel anbefaler EU, når det ikke koster noget særligt: rammerne for overførsel til USA er blevet ændret flere gange inden for få år. Hver gang skal alle, der har bygget oven på den gamle ramme, gennemgå deres dokumentation igen. Ligger behandlingen i EU, er den øvelse ikke jeres. Det er ikke en juridisk vurdering — det er en driftsbetragtning: vi vælger den opsætning, der kræver mindst vedligehold, når verden skifter.
- 01
Modellen og resten af løsningen er to forskellige spørgsmål
Selv når selve sprogmodellen kører hos en amerikansk leverandør, kan alt det omkringliggende — flows, databaser, filer, logs — ligge i EU. Det er ofte dér, hovedparten af personoplysningerne rent faktisk befinder sig, og det er den del, I selv bestemmer over.
- 02
Vi kører selv på egen server i EU
Automatiseringerne bag AI Funktion kører på selvhostet n8n på vores egen server i EU — ikke på en konto hos en platform, vi ikke selv kan komme ind i. Det er både en GDPR-beslutning og en driftsbeslutning: vi vil kunne se logfilerne selv.
- 03
Åbne modeller er blevet et reelt valg
Til mange opgaver — klassificering, sortering, udtræk af felter fra et dokument — er en model, der kan køre i EU eller lokalt, god nok. Den er sjældent den bedste model på markedet, men den er ofte den bedste model til opgaven, når dokumentationen tælles med.
AI-forordningen
Hvad AI Act lægger oven på GDPR
De to regelsæt bliver ofte blandet sammen, og det gør det svært at finde ud af, hvad man skal gøre. Den korte adskillelse: GDPR handler om personoplysninger. AI-forordningen handler om systemet og den risiko, det udgør — også når der slet ikke er personoplysninger i det. Det ene erstatter ikke det andet, og man kan godt overholde det ene og overtræde det andet.
Forordningen sorterer anvendelser efter risiko: nogle er forbudte, nogle er højrisiko med tunge krav, og resten har lettere krav eller ingen. Langt de fleste anvendelser i en mindre dansk virksomhed ligger i den nederste del — en chatbot på hjemmesiden, et flow der flytter data mellem systemer, et udkast til en tekst.
Reglerne fases ind over flere år, og der er stadig praktisk vejledning på vej. Derfor står der ingen datoer her: tjek den aktuelle status, før I lægger en plan efter dem, og lad være med at udskyde arbejdet på punkt 1–7 ovenfor imens. De punkter er rigtige uanset hvad.
- 01
Sig at det er en AI
Den forpligtelse, der oftest rammer en almindelig virksomhed, er gennemsigtighed: folk skal kunne se, at de taler med en maskine, og ikke tro at der sidder et menneske. Det klares med én sætning i det første svar.
- 02
Bemand det, der har konsekvenser
Bruges AI til noget, der rører ansættelse, adgang til ydelser, kreditvurdering eller lignende, er I i en tungere kategori. Så er det en samtale med en advokat, før noget bygges — ikke bagefter.
- 03
Sørg for at nogen kan bruge værktøjet
Forordningen lægger vægt på, at de mennesker, der arbejder med systemet, forstår hvad det kan og ikke kan. En kort intern oplæring er både det billigste og det mest konkrete, I kan gøre — og den forbedrer som regel også resultaterne.
Hvad vi er, og hvad vi ikke er
Det her er praktisk erfaring — ikke juridisk rådgivning
Vi er udviklere, ikke advokater. Alt på denne side er hentet fra opsætningsarbejdet: hvordan konti, adgange, logning og godkendelser skrues sammen, så dokumentationen findes, den dag nogen spørger. Selve den juridiske vurdering — om jeres konkrete behandling har det rigtige grundlag, om en afgørelse falder under artikel 22, om en konsekvensanalyse er nødvendig — hører hos jeres databeskyttelsesansvarlige eller en advokat. Vi siger til, når vi mener, et spørgsmål er af den slags, og vi bygger ikke videre, før svaret er der.
Ting du selv kan tjekke
- 01
Denne side sætter ingen cookies
Der er intet cookiebanner på aifunktion.dk, fordi der ikke er noget at samtykke til: ingen sporing, ingen tredjepartsscripts, ingen profilering af dig, fordi du læste om GDPR. Åbn browserens udviklerværktøjer og se efter — det tager ti sekunder. Det er netop den slags bevis, vi mener man skal bede om, i stedet for at læse en påstand om det.
- 02
Vi laver databehandleraftale på det, vi drifter
Kører vi et flow, der rører jeres personoplysninger, er der en aftale på det, adgange gives pr. rolle, og handlinger logges, så I kan dokumentere, hvem der gjorde hvad. Det er en del af leverancen, ikke et tillæg.
- 03
Vi siger nej til opgaver, vi ikke synes er i orden
Vi kan ikke love, at ethvert AI-værktøj på markedet er lovligt til enhver opgave. Men vi siger til, når vi mener, et ikke er — også når det koster os en opgave. Det er billigere for begge parter end at bygge noget, der skal rives ned igen.
Skal nogen hjælpe jer med at få punkterne på plads, er det den type arbejde en AI-konsulent laver: kortlægning af hvilke værktøjer der bruges i dag, hvilke konti de kører på, og hvad der skal flyttes. Timeprisen er 600–1.100 kr. ekskl. moms, og en gennemgang af den slags er som regel få timer. Skal hele teamet med, er en workshop ofte billigere — 4.995 kr. pr. virksomhed eller 995 kr. pr. person, ekskl. moms. Er I helt nye med AI, starter guiden AI i din virksomhed et trin før dette.
