ChatGPT og GDPR: hvad I skal tjekke, før medarbejderne bruger det

I artiklen 10 afsnit

1. Må man bruge ChatGPT i virksomheden?
2. ChatGPT og GDPR: hvad er forskellen på en personlig konto og en erhvervsaftale?
3. Hvad siger Datatilsynet om generativ AI?
4. Hvad sker der, hvis I ikke tager stilling?
5. Hvilke data hører ikke hjemme i en prompt?
6. Tjekliste: 10 spørgsmål før medarbejderne bruger ChatGPT
7. Hvordan laver I reglerne for medarbejderne?
8. Hvad kan I gøre nu?
9. Kan I gøre det selv?
10. Ofte stillede spørgsmål

Denne artikel handler om ét værktøj, ChatGPT, og hvad GDPR kræver af jeres brug. Bruger I Microsoft 365, står rettigheder og data i Copilot til virksomheder: rettigheder og data før udrulning. Skal I tale med en kollega om AI-brug, se sådan siger I det til en kollega, og et samlet overblik over AI-forordningen og GDPR står i hvem der hjælper med, hvad I må med AI.

Må man bruge ChatGPT i virksomheden?

GDPR (EU's databeskyttelsesforordning) forbyder ikke ChatGPT eller andre bestemte værktøjer. Forordningen stiller krav til, hvordan persondata behandles: et klart formål, et lovligt grundlag (kaldet behandlingsgrundlag), passende sikkerhed og en aftale med dem, der behandler data på jeres vegne. Den aftale hedder en databehandleraftale. Den fastlægger, hvad leverandøren må gøre med persondata, som den behandler for jer. Spørgsmålet er derfor ikke, om ChatGPT er tilladt, men hvordan ChatGPT bruges hos jer, og med hvilke data.

Når en medarbejder kopierer en kundemail ind i ChatGPT, bliver kundens oplysninger behandlet uden for jeres egne systemer. Oplysningerne er stadig jeres ansvar, også hvis medarbejderen bruger en privat konto på sin egen telefon. Datatilsynet omtaler netop den situation, hvor ansatte bruger persondata fra arbejdet i AI-værktøjer uden arbejdspladsens viden, som brud på persondatasikkerheden (se afsnittet om Datatilsynet nedenfor).

Bruges ChatGPT til tekster uden persondata og fortrolige oplysninger, fx et udkast til en jobannonce eller en omskrivning af en produkttekst, er der ikke meget at tage stilling til ud over kvaliteten. Det er, når kunder, medarbejdere eller fortrolige oplysninger kommer ind i prompten, at det kræver et nærmere kig.

ChatGPT og GDPR: hvad er forskellen på en personlig konto og en erhvervsaftale?

Den største forskel mellem ChatGPT-kontiene er, hvem aftalen er med, og hvad OpenAI gør med data. OpenAI har abonnementer til enkeltpersoner (Free, Go, Plus og Pro) og erhvervsprodukter (ChatGPT Business, der tidligere hed Team, ChatGPT Enterprise og API'en, som udviklere bruger til at bygge OpenAIs modeller ind i andre systemer). Sådan beskriver OpenAI forskellen på deres egne sider, tjekket 3. oktober 2026:

Kilderne er OpenAIs side om virksomhedsdata (OpenAI, 2026), hjælpesiden om, hvordan data bruges til at forbedre modellerne (OpenAI, 2026), og hjælpesiden om dataresidens (OpenAI, 2026). Er I i Microsoft-miljøet, se Copilot til virksomheder.

To ting er værd at hæfte sig ved. For det første er en betalt Plus-konto stadig en personlig konto. At medarbejderen betaler, eller at I refunderer abonnementet, gør den ikke til en erhvervsaftale. For det andet er "ingen træning" ikke det samme som "ingen behandling". Data sendes stadig til OpenAI, gemmes i en periode og behandles uden for jeres egne systemer. Og selv om træning er slået fra på en personlig konto, kan en samtale ifølge OpenAI bruges til træning, hvis medarbejderen giver feedback på et svar, fx med tommelfinger op eller ned.

