Artikler · Krav og AI-forordningen · 10 min. læsning

AI i det offentlige og i det private: Hvad er ens, og hvad er anderledes?

Den samme AI-assistent kan være et uskyldigt værktøj i en virksomhed og et problem i en kommune. Gælder der andre regler for det offentlige end for det private? Artiklen ser på, hvad der er ens, og hvad der er anderledes for sikkerhed, udvikling, integrationer og AI-apps.

Af Martin Egesø · Udgivet 12. oktober 2026

Kort svar

Kernen er den samme: persondata, sikkerhed, ansvar og kravet om at vide, hvad man bruger AI til, gælder begge steder. Det offentlige har flere lag ovenpå, fx forvaltningsloven, tavshedspligt og, for visse højrisiko-systemer, en konsekvensanalyse for grundlæggende rettigheder. Tre spørgsmål hjælper begge steder: Hvem er ansvarlig, hvad må data bruges til, og hvad skal kunne dokumenteres over for andre?

I artiklen 12 afsnit

Hvad er ens for det offentlige og det private?
Hvad er anderledes i det offentlige?
Hvilke sikkerhedskrav gælder?
Hvad med AI til udvikling?
Hvad med AI-integrationer?
Hvad med AI-apps som ChatGPT?
Tre spørgsmål før I siger ja
Hvad hvis I sælger AI til det offentlige?
Hvad sker der, hvis I ikke gør noget?
Hvad kan I gøre nu?
Ofte stillede spørgsmål
Kilder

Det vigtigste

AI-færdigheder, forbudte former for AI, gennemsigtighed og GDPR gælder både i det offentlige og i det private.
Det offentlige har flere lag: forvaltningsret, tavshedspligt og ledelsesansvar. Digitaliseringsstyrelsens guide anbefaler, at personoplysninger og fortrolige oplysninger ikke indtastes i frie AI-apps.
NIS 2-loven omfatter blandt andet kommuner og statslige forvaltningsenheder. For private afhænger det af sektor og størrelse.
Højrisikokravene i bilag III gælder fra 2. december 2027, og en konsekvensanalyse (artikel 27) er især for myndigheder og dem, der leverer offentlige tjenester.
Tre spørgsmål før I siger ja: Hvem er ansvarlig, hvad må data bruges til, og hvad skal kunne dokumenteres? Det er min anbefaling og ikke et lovkrav.

Artiklen er generel vejledning og ikke juridisk rådgivning. Jeg er rådgiver og udvikler, ikke jurist. Er du i tvivl om, hvad der gælder for din organisation, så spørg en jurist eller myndigheden.

Hvad er ens for det offentlige og det private?

Kernen er den samme. Persondata, sikkerhed, ansvar og kravet om at vide, hvad man bruger AI til, gælder begge steder. Forskellen er især, hvor mange lag der ligger ovenpå.

Figur: Bunden (rød) er det, der gælder begge steder. Det offentlige har flere lag ovenpå, fx forvaltningsret, tavshedspligt og, for visse højrisiko-systemer, konsekvensanalysen i artikel 27. Skemaet er en forenklet illustration, ikke en juridisk model.

Område	Hvad gælder begge steder?
AI-færdigheder (AI-forordningens artikel 4)	Virksomheder og myndigheder skal træffe foranstaltninger, der støtter medarbejdernes AI-færdigheder. Se artikel 4.
Forbudte former for AI (artikel 5)	Forbuddene gælder alle og har gjort det siden 2. februar 2025.
Gennemsigtighed (artikel 50)	Gælder fra 2. august 2026, fx ved chatbots og AI-genereret indhold. Se tidslinjen.
Persondata (GDPR)	Gælder uafhængigt af AI-forordningen, både i det offentlige og i det private. Se ChatGPT og GDPR.

Hvad der gælder for jer, afhænger af, hvad I bruger AI til, og hvilken rolle I har. Størrelsen alene afgør ikke alt. Det samme gælder, om I er offentlig eller privat.

Hvad er anderledes i det offentlige?