Spørgsmål og svar
Det, de fleste spørger om først
Må vi bruge ChatGPT, når vi behandler personoplysninger?
Som udgangspunkt ja — men ikke på en privat gratiskonto. Forskellen ligger i kontotypen, ikke i værktøjet. Erhvervsplanerne og API-adgangen er sat op til erhvervsbrug med en databehandleraftale, og indholdet bruges som udgangspunkt ikke til at træne modellen. Gratis- og privatplanerne er ikke sat op til det. Den fejl, vi ser oftest, er derfor ikke ond vilje: en medarbejder logger ind med sin private konto, fordi den er hurtigst, og så ryger kundedata et sted hen, virksomheden ikke har en aftale om. Tjek vilkårene hos leverandøren, før I beslutter — de bliver ændret løbende.
Skal vi have en databehandleraftale med AI-leverandøren?
Ja, hvis leverandøren behandler personoplysninger på jeres vegne — og det gør et AI-værktøj i det øjeblik, en medarbejder skriver et kundenavn ind i det. Aftalen skal være på plads, før behandlingen starter, ikke bagefter. I praksis betyder det, at I skal vide, hvilken plan hvert værktøj kører på, for de store udbydere tilbyder typisk kun aftalen på erhvervsplanerne. Bruger I et værktøj, hvor der ikke findes en aftale at indgå, er svaret ikke at gøre det alligevel — det er at flytte opgaven over på et værktøj, hvor den findes.
Må vi skrive kundedata ind i en AI-chatbot?
Det afhænger af, hvad chatbotten er koblet på, og hvor svaret ender. En chatbot, der kun svarer ud fra jeres eget offentlige materiale — priser, åbningstider, leveringsbetingelser — rører sjældent personoplysninger overhovedet. Skal den slå op i en ordre eller en sag, er det en anden opgave: så skal adgangen være rollestyret, kaldet logget, og der skal være en aftale på plads med den leverandør, der kører modellen. Vi bygger som regel den simple version først, netop fordi den ikke rejser spørgsmålet — og den løser i praksis de fleste henvendelser.
Hvornår kræver en AI-afgørelse, at et menneske er inde over?
GDPR's artikel 22 handler om afgørelser, der udelukkende træffes automatisk, og som har retsvirkning eller på tilsvarende vis påvirker personen væsentligt. Et afslag, en opsigelse eller en kreditvurdering hører til der. En chatbot, der oplyser åbningstider eller booker en tid, gør ikke. Tommelfingerreglen, vi bygger efter, er enkel: har svaret en konsekvens for personen, skal et menneske kunne se det, ændre det og stå på mål for det — og det skal fremgå af selve flowet, hvem det menneske er. Er I i tvivl om, hvilken side af grænsen en konkret afgørelse ligger på, er det et spørgsmål til en advokat, ikke til os.
Skal vores data blive i EU?
Ikke nødvendigvis, men I skal vide, hvor de ligger, og have et grundlag for det. Overførsel til USA kan ske lovligt, når leverandøren har det på plads — typisk gennem EU-Kommissionens standardkontraktbestemmelser eller en certificering under aftalen mellem EU og USA. Det er leverandørens vilkår, der afgør det, og de kan ændre sig. Skal I undgå diskussionen helt, findes der i dag modeller, der kan køre på servere i EU eller på jeres egen. Det koster typisk lidt mere at sætte op, og til gengæld bliver dokumentationen kortere og holder længere.
Hvad ændrer AI-forordningen i forhold til GDPR?
De to sæt regler ligger oven på hinanden og handler om hver sit. GDPR handler om personoplysninger. AI-forordningen handler om selve systemet og den risiko, det udgør, uanset om der er personoplysninger i det. Forordningen inddeler anvendelser efter risiko, og langt de fleste anvendelser i en mindre virksomhed — en chatbot, et flow der flytter data, et udkast til en tekst — ligger i den lave ende. Den praktiske forpligtelse dér er gennemsigtighed: folk skal kunne se, at de taler med en maskine. Reglerne fases ind over flere år, så tjek den aktuelle status, før I lægger en plan efter dem.
Er det her juridisk rådgivning?
Nej. Vi er udviklere, ikke advokater, og alt på denne side er praktisk erfaring fra opsætningen: hvordan konti, adgange, logning og godkendelser skrues sammen, så dokumentationen findes, den dag nogen spørger. Selve den juridiske vurdering hører hos jeres databeskyttelsesansvarlige eller en advokat, og den anbefaler vi at hente, når der er tvivl. Vi siger til, når vi mener, et spørgsmål er af den slags — det er billigere end at bygge først og spørge bagefter.
Kontakt
Er I i tvivl om én konkret opgave?
Beskriv den kort — hvilket værktøj, hvilke oplysninger, og hvad der skal ske med svaret. Så siger vi, hvordan vi selv ville sætte det op, og hvornår vi mener, I bør have en advokat til at kigge med, før noget bygges.
- E-mailkontakt@aifunktion.dk
- Book direktecal.com/digitalfunctions
- SvartidSamme hverdag
- CookiesIngen — dette site sporer dig ikke