Du må gerne bruge AI-værktøjer til tekster med kunders eller kollegers personoplysninger, men først når GDPR-kravene er på plads. Her får du reglerne, et færdigt eksempel fra en lille virksomhed og en tjekliste, I kan tage i brug.
GDPR gælder uændret, når et AI-værktøj behandler personoplysninger. Virksomheden skal have et behandlingsgrundlag og en databehandleraftale, der forhindrer leverandøren i at bruge oplysningerne til egne formål, og kunderne skal have besked. Vurdér også, om der skal laves en konsekvensanalyse.
AI-forordningens gennemsigtighedskrav gælder fra 2. august 2026, mens højrisikokravene er udskudt til 2. december 2027 og 2. august 2028. Næste skridt: Gå jeres mest brugte AI-værktøj igennem med tjeklisten nedenfor.
To regelsæt, der gælder samtidig
GDPR handler om personoplysningerne, og AI-forordningen handler om selve AI-systemet. Bruger en virksomhed et AI-værktøj til at skrive svar på kundemails, er det GDPR, der afgør, om mailen må sættes ind i værktøjet. AI-forordningen afgør bl.a., hvornår nogen skal have at vide, at de har med AI at gøre.
- GDPR gælder, så snart der behandles oplysninger om en person, der kan identificeres, fx navn, mailadresse, ordrenummer eller en beskrivelse af en kundes problem. Reglerne er de samme, uanset om et menneske eller et AI-værktøj læser teksten. EU-Kommissionen foreslog i november 2025 ændringer af GDPR som en del af den såkaldte digitale omnibus, men forslaget er ikke vedtaget.
- AI-forordningen regulerer AI-systemer efter risiko. En virksomhed, der bruger et AI-værktøj, kaldes idriftsætter. For et almindeligt skriveværktøj er de vigtigste regler, at I skal støtte medarbejdernes AI-færdigheder (artikel 4), og gennemsigtighedskravene i artikel 50, hvis I fx bruger en chatbot over for kunder.
Det skal være på plads, før I indsætter persondata
Et AI-værktøj må gerne bruges med personoplysninger, når fire ting er afklaret. Mangler én af dem, så fjern navne og andre oplysninger, der kan føre tilbage til personen, eller lad være med at bruge værktøjet til opgaven.
- Et behandlingsgrundlag. Artikel 6 kræver et grundlag for hvert formål. Et svar på en kundes ordre eller reklamation vil ofte være nødvendigt for at opfylde aftalen (stk. 1, litra b). Andre henvendelser kan besvares ud fra en legitim interesse (litra f), hvis I har vejet jeres interesse op mod personens og skrevet vurderingen ned.
- En databehandleraftale. Behandler leverandøren oplysningerne på jeres vegne, skal der være en skriftlig aftale med de punkter, artikel 28, stk. 3, kræver. Leverandøren må kun bruge oplysningerne efter jeres instruks, skal holde dem fortrolige og sikre dem, må kun bruge underleverandører med jeres godkendelse og skal slette eller tilbagelevere data, når samarbejdet slutter.
- Ingen brug til leverandørens egne formål. Bruger leverandøren jeres tekster til at træne sine egne modeller, fastlægger den selv formålet, og den behandling sker ikke længere på jeres vegne (jf. artikel 28, stk. 10). Så skal I have et selvstændigt grundlag for at give oplysningerne videre. Det enkleste er en aftale, hvor træning på jeres data er udelukket. Tjek også, om data sendes til lande uden for EU/EØS; det kræver et overførselsgrundlag efter forordningens kapitel V.
- Kun de nødvendige oplysninger. Artikel 5 kræver dataminimering. Sæt ikke CPR-numre, helbredsoplysninger eller andre særlige kategorier (artikel 9) ind, medmindre I har et særskilt grundlag og en klar grund. Fjern de kolonner og passager, opgaven ikke kræver.
Kunderne skal også kunne læse om behandlingen. Artikel 13 kræver bl.a., at I oplyser formål, retsgrundlag, modtagere eller kategorier af modtagere, fx en leverandør af et AI-værktøj, og eventuelle overførsler uden for EU/EØS. Lad desuden en medarbejder læse output, før det sendes eller bruges i en beslutning om en person. Efter artikel 22 har man ret til ikke at blive underlagt afgørelser, der alene er automatiske og har retsvirkning eller på tilsvarende vis påvirker én betydeligt.