Det offentlige har flere lag ovenpå kernen. Digitaliseringsstyrelsen har i en guide fra januar 2024 beskrevet rammerne for myndigheder. Guiden er en anbefaling og ikke en lov, men den viser, hvor opmærksomheden bør ligge.

Område	Hvad der gør det offentlige anderledes
Ledelsesansvar	Guiden siger, at det er et ledelsesmæssigt ansvar at sikre, at generativ AI anvendes ansvarligt.
Tavshedspligt	Offentligt ansatte har tavshedspligt. Guiden anbefaler, at fortrolige oplysninger kun indtastes i generative AI-værktøjer, hvis brugen er risikovurderet.
Åbenhed	Borgere og virksomheder skal ifølge forvaltningsloven kunne få oplyst, hvad der ligger til grund for en afgørelse. Guiden skriver, at det bør overvejes grundigt, hvis AI-svar bruges som grundlag for afgørelser.
Automatiske afgørelser	Som hovedregel er der ret til ikke at blive underlagt en afgørelse, der alene bygger på automatisk behandling. Tjek de nærmere regler i GDPR og i lovgivningen på området.
Konsekvensanalyse	AI-forordningens artikel 27: Myndigheder og private, der leverer offentlige tjenester, skal som udgangspunkt lave en konsekvensanalyse for grundlæggende rettigheder, før de tager visse højrisiko-systemer i brug.

Højrisikokravene for systemer i bilag III gælder fra 2. december 2027 efter omnibus-ændringen. Det betyder, at artikel 27 først bliver aktuel i takt med, at de krav træder i kraft. Se hvad retningen på dokumentation kan pege på. Min vurdering: Brug tiden til at finde ud af, om nogle af jeres AI-løsninger kan være højrisiko, og læs hvornår brug af AI kan være højrisiko.

Hvilke sikkerhedskrav gælder?

Sikkerhedskrav afhænger af, hvem I er, og hvad I bruger AI til. Der findes ikke ét sæt AI-sikkerhedskrav for ”det offentlige” og et andet for ”det private”. Det, der kan afgøre jeres krav, er blandt andet sektor, størrelse og de data, I behandler.

Informationssikkerhed (anbefaling til myndigheder). Digitaliseringsstyrelsen skriver, at datalæk altid er en risiko ved online-tjenester, og at der bør laves en risikovurdering af den valgte løsning og anvendelsen. Den anbefaler også en separat adgangskode til AI-værktøjer.
NIS 2-loven. Lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau (lov nr. 434 af 2025) omfatter blandt andet kommuner og statslige forvaltningsenheder. Styrelsen for Samfundssikkerhed fører tilsyn, og i 2026 og 2027 består tilsynet især af brede spørgeskemabaserede tilsyn med kommuner og statslige enheder. For private afhænger det af sektor og størrelse. Tjek, om I er omfattet.
GDPR. Kravene til sikkerhed i behandlingen gælder, hvis der indgår personoplysninger, uanset om I er offentlige eller private.

NIS 2-loven handler om cybersikkerhed generelt og ikke kun om AI. Den kan alligevel få betydning for, hvilke AI-løsninger og leverandører I vælger. Min vurdering: Tag udgangspunkt i, hvordan jeres leverandør og løsning passer ind i jeres samlede sikkerhed. Se hvordan I vurderer en AI-leverandør, før I siger ja.

Hvad med AI til udvikling?

Når AI skriver kode, er spørgsmålet det samme i det offentlige og det private: Hvem har tjekket, at det, der er bygget, er sikkert, og hvem har ansvaret? Det er kodens indhold og brug, der afgør risikoen, ikke hvem der ejer organisationen.

Ens: Ingen hemmeligheder eller personoplysninger i det, der sendes til et AI-værktøj, uden at I har taget stilling til det. Se tjeklisten for sikkerhed ved vibe coding og fem tjek før go-live.
Anderledes i det offentlige: Digitaliseringsstyrelsen anbefaler at tage stilling til tilgang, retningslinjer og organisatoriske rammer, før AI bruges. Det er nemmere at forklare bagefter, hvis valget er skrevet ned. Det bygger på guidens opbygning og er min fortolkning.

