Hvad skal I spørge en AI-leverandør om, før I siger ja?

I artiklen 9 afsnit

1. Hvad er det, I egentlig siger ja til?
2. Syv spørgsmål før ja
3. Hvad er et godt og et dårligt svar?
4. Hvad skal stå i databehandleraftalen?
5. Hvordan lander I på en beslutning?
6. Mail til leverandøren
7. Hvad sker der, hvis I ikke spørger?
8. Hvad kan I gøre nu?
9. Ofte stillede spørgsmål

Denne artikel handler om den første vurdering, før I har sagt ja. Skal I vurdere et værktøj, I allerede bruger, så læs sådan vurderer I et AI-værktøj igen. Spørger I om et bestemt værktøj, så se ChatGPT og GDPR og Copilot i virksomheden.

Hvad er det, I egentlig siger ja til?

Et ja til en AI-leverandør betyder, at jeres medarbejdere begynder at lægge virksomhedens oplysninger ind i en tjeneste, som andre driver. Sætningen "vi er GDPR-compliant" fortæller ikke, hvilke oplysninger det er, hvor de havner, og hvem der kan se dem. Det er en påstand fra leverandøren, og I kan ikke bruge den som svar til en kunde, der spørger.

Er leverandøren databehandler, behandler den personoplysninger på jeres vegne efter jeres instrukser. Det er jer, der som dataansvarlige afgør, hvorfor og hvordan oplysningerne behandles, og I skal kunne påvise, at det sker efter reglerne. Datatilsynet skriver, at I også skal føre tilsyn med databehandleren, og at det ikke er nok blot at indgå en aftale (Datatilsynet, rollefordeling). Efter GDPR artikel 28, stk. 1, må I kun bruge databehandlere, der giver tilstrækkelige garantier (GDPR, artikel 28). Spørgsmålene nedenfor er en måde at få de garantier beskrevet, så I kan se dem.

Syv spørgsmål før ja

"Syv spørgsmål før ja" er en kort model med syv spørgsmål, der alle skal have et skriftligt svar, før I vælger en AI-leverandør, og som ender i en af tre beslutninger: godkendt, godkendt med regel eller afvist. De første seks spørgsmål handler om indholdet, det sidste om aftalen. Modellen er min egen struktur, ikke en lovpligtig procedure.

1. Hvilke data kommer ind? Skriv, hvad I vil bruge værktøjet til, og hvilke oplysninger der indgår: tekster, kundenavne, CV'er, regnskabstal. Kender I ikke svaret, så start med at få overblik over jeres AI-brug.
2. Hvor behandles data? Bed om land eller område for lagring, behandling, support og backup. Behandles data uden for EU/EØS, gælder særlige regler (se nedenfor).
3. Bruges data til at træne modellen? Det står ikke i GDPR artikel 28, men det er et spørgsmål, I selv bør stille: Hvis oplysninger fra jer bruges til at forbedre leverandørens produkt, skal I vide det, før I lægger noget ind.
4. Hvem er underleverandører? Artikel 28, stk. 2, kræver, at databehandleren ikke bruger en anden databehandler uden jeres forudgående skriftlige tilladelse. Er tilladelsen generel, skal I have besked om ændringer og kunne gøre indsigelse.
5. Hvad sker der med data, når samarbejdet stopper? Efter artikel 28, stk. 3, litra g, skal databehandleren efter jeres valg slette eller tilbagelevere oplysningerne, når tjenesten ophører, medmindre lovgivning kræver opbevaring.
6. Hvordan får I besked om hændelser? Aftalen skal bl.a. forpligte databehandleren til at bistå jer med forpligtelserne i artikel 32-36 (artikel 28, stk. 3, litra f), og de omfatter sikkerhed og brud på persondatasikkerheden. Spørg konkret efter en frist og en kontaktperson.
7. Er der en databehandleraftale? Behandling hos en databehandler skal være reguleret af en bindende aftale (artikel 28, stk. 3). Aftalen skal være skriftlig, også i elektronisk form (artikel 28, stk. 9).