Eksempel: Et cykelværksted bruger AI til kundemails
Havkær Cykler ApS er et fiktivt værksted med webshop og 6 ansatte. Firmaet får omkring 350 kundemails om måneden om ordrer, reparationer og reklamationer og vil bruge et AI-skriveværktøj til at lave udkast til svar. En medarbejder læser, retter og sender hvert svar. Sådan gennemgår Havkær opgaven, før værktøjet tages i brug.
| Spørgsmål | Havkærs svar |
|---|---|
| Formål | Hurtigere og mere ensartede svar på kundehenvendelser. Værktøjet bruges ikke til at vurdere eller sortere kunder. |
| Behandlingsgrundlag | Ordrer, reparationer og reklamationer: nødvendigt for at opfylde aftalen, artikel 6, stk. 1, litra b. Spørgsmål fra andre: legitim interesse i at svare dem, der skriver, litra f. Afvejningen er skrevet ned: Afsenderen forventer et svar, kun mailens indhold bruges, og der laves ingen profiler. |
| Oplysninger | Navn, mailadresse, ordrenummer, adresse og beskrivelsen af fejlen. Nævner en kunde sit helbred, fx en operation, fjernes den passage, før teksten sættes ind. |
| Databehandleraftale | Leverandøren tilbyder en databehandleraftale til erhvervskunder. Havkær har tjekket instruks, fortrolighed, sikkerhed, underleverandører, hjælp til kundernes rettigheder, sletning og adgang til kontrol. Aftalen udelukker træning på Havkærs data, data behandles i EU, og udkast slettes efter 30 dage. |
| Konsekvensanalyse | Ja. Generativ AI er ny teknologi, og kundemails kan indeholde meget personlige oplysninger. Dermed kan to af de ni kriterier i EU’s retningslinjer være opfyldt, og Datatilsynets liste kræver en analyse ved ny teknologi sammen med mindst ét andet kriterium. Havkær bruger Datatilsynets skabelon for AI. Der er ingen behandling i stort omfang, ingen sårbare grupper og ingen automatiske afgørelser, så Havkær vurderer restrisikoen som lav og skal ikke høre Datatilsynet på forhånd. |
| Fortegnelse | Havkær har under 250 ansatte, men behandlingen sker dagligt og er ikke lejlighedsvis. Undtagelsen i artikel 30, stk. 5, gælder derfor ikke, og AI-værktøjet skrives ind i fortegnelsen over behandlingsaktiviteter. |
| Besked til kunderne | Privatlivspolitikken får afsnittet nedenfor, og autosvaret på kundemails får et link til den. |
| AI-forordningen | Havkær er idriftsætter. Kunderne skriver ikke direkte med en AI, og svarene offentliggøres ikke. Artikel 50 kræver derfor ingen AI-mærkning af de mails, en medarbejder har gennemgået. Medarbejderne får en kort instruktion i værktøjet, jf. artikel 4. |
Havkærs nye afsnit i privatlivspolitikken ser sådan ud. Tilpas firmanavn, grundlag, leverandørens behandlingssted og slettefrister til jeres egne forhold.
Når du skriver til os
Når du skriver til Havkær Cykler ApS, bruger vi oplysningerne i din henvendelse, typisk dit navn, din e-mailadresse, dit ordrenummer og det, du skriver, til at svare dig. Handler henvendelsen om en ordre, en reparation eller en reklamation, er grundlaget, at behandlingen er nødvendig for at opfylde vores aftale med dig (databeskyttelsesforordningens artikel 6, stk. 1, litra b). Andre henvendelser besvarer vi ud fra vores legitime interesse i at kunne svare dem, der kontakter os (artikel 6, stk. 1, litra f).
Vi bruger et AI-skriveværktøj til at lave udkast til vores svar. Leverandøren behandler oplysningerne som vores databehandler, kun efter vores instruks og ikke til at træne sine egne modeller. Oplysningerne behandles i EU. En medarbejder læser og godkender altid svaret, før det sendes, og værktøjet træffer ingen afgørelser om dig.
Udkast i værktøjet slettes efter 30 dage. Mailkorrespondancen gemmer vi i 12 måneder efter sidste kontakt. Du har ret til indsigt, berigtigelse, sletning, begrænsning og indsigelse og i visse tilfælde til dataportabilitet. Du kan klage til Datatilsynet på datatilsynet.dk.
Tjekliste: 10 punkter før I bruger AI med persondata
Brug listen, hver gang et nyt AI-værktøj skal bruges til opgaver med personoplysninger.
