AI og GDPR: hvad må virksomheder?

Det korte svar

Ja, virksomheder må godt bruge AI til opgaver med personoplysninger. Men de samme regler gælder som for alle andre IT-systemer: I skal have et lovligt grundlag, en databehandleraftale med leverandøren, styr på hvor data sendes hen, og I skal kunne forklare det til dem, data handler om.

Det er den virksomhed, der bruger AI-værktøjet, der er ansvarlig. Ikke leverandøren.

Denne guide er en generel gennemgang, ikke juridisk rådgivning. Er I i tvivl om en konkret sag, så tal med jeres jurist eller DPO.

Gratis værktøjer og firmaversioner er ikke det samme

Det vigtigste skel er mellem gratis forbrugerversioner og firmaversioner af AI-værktøjerne:

• Forbrugerversioner kan bruge det, I skriver, til at træne modellerne, medmindre det er slået fra, og der er typisk ingen databehandleraftale.
• Firmaversioner og API'er (fx ChatGPT til virksomheder, Microsoft 365 Copilot eller Claude til virksomheder) bruger som udgangspunkt ikke jeres data til træning og tilbyder en databehandleraftale.

Den enkleste regel for medarbejderne: personoplysninger og fortrolige data må kun bruges i de værktøjer, virksomheden har godkendt.

De fem ting, I skal have styr på

1. Et lovligt grundlag. Ligesom med andre systemer skal der være et grundlag for at behandle oplysningerne, fx en kontrakt eller en legitim interesse. Det ændrer sig ikke, fordi der er AI involveret.

2. En databehandleraftale. Når en leverandør behandler personoplysninger for jer, skal der være en databehandleraftale. De store AI-leverandører har standardaftaler til firmakunder.

3. Styr på, hvor data sendes hen. Mange AI-tjenester kører på servere uden for EU. Overførsel til USA er lovlig, når leverandøren er certificeret under EU-U.S. Data Privacy Framework eller bruger EU's standardkontrakter. Flere leverandører tilbyder også at holde data i EU.

4. Dataminimering. Send kun de oplysninger, opgaven kræver. Skal AI'en sortere en ordre, behøver den ikke kundens CPR-nummer.

5. Gennemsigtighed. Fortæl i jeres privatlivspolitik, at I bruger AI-tjenester, og til hvad.

Automatiske afgørelser

GDPR giver personer ret til ikke at være underlagt afgørelser, der alene er truffet automatisk, hvis de har betydning for dem, fx afslag på en ansøgning. Derfor er det en god regel, at en person godkender, når AI vurderer noget, der har betydning for en kunde, en medarbejder eller en ansøger.

Det er også derfor, vi altid bygger et kontrolpunkt ind i de løsninger, vi laver: AI'en forbereder, en medarbejder godkender.

Konsekvensanalyse

Behandler I mange personoplysninger med AI, eller handler det om følsomme oplysninger, kan det kræve en konsekvensanalyse (DPIA), før I går i gang. Datatilsynet har vejledning om, hvornår det er nødvendigt.

Og AI-forordningen?

EU's AI-forordning kommer oveni GDPR. For de fleste virksomheder, der bruger AI til almindelige kontoropgaver, er de vigtigste krav, at medarbejderne har tilstrækkelige AI-kompetencer (gældende siden februar 2025), og at man er åben om, når kunder taler med en AI, eller når indhold er lavet af AI. Skærpede krav gælder for AI, der bruges til fx rekruttering, kreditvurdering og andre højrisikoområder.

Sådan kommer I trygt i gang

1. Vælg de AI-værktøjer, virksomheden godkender, og få databehandleraftaler på plads.
2. Lav en kort regel for medarbejderne om, hvad de må indtaste.
3. Opdater privatlivspolitikken.
4. Byg et menneskeligt kontrolpunkt ind, hvor AI vurderer noget om personer.

Når vi bygger AI-automatisering, aftaler vi fra start, hvilke data der må bruges hvor, og I får dokumentation for, hvor data sendes hen.