AI-forordningen og GDPR gælder side om side, og den ene erstatter ikke den anden. GDPR beskytter personer, hvis oplysninger behandles. AI-forordningen regulerer AI-systemer efter risiko og lægger pligter på dem, der laver og bruger dem. For en virksomhed, der bruger købte værktøjer, går nogle opgaver igen, især dokumentation, leverandører, information og menneskelig kontrol. Andre gør ikke: GDPR’s opgaver har DPO’en som rådgiver og kontrollant, men der er intet krav i AI-forordningen om, at DPO’en skal eje resten. Ledelsen bør udpege en ejer af brugen af AI og lade DPO’en rådgive om det, der angår persondata.
To regelsæt med hver sin logik
GDPR gælder, når personoplysninger behandles, uanset teknologien. AI-forordningen, forordning (EU) 2024/1689 som ændret ved (EU) 2026/1744, gælder AI-systemer og modeller, også når der ikke er persondata i dem. Et system kan altså være lovligt efter den ene og ulovligt efter den anden.
Roller er forskellige. GDPR taler om dataansvarlig og databehandler. AI-forordningen taler om udbyder og idriftsætter, den, der anvender et system. En virksomhed, der køber et AI-værktøj, er efter vores læsning som regel idriftsætter og dataansvarlig, mens leverandøren er udbyder og databehandler. Det er vores læsning, og grænsen afhænger af forholdene. Sætter I systemet på under eget navn eller ændrer det, kan rollen skifte. Bygger I selv, er det et andet spor, se AI-forordningen for softwareproducenter.
Datoerne
Følgende fremgår af ændringsforordningen, offentliggjort i EUT den 24. juli 2026 med ikrafttræden 27. juli 2026, og af den ændrede art. 113:
- De forbudte former for AI, art. 5, gælder siden 2. februar 2025. For arbejdsgivere er følelsesgenkendelse på arbejdspladsen relevant.
- Den generelle anvendelsesdato var 2. august 2026.
- Gennemsigtighed efter art. 50 gælder siden 2. august 2026.
- Højrisikosystemer i bilag III: fra 2. december 2027.
- Højrisikosystemer i bilag I: fra 2. august 2028.
I Danmark er lov nr. 467 af 14. maj 2025 gældende og peger på tre myndigheder: Digitaliseringsstyrelsen, Datatilsynet og Domstolsstyrelsen. Regeringen fremsatte den 7. oktober 2026 lovforslag L 3, der vil afløse loven, og forslaget er ikke vedtaget. Det er status pr. 5. november 2026 efter den fremsatte tekst på retsinformation.dk, og den skal slås op igen. Reglerne for virksomheder, der bruger AI, er gennemgået i AI-loven for virksomheder, der bruger AI.
Opgaver, der går igen
Overblik. GDPR kræver en fortegnelse efter art. 30, og AI-brug bør kunne ses der. AI-forordningen kræver i praksis, at I ved, hvilke systemer I bruger, og i hvilken risikoklasse de ligger. Hold ét overblik, frem for to lister, der ikke stemmer.
Vurdering før brug. En konsekvensanalyse efter art. 35 og en vurdering af et højrisikosystem er forskellige, men de deler oplysninger. Art. 26, stk. 9, i AI-forordningen siger, at idriftsættere af højrisikosystemer bruger oplysningerne efter art. 13 til deres DPIA. Her hænger de to sammen ved lov. Se DPIA for et AI-værktøj. Uden for højrisiko er spørgsmålet stadig, om analysen skal laves, og det afgør I med Skal vi lave en DPIA?.
Leverandører. Aftalen efter art. 28 og leverandørens brugsanvisning efter AI-forordningen kan samles i ét arbejde ved indkøbet.
Information. Art. 13 og 14 i GDPR og art. 50 i AI-forordningen giver hver sin pligt over for de berørte, og de kan samles, så personen får én tydelig besked. En chatbot i kundeservice er det nærmeste eksempel, for kunden skal både vide, at modparten er AI, og hvad samtalen bruges til. Art. 26, stk. 7, siger, at arbejdsgivere informerer medarbejderrepræsentanter og berørte, før højrisikosystemer tages i brug på arbejdspladsen.
Menneskelig kontrol. Art. 22 i GDPR og kravene om menneskeligt tilsyn i AI-forordningen peger samme vej, når AI bruges om personer.
Opgaver, der ikke går igen
Risikoklassificering af systemer, AI-færdigheder efter art. 4 og den øvrige brug af højrisikosystemer efter art. 26 er AI-forordningens egne. Art. 4 er ændret, så pligten nu er at træffe foranstaltninger, der understøtter AI-færdigheder. Det handler om det samlede arbejde med AI og rækker ud over persondata.
Omvendt er rettigheder, behandlingsgrundlag, sletning og brud GDPR’s. Dem løser AI-forordningen ikke.
Hvem ejer hvad internt
De læste regler siger ikke, hvem det skal være, så beslutningen er ledelsens:
- Ledelsen godkender brugen og bærer ansvaret.
- En ejer af AI holder overblikket og står for klassificering, oplæring og opfølgning.
- IT står for opsætning og adgange.
- DPO’en rådgiver og kontrollerer, hvor AI berører persondata, og rapporterer til øverste ledelse.
Det kan være fristende at lægge det hele hos DPO’en. Art. 38, stk. 6, om interessekonflikt er grunden til at lade være: en DPO, der ejer og driver brugen af AI, kommer til at træffe beslutninger om hjælpemidler, som vedkommende skal kontrollere. Grænsen er beskrevet i DPO’ens rolle, når virksomheden indfører AI. En DPO kan godt få en aftalt opgave om AI ved siden af, når den er rådgivende, og når konflikten er vurderet konkret og beslutningen ligger hos ledelsen.