Vilkårene ændrer sig løbende, så læs OpenAIs databehandleraftale og den aftale, I faktisk indgår. I versionen, der gælder fra 1. januar 2026, er aftalepartneren for kunder i EØS (EU samt Norge, Island og Liechtenstein) OpenAI Ireland Ltd., og overførsler uden for EØS sker efter EU's standardkontraktbestemmelser (EU-Kommissionens standardaftale for overførsel af persondata) eller en tilstrækkelighedsafgørelse fra EU-Kommissionen.

Hvad siger Datatilsynet om generativ AI?

Datatilsynet anbefaler, at arbejdspladser fastsætter rammer for, om og hvordan medarbejdere må bruge generative AI-værktøjer i arbejdet. Baggrunden er, at tilsynet har set en stigning i brud på persondatasikkerheden, hvor ansatte har brugt persondata fra arbejdet i AI-værktøjer, uden at arbejdspladsen vidste det eller havde givet lov (Datatilsynet, 2024).

Datatilsynet peger på to ting, arbejdspladsen kan gøre:

• Rammerne bør være en fast del af arbejdspladsens awareness, retningslinjer eller procedurer.
• Arbejdspladsen kan overveje tekniske foranstaltninger, der understøtter rammerne, fx at blokere offentligt tilgængelige AI-værktøjer i firewallen.

Digitaliseringsstyrelsens guide til virksomheder er mere direkte. Persondata må kun indtastes i et generativt AI-værktøj, hvis værktøjet er vurderet og godkendt til det, og fortrolige oplysninger bør kun indtastes efter en risikovurdering. Guiden nævner også, at gratis værktøjer fra offentlige hjemmesider ofte ikke giver tilstrækkelig beskyttelse af fortrolige oplysninger (Digitaliseringsstyrelsen, 2024).

Skal ChatGPT bruges til noget, der kan indebære høj risiko for de personer, data handler om, fx vurdering af medarbejdere eller ansøgere, kan der være krav om en konsekvensanalyse (DPIA), dvs. en skriftlig vurdering af risikoen for de personer, data handler om. Om det gælder jeres brug, er en juridisk vurdering. Datatilsynet har en skabelon til konsekvensanalyse ved AI på sin side om kunstig intelligens.

Vil I bruge AI til mødereferater, er det en konkret situation med egne spørgsmål om deltagere, optagelse og adgang. Se AI til mødereferater.

Hvad sker der, hvis I ikke tager stilling?

Tager I ikke stilling til ChatGPT, holder brugen sjældent op. Den fortsætter bare uden rammer:

• Arbejdet sker på private konti. Samtalerne ligger på medarbejdernes egne konti, som I ikke kan se, styre eller slette, heller ikke når en medarbejder stopper.
• Hver medarbejder laver sine egne regler. Nogle holder kundedata ude, andre gør ikke. Nogle tør slet ikke bruge ChatGPT, selv til opgaver, hvor det ville være i orden.
• Uheld bliver opdaget sent. Ved ingen, hvem de skal sige det til, går der tid, og fristen på 72 timer for at anmelde et brud på persondatasikkerheden begynder at løbe, når I bliver opmærksomme på bruddet.
• I kan ikke svare kunderne. Spørger en kunde, hvilke AI-værktøjer der behandler deres oplysninger, findes svaret ingen steder.

Hvorfor medarbejderne vælger private konti, og hvordan I får overblik over al brug uden aftale, står i artiklen om hvad skygge-AI er.

Ingen af delene kræver et stort projekt at undgå. De kræver, at nogen beslutter, hvilken konto der bruges, og hvilke data der må komme ind i prompten.

Hvilke data hører ikke hjemme i en prompt?