Er I i tvivl om, hvad der skal i en kontrakt eller et udviklingsforløb, kan udvikl med AI: Hvad skal I vide? være et sted at starte.

Hvad med AI-integrationer?

En integration giver AI adgang til jeres systemer og data. Derfor er spørgsmålene om adgang, ansvar og dokumentation vigtigere end selve modellen. Se AI-agenter og integration.

Ens: Hvad må integrationen læse, ændre og sende videre, og hvem godkendte det?
Anderledes i det offentlige: Hvis integrationen bruges i sagsbehandling, er det forvaltningsretten og kravet om at kunne forklare en afgørelse, der trækker. Guiden anbefaler at overveje det grundigt, hvis AI-svar bruges som grundlag for afgørelser.

Min anbefaling: Skriv én linje pr. integration: hvad den må, og hvem der har sagt ja. Det er lettere at vise bagefter end at huske det.

Hvad med AI-apps som ChatGPT?

Frit tilgængelige AI-apps er det sted, hvor forskellen mellem det offentlige og det private ofte er mindst, og hvor risikoen for fejl er størst. Medarbejdere bruger dem, ofte før nogen har taget stilling.

Myndigheder (anbefaling fra Digitaliseringsstyrelsen): Personoplysninger og fortrolige oplysninger bør ikke indtastes i generative AI-værktøjer, der er gratis tilgængelige på offentlige hjemmesider. Guiden nævner positivlister over værktøjer, som ledelsen har godkendt, og krydstjek af svar.
Private virksomheder: GDPR gælder, hvis der indgår personoplysninger, og aftaler med leverandøren afgør, hvad der må sendes. Se ChatGPT og GDPR og godkendelse af AI-værktøjer.

Min anbefaling til begge: En kort liste over godkendte værktøjer og en kort liste over, hvad der ikke må indtastes. Det er lettere at overholde end en lang politik.

Tre spørgsmål før I siger ja

Min model er tre spørgsmål, som virker, uanset om I er offentlige eller private. Den er min egen og ikke en standard, og den er min anbefaling og ikke et lovkrav.

Spørgsmål	Hvad I bør kunne svare
1. Hvem er ansvarlig?	Et navn, ikke en afdeling. Både for brugen og for beslutningen om at bruge det.
2. Hvad må data bruges til?	Hvilke oplysninger der indgår, om der er personoplysninger eller fortrolige oplysninger, og hvilke aftaler der gælder.
3. Hvad skal kunne dokumenteres overfor andre?	Overfor en borger, en kunde, en myndighed eller en revisor: Hvem godkendte, hvornår, og hvad ændrede sig?

Tjekliste: seks ting at have styr på

Har vi en liste over de AI-løsninger, vi bruger, også dem leverandøren har slået til?
Er der et navn ved hver af dem?
Ved vi, om der indgår personoplysninger eller fortrolige oplysninger?
Har vi taget stilling til, hvilke frie AI-apps der må bruges, og hvad der ikke må indtastes?
Ved vi, om vi er omfattet af regler ud over de generelle, fx NIS 2-loven?
Kan vi forklare, hvordan et AI-svar indgår i en beslutning, der rammer andre?

Kan I besvare et spørgsmål skriftligt og med et navn, er det afklaret. Hvor I kun har en fornemmelse, mangler I stadig afklaring.

Hvad hvis I sælger AI til det offentlige?

Hvis I leverer AI-løsninger til det offentlige, møder I kundens rammer. Det er min vurdering og ikke et lovkrav, at kunden kan komme til at spørge til dokumentation, data og sikkerhed, og at det er en fordel at kunne svare skriftligt, før spørgsmålet kommer. Hvilke krav der gælder, afhænger af udbuddet og kontrakten. Se også hvad I kan svare, når en kunde vil auditere jeres AI.

Hvad sker der, hvis I ikke gør noget?