- Skriv ned, hvilket værktøj der bruges, af hvem og til hvilket formål, også de værktøjer, medarbejderne allerede bruger på eget initiativ.
- Vælg behandlingsgrundlag for hvert formål (artikel 6), og skriv en eventuel interesseafvejning ned.
- Indgå en databehandleraftale, der dækker punkterne i artikel 28, stk. 3, herunder sikkerheden efter artikel 32.
- Få bekræftet, at leverandøren ikke bruger jeres data til at træne egne modeller eller til andre egne formål.
- Find ud af, hvor data og underleverandører befinder sig. Sendes data uden for EU/EØS, skal der være et grundlag efter kapitel V.
- Fastlæg, hvad der aldrig må sættes ind: CPR-numre, helbredsoplysninger og andre særlige kategorier samt oplysninger, opgaven ikke kræver.
- Vurdér behovet for en konsekvensanalyse ud fra Datatilsynets liste og de ni kriterier. Kan to kriterier være opfyldt, så lav den, fx med Datatilsynets skabelon for AI.
- Opdatér fortegnelsen over behandlingsaktiviteter (artikel 30) og privatlivspolitikken (artikel 13–14).
- Lad en medarbejder læse og godkende output, før det sendes eller indgår i en beslutning om en person.
- Giv medarbejderne en kort instruktion i værktøjet og reglerne (AI-forordningens artikel 4), og skriv reglerne ind i jeres AI-politik.
Formuleringerne til medarbejderne kan I hente i skabelonen til en AI-politik. Værktøjer, kompetencer og arbejdsgange i øvrigt finder du i guiden til AI på arbejdspladsen.
AI-forordningens datoer efter ændringen i 2026
AI-forordningen blev ændret ved forordning (EU) 2026/1744, den digitale omnibus om AI. Europa-Parlamentet vedtog ændringen 16. juni og Rådet 29. juni 2026, og den trådte i kraft 27. juli 2026. Datoerne ser nu sådan ud:
| Dato | Hvad gælder |
|---|---|
| 2. feb. 2025 | Forbud mod bestemte former for AI, fx social bedømmelse og manipulerende teknikker (artikel 5), og reglen om AI-færdigheder (artikel 4). Siden 27. juli 2026 skal virksomheder træffe foranstaltninger, der støtter medarbejdernes AI-færdigheder, uden krav om et bestemt niveau. |
| 2. aug. 2025 | Regler for udbydere af AI-modeller til almen brug og EU’s styringsstruktur. Pligterne ligger hos modeludbyderne. |
| 2. aug. 2026 | Forordningens generelle anvendelsesdato, herunder gennemsigtighedskravene i artikel 50. |
| 2. dec. 2026 | Nye forbud mod AI, der laver intime billeder af identificerbare personer uden samtykke eller materiale med seksuelt misbrug af børn. Samme dato er fristen for maskinlæsbar mærkning af output fra generative systemer, der var på markedet før 2. august 2026. |
| 2. dec. 2027 | Højrisikokravene for systemerne i bilag III, fx AI til rekruttering og uddannelse. Oprindelig dato: 2. august 2026. |
| 2. aug. 2028 | Højrisikokravene for AI i produkter omfattet af bilag I, fx legetøj og elevatorer. Oprindelig dato: 2. august 2027. |
Udskydelsen ændrer ikke GDPR. Personoplysninger i et AI-værktøj er omfattet i dag, uanset hvornår højrisikokravene gælder. Risikokategorier, bøder og resten af forordningen gennemgås i guiden til EU AI Act.
Hvem fører tilsyn i Danmark?
Datatilsynet fører tilsyn med GDPR, også når personoplysninger behandles i AI-systemer. Efter lov nr. 467 af 14. maj 2025 fører Digitaliseringsstyrelsen, Datatilsynet og Domstolsstyrelsen tilsyn med AI-forordningens forbud, og Digitaliseringsstyrelsen er centralt kontaktpunkt. Loven fordeler ikke tilsynet med forordningens øvrige regler.
- Vejledning: På Datatilsynets side om kunstig intelligens finder du bl.a. vejledningen „Offentlige myndigheders brug af kunstig intelligens – Inden I går i gang“ fra oktober 2023 og en skabelon til konsekvensanalyse ved AI fra maj 2024, som både virksomheder og myndigheder kan bruge. Om analysen er påkrævet, kan du læse på siden om konsekvensanalyse.