Hvad er reglerne for data uden for EU/EØS?

En overførsel af personoplysninger til et land uden for EU/EØS må kun ske, hvis betingelserne i GDPR kapitel V er opfyldt (artikel 44). Det kan ske, fordi Kommissionen har besluttet, at landet sikrer et tilstrækkeligt beskyttelsesniveau (artikel 45, stk. 1), eller fordi der er passende garantier, fx standardbestemmelser vedtaget af Kommissionen (artikel 46, stk. 1 og stk. 2, litra c). For USA vedtog Kommissionen 10. juli 2023 en tilstrækkelighedsafgørelse for EU-US Data Privacy Framework. Kommissionen skriver, at personoplysninger kan overføres frit til amerikanske virksomheder, der deltager i rammen (Europa-Kommissionen, EU-US data transfers; GDPR, kapitel V). Spørg derfor leverandøren, hvilket af disse grundlag den bruger, og få svaret skrevet ned. Kommissionens side nævner ikke, hvordan en virksomhed kan kontrolleres for deltagelse, så spørg også, hvor I kan se det.

Hvad er et godt og et dårligt svar?

Et godt svar er konkret, kan henvises til et dokument og kan gemmes. Et dårligt svar er generelt og ubestemt. Tabellen viser, hvordan forskellen typisk lyder. Den er en tjekliste, ikke en lovtekst, og "godt" og "dårligt" er min vurdering, ikke et lovkrav.

Får I et dårligt svar, er det ikke automatisk et nej. Det er et spørgsmål, der skal følges op, før I siger ja.

Hvad skal stå i databehandleraftalen?

En databehandleraftale skal bl.a. angive genstand, varighed, karakter, formål, typen af personoplysninger og kategorierne af registrerede, og den skal forpligte databehandleren til at handle efter jeres dokumenterede instrukser (GDPR artikel 28, stk. 3, litra a). Andre punkter er fortrolighed hos medarbejdere, sikkerhed, regler for underleverandører, bistand til jeres forpligtelser, sletning eller tilbagelevering og oplysninger, så I kan påvise, at reglerne overholdes, herunder revision (litra b til h). Er en underleverandør involveret, har databehandleren det fulde ansvar over for jer for underleverandørens opfyldelse (stk. 4) (GDPR, artikel 28).

Det betyder, at spørgsmål 4 til 7 ikke er ekstra ønsker. De svarer til punkter, en aftale skal dække. Står de ikke i leverandørens aftale, kan I bede om at få dem tilføjet. Om en konkret aftale er tilstrækkelig, er et juridisk spørgsmål.

Hvordan lander I på en beslutning?

I lander på en beslutning ved at skrive en af tre konklusioner og en kort begrundelse. Det er den del, der gør vurderingen genfindelig, når en kunde eller en kollega spørger et år senere.

• Godkendt: Alle syv spørgsmål har et skriftligt svar, I kan stå inde for.
• Godkendt med regel: Værktøjet må bruges, men kun til bestemte formål. Fx "ingen personoplysninger om ansatte" eller "kun med virksomhedens egen konto".
• Afvist: Ét eller flere svar er for svage til den brug, I havde tænkt jer.

Skriv desuden hvem der har vurderet, hvornår, hvem der ejer værktøjet hos jer, og hvornår I kigger på det igen. Det sidste kan I gøre, som beskrevet i sådan vurderer I et AI-værktøj igen. Leverandøren og beslutningen bør stå i jeres AI-register.

Hvad sker der, hvis I ikke spørger?