Det er ikke sikkert, at der sker noget med det samme. Men det, der ikke er skrevet ned, kan ikke genskabes bagefter. Det kan fx betyde:

Medarbejdere bruger frie AI-apps, uden at nogen har taget stilling.
Ansvaret er uklart, når noget går galt.
I kan ikke dokumentere over for en kunde, borger eller myndighed, hvad I har valgt, og hvorfor.

Det er en vurdering af, hvad der kan ske, og ikke en forudsigelse.

Hvad kan I gøre nu?

Skriv listen over de AI-værktøjer og AI-funktioner, I bruger, med en ejer ved hver.
Tjek, om I er omfattet af regler ud over de generelle, fx NIS 2-loven, og om I leverer offentlige tjenester.
Skriv en kort positivliste og en kort liste over, hvad der ikke må indtastes i frie AI-apps.

Næste skridt: Læs hvordan I godkender AI-værktøjer.

Hvor passer SPOR ind?

Hvem ejer løsningen? Hvilke oplysninger indgår, og hvem godkendte det? Det er de spørgsmål, SPOR udvikles til at samle. SPOR er under udvikling og er hverken certificering eller en garanti for, at kravene er opfyldt. Et værktøj erstatter ikke ansvaret.

Ofte stillede spørgsmål

Gælder AI-forordningen anderledes for offentlige myndigheder?

Grundreglerne er de samme, fx AI-færdigheder og forbudte former for AI. Til gengæld skal offentlige myndigheder og private, der leverer offentlige tjenester, som udgangspunkt lave en konsekvensanalyse for grundlæggende rettigheder, før de tager visse højrisiko-systemer i brug (artikel 27). Højrisikokravene for systemer i bilag III gælder fra 2. december 2027.

Må en kommune bruge ChatGPT?

Digitaliseringsstyrelsens guide til myndigheder anbefaler, at personoplysninger og fortrolige oplysninger ikke indtastes i generative AI-værktøjer, som er gratis tilgængelige på offentlige hjemmesider. Brug af et værktøj til andet kan være i orden, hvis organisationen har taget stilling til det. Tjek jeres egne retningslinjer og den aktuelle version af guiden.

Er private virksomheder fri for krav, som det offentlige har?

Nej. GDPR, AI-forordningens AI-færdigheder og forbud, og kravet om gennemsigtighed ved fx chatbots gælder også private. Det offentlige har bare flere lag ovenpå, fx forvaltningsloven og tavshedspligt.

Gælder NIS 2-loven for mig?

Det afhænger af, hvilken sektor og størrelse I har. Kommuner og statslige forvaltningsenheder er omfattet. For private virksomheder skal I tjekke lovens sektorliste og størrelseskriterier hos Styrelsen for Samfundssikkerhed eller på retsinformation.dk.

Hvad betyder det, hvis jeg vil sælge AI til det offentlige?

Det er min vurdering, ikke et lovkrav: Så kan kunden komme til at spørge til dokumentation, data og sikkerhed. Det er klogt at kunne svare skriftligt, før spørgsmålet kommer. Hvilke krav der gælder, afhænger af udbuddet og kontrakten.

Kilder

Oplysninger om regler og vejledninger er kontrolleret 12. oktober 2026 mod Digitaliseringsstyrelsen, Styrelsen for Samfundssikkerhed og Europa-Kommissionen. Reglerne kan ændre sig, og krav afhænger af den konkrete anvendelse og organisationens rolle. Digitaliseringsstyrelsens guide er fra januar 2024 og kan være opdateret. Tjek altid den officielle tekst, før I handler på noget i artiklen.

Om forfatteren

Martin Egesø er rådgiver og udvikler. Han hjælper virksomheder med at få mere ud af deres systemer og AI-værktøjer og bygger nye løsninger, når standarden ikke passer, med styr på brug, data og ansvar. Han driver MLE Gruppo ApS i Randers.

Mere om Martin

Artiklen er generel vejledning og ikke juridisk rådgivning. Den bygger på officielle kilder, kontrolleret 12. oktober 2026, og markerer tydeligt, hvad der er lovkrav, anbefaling og min vurdering. SPOR er under udvikling og er hverken certificering, revision eller en garanti for, at organisationen overholder reglerne. Udgivet 12. oktober 2026.