- Regulatorisk sandkasse: Datatilsynet og Digitaliseringsstyrelsen driver en sandkasse, hvor virksomheder og myndigheder kan søge om gratis vejledning i GDPR og risikoklassificering efter AI-forordningen i konkrete AI-projekter. Tredje hold blev udvalgt i juli 2026.
- Tilsyn i 2026: Datatilsynet har bl.a. fokus på AI i sundhedssektoren og i plejen og på, om virksomheder og myndigheder overholder reglerne om gennemsigtighed og oplysningspligt.
Når du bruger AI privat
Bruger du et AI-værktøj til rent personlige formål, gælder GDPR som udgangspunkt ikke for din egen brug (artikel 2, stk. 2, litra c). Tjenesten selv skal stadig overholde reglerne. Sæt ikke andres følsomme oplysninger ind, og tjek i indstillingerne, om dine samtaler bruges til at træne modellen. Fra 2. august 2026 skal en chatbot som udgangspunkt fortælle dig, at du taler med en AI. Flere råd om daglig brug finder du i guiden til ChatGPT på dansk.
Skriv svaret på dansk
SkrivSikkert hjælper dig med at formulere, rette og forstå tekster på dansk, på webplatformen eller med Chrome-udvidelsen i browseren. Data behandles på danske servere, og mange funktioner er gratis uden login.
Prøv gratisOfte stillede spørgsmål
Er det lovligt at bruge ChatGPT på arbejdet i Danmark?
Ja. Til opgaver uden personoplysninger stiller GDPR ingen særlige krav. Skal du indsætte oplysninger om kunder, kolleger eller andre, skal virksomheden have et behandlingsgrundlag og en databehandleraftale med leverandøren, og oplysningerne må ikke bruges til leverandørens egne formål som modeltræning. Findes der ikke en sådan aftale for den version, du bruger, så fjern de oplysninger, der kan føre tilbage til personen, før du indsætter teksten. Følg også arbejdspladsens egne regler.
Er det brud på GDPR at dele et Excel-ark med kundedata med en AI?
Ikke automatisk, men det kræver det samme som al anden behandling: et behandlingsgrundlag, en databehandleraftale med leverandøren og kun de nødvendige oplysninger. Et helt kunderegister til en opgave, der kun kræver tal, strider mod kravet om dataminimering. Slet navne, mailadresser og de kolonner, opgaven ikke kræver, eller lav en samlet opgørelse først.
Skal vi lave en konsekvensanalyse, før vi bruger AI?
Kun hvis behandlingen sandsynligvis indebærer en høj risiko for de personer, oplysningerne handler om. Datatilsynets liste kræver en konsekvensanalyse, når ny teknologi bruges sammen med mindst ét andet kriterium fra EU’s retningslinjer, fx følsomme eller meget personlige oplysninger, behandling i stort omfang eller sårbare personer. Generativ AI til kundemails kan derfor udløse kravet. Datatilsynet har en skabelon til konsekvensanalyse ved AI.
Hvornår gælder AI-forordningen?
Forbuddene og reglen om AI-færdigheder gælder fra 2. februar 2025, reglerne for AI-modeller til almen brug fra 2. august 2025 og gennemsigtighedskravene fra 2. august 2026. Forordning (EU) 2026/1744 har udskudt højrisikokravene til 2. december 2027 for bilag III og 2. august 2028 for bilag I. Nye forbud mod AI til intime billeder uden samtykke og til materiale med seksuelt misbrug af børn gælder fra 2. december 2026.
Skal AI-genereret indhold mærkes?
Det afhænger af indholdet. Fra 2. august 2026 skal udbydere mærke output fra generative systemer i et maskinlæsbart format; systemer, der allerede var på markedet, har frist til 2. december 2026. Den, der bruger AI, skal oplyse om deepfakes og om AI-genereret tekst, der offentliggøres for at informere offentligheden om spørgsmål af offentlig interesse, medmindre et menneske har gennemgået teksten, og nogen har det redaktionelle ansvar. En almindelig kundemail er ikke en offentliggjort tekst af den slags.
Hvem fører tilsyn med AI i Danmark?
Datatilsynet fører tilsyn med GDPR, også når AI behandler personoplysninger. Tilsynet med AI-forordningens forbud er fordelt mellem Digitaliseringsstyrelsen, Datatilsynet og Domstolsstyrelsen efter lov nr. 467 af 14. maj 2025. Datatilsynet og Digitaliseringsstyrelsen driver desuden en regulatorisk sandkasse, hvor virksomheder og myndigheder kan søge om gratis vejledning.