Spørger I ikke, fortsætter værktøjet som regel med at virke, men I har ingen noter at falde tilbage på. Konsekvenserne er jordnære og viser sig, når nogen stiller et spørgsmål:

• En kunde spørger, hvor deres oplysninger ender. Svaret er "det ved vi ikke", fordi ingen har spurgt leverandøren.
• Der findes ingen aftale. Virksomhedens data ligger hos en leverandør uden en databehandleraftale, fordi en medarbejder blot tilmeldte sig med en e-mailadresse.
• Viden sidder hos én person. Den, der talte med leverandøren, har forladt virksomheden, og svarene forsvandt med vedkommende.
• Leverandøren ændrer vilkår eller underleverandører, og ingen opdager det. Det er en af grundene til, at I skal sætte en dato for næste vurdering.
• Valget gentages i hver afdeling. Hver gang nogen overvejer et nyt værktøj, starter vurderingen forfra uden en fælles liste over spørgsmål.

Hvad kan I gøre nu?

De fleste virksomheder kan selv gennemføre en første vurdering på en eftermiddag. Et enkelt forløb:

1. Vælg ét værktøj, I overvejer eller allerede er begyndt at bruge.
2. Skriv formål og datatyper på en halv side. Hvem skal bruge det, og til hvad?
3. Send mailen ovenfor, og bed om svar skriftligt.
4. Sammenlign svarene med tabellen, og vælg godkendt, godkendt med regel eller afvist.
5. Gem svar og beslutning sammen med navn på ejer og en dato for næste gennemgang.

Er I i tvivl, om I skal bygge, tilpasse eller købe, så se sådan vælger I udvikler eller leverandør. Er I i tvivl om, hvilke leverandører I allerede har, så start med overblikket over jeres AI-brug.

Det er også den del, SPOR er under udvikling til at hjælpe med: at samle leverandør, aftale, datatyper og beslutning ét sted. Det er ikke lanceret endnu, men I kan få besked, når SPOR er klar. Vurderingen er stadig jeres egen, og SPOR træffer ikke beslutningen for jer.

Jeg er ikke jurist. Artiklen er en praktisk metode til at stille spørgsmål, ikke en juridisk vurdering af en aftale. Skal en konkret databehandleraftale eller et overførselsgrundlag vurderes, så tal med en advokat med erfaring i databeskyttelse.

Kort sagt: "GDPR-compliant" er et svar på et spørgsmål, I ikke har stillet. Stil de syv spørgsmål, få svarene skriftligt, og skriv ned, hvorfor I sagde ja, ja med regel eller nej.

Ofte stillede spørgsmål

Er en leverandør, der siger "GDPR-compliant", godkendt?

Nej. En leverandørs påstand om at være "GDPR-compliant" er en påstand, ikke en godkendelse, og den svarer ikke på, hvad der sker med netop jeres data. Bed om svar på de syv spørgsmål, og få dem skriftligt, før I siger ja.

Skal vi have en databehandleraftale med en AI-leverandør?

Ofte ja. Behandler leverandøren personoplysninger på jeres vegne, skal forholdet være reguleret af en skriftlig aftale (GDPR artikel 28, stk. 3). Om det gælder jeres konkrete brug, afhænger af, hvilke data I bruger, og kan være et spørgsmål til en jurist.

Må vi bruge en AI-leverandør i USA?

Overførsler uden for EU/EØS kræver et grundlag efter GDPR kapitel V. Et grundlag kan være, at Kommissionen har truffet en tilstrækkelighedsafgørelse, som for virksomheder, der deltager i EU-US Data Privacy Framework, eller passende garantier som standardkontraktbestemmelser. Spørg leverandøren, hvilket grundlag der bruges.

Hvad gør vi, hvis leverandøren ikke svarer?

Skriv, at I ikke kan sige ja, før I har svar, og vælg et andet værktøj eller en snævrere brug, hvis svaret udebliver. Gem mailen og beslutningen, så I kan vise, at I spurgte.

Kilder

• Europa-Parlamentets og Rådets forordning (EU) 2016/679 (GDPR), EUR-Lex: artikel 28 (databehandler) og artikel 44, 45 og 46 (overførsler til tredjelande).
• Datatilsynet: Rollefordeling, dataansvarlig og databehandler.
• Europa-Kommissionen: EU-US data transfers.

Artiklen er generel vejledning og ikke juridisk rådgivning. Udgivet 6. oktober 2026. Opdateret 6. oktober 2026.