Nogle data hører aldrig hjemme i ChatGPT, og andre kun efter en særskilt vurdering. En enkel tommelfingerregel: skriv ikke noget i ChatGPT, som I ikke ville sende til en ekstern leverandør uden en aftale.

Aldrig, uanset konto:

• Adgangskoder, API-nøgler og andre loginoplysninger.

Ikke på personlige konti og gratis versioner:

• Persondata om kunder, medarbejdere, ansøgere og samarbejdspartnere, fx navne, mails, telefonnumre og sagsoplysninger.
• Fortrolige oplysninger, fx kontrakter, priser, tilbud, regnskab og forretningsplaner.

Kun efter en særskilt vurdering, også på en erhvervsaftale:

• Følsomme personoplysninger, fx om helbred, etnisk oprindelse, religion eller fagforeningsforhold (GDPR artikel 9).
• CPR-numre, som har særlige regler i databeskyttelsesloven.
• Oplysninger om strafbare forhold.
• Personalesager, lønforhold, ansøgninger og vurderinger af medarbejdere.
• Oplysninger, som I har tavshedspligt om, eller som en kunde har bedt jer holde fortrolige.

Vær opmærksom på, at det sjældent er nok at fjerne navnet. Hvis stilling, sag eller dato stadig peger på en bestemt person, er det stadig persondata. Det gør Digitaliseringsstyrelsens guide også opmærksom på.

Tjekliste: 10 spørgsmål før medarbejderne bruger ChatGPT

Brug tabellen som tjekliste, før ChatGPT bliver en fast del af arbejdet. Mange af spørgsmålene kan besvares hurtigt, hvis den rette person sidder med.

Det sidste spørgsmål er vigtigt, fordi uheld sker. Er der lagt persondata ind i en personlig konto, så behandl det som et muligt brud på persondatasikkerheden. Hvad I gør bagefter, står i artiklen om hvad I gør, når AI laver en fejl. Brud skal anmeldes til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer efter, at I er blevet opmærksomme på det, medmindre det er usandsynligt, at bruddet indebærer en risiko for de berørte personer (GDPR artikel 33).

Når tjeklisten er udfyldt, er næste spørgsmål, hvor svarene skal ligge. Hvor står beslutningen om, hvilken konto der bruges? Hvem ejer aftalen med OpenAI? Hvornår blev vilkårene sidst tjekket? Og hvad gør I, når OpenAI ændrer dem? For ét værktøj rækker et regneark og en mappe med aftalen. Har I flere AI-værktøjer og systemer, der skal holdes ved lige på samme måde, er det det forarbejde, SPOR skal tage, når det åbner: holde styr på leverandører, aftaler og beslutninger, minde jer om, når vilkårene skal tjekkes igen, og lave udkastet til medarbejdernes regler. SPOR er endnu ikke åbnet for kunder.

Hvordan laver I reglerne for medarbejderne?

Reglerne virker bedst, når de er korte, konkrete og giver medarbejderne et godt alternativ. Et forbud uden alternativ fører ofte til, at folk bruger deres private konti alligevel. Brug af AI uden arbejdspladsens viden kaldes skygge-AI, og det er den situation, Datatilsynet beskriver.

En regel for ChatGPT kan stå på én side:

1. Hvilken konto der skal bruges til arbejde.
2. Hvad ChatGPT må bruges til, med eksempler.
3. Hvilke data der ikke må indtastes.
4. At svarene skal tjekkes, før de bruges eller sendes videre.
5. Hvem man spørger, når man er i tvivl.

Skriv reglen ind i en samlet AI-politik, så den også dækker andre værktøjer, fx AI-funktioner i de systemer, I allerede har. Introduktionen til medarbejderne tæller også i forhold til AI-forordningen (EU's regler for kunstig intelligens). Her skal virksomheder, der bruger AI-systemer, træffe foranstaltninger, der støtter udviklingen af AI-færdigheder hos dem, der bruger systemerne (artikel 4, som ændret i 2026). Læs mere om AI-færdigheder efter artikel 4.

Hvad kan I gøre nu?

Tre ting kan de fleste virksomheder gøre i denne uge:

1. Spørg, hvilke konti der bruges. Spørg teamlederne, og tjek udlæg og refusioner for AI-abonnementer.
2. Skriv en dataregel på tre linjer. Hvad der aldrig må i en prompt, hvad der ikke må på personlige konti, og hvad der kræver en vurdering først.
3. Udpeg én ejer. Én person, der tager stilling til konto og aftale, og som medarbejderne kan spørge.

Kort sagt: ChatGPT er ikke forbudt efter GDPR, men jeres brug skal have en konto, I styrer, en aftale og klare regler for data. Vil I vide, hvor I står i dag, er AI-tjekket nedenfor et let sted at starte.

Kan I gøre det selv?

Ja, de fleste virksomheder kan komme langt med tjeklisten selv. Bruger I ChatGPT til tekster, idéer og opsummeringer uden persondata, handler det mest om at vælge en konto, I styrer, og give medarbejderne klare regler.

Hjælp udefra giver mening i nogle situationer:

• ChatGPT skal bruges på persondata, fx i kundeservice eller HR.
• Der er mange AI-værktøjer i spil, og I mangler overblik over jeres AI-brug.
• I er i tvivl om behandlingsgrundlag, overførsel af data eller konsekvensanalyse.
• Ingen har tid til at følge op på vilkår og regler.
• Standardværktøjet passer dårligt til arbejdet, og et system bygget til formålet ville være bedre.

Her kan en system- og AI-gennemgang være et sted at starte. Jeg er ikke jurist. Til en juridisk vurdering af et konkret behandlingsgrundlag er en advokat med speciale i databeskyttelse det rette sted.

ChatGPT er ét eksempel. Overblik over de regler, der allerede gælder, når medarbejderne bruger AI, viser, hvordan GDPR, leverandører og tredjelande hænger sammen.

Ofte stillede spørgsmål

Er ChatGPT GDPR-compliant?

Et værktøj kan ikke i sig selv være GDPR-compliant. Det er jeres brug, der skal overholde reglerne. En erhvervsaftale med databehandleraftale og uden træning på data giver et bedre udgangspunkt, men I skal stadig have et formål, et grundlag og regler for, hvilke data der må bruges.

Må man bruge ChatGPT på arbejde?

Det afhænger af arbejdspladsens regler. Datatilsynet anbefaler, at arbejdspladser fastsætter rammer for, om og hvordan medarbejdere må bruge generativ AI. Er der ingen regler, så spørg din leder, og hold persondata og fortrolige oplysninger ude.

Bruger ChatGPT Business vores data til træning?

Ifølge OpenAI bruges data fra ChatGPT Business og Enterprise som standard ikke til at træne modellerne, medmindre I aktivt vælger at dele data, fx via feedback. Tjek OpenAIs aktuelle side om virksomhedsdata og jeres egne indstillinger, fordi vilkårene kan ændre sig.

Hvad er forskellen på ChatGPT Business og Enterprise i forhold til GDPR?

Begge er erhvervsprodukter, hvor OpenAI oplyser, at data som standard ikke bruges til træning, og hvor der kan indgås en databehandleraftale. OpenAI nævner lagring af data i Europa som en mulighed for nye Enterprise-arbejdsområder, men ikke for Business. Sammenlign de aktuelle vilkår, før I vælger.

Må man skrive persondata i ChatGPT?

Det bør I ikke på en personlig konto, fordi der ikke er en databehandleraftale mellem jeres virksomhed og OpenAI. På en erhvervsaftale kan det være i orden, hvis brugen er vurderet og godkendt, med formål, behandlingsgrundlag og klare regler. Følsomme oplysninger og CPR-numre kræver en særskilt vurdering.

Artiklen er generel vejledning og ikke juridisk rådgivning. Udgivet 26. september 2026. Opdateret 7. oktober 2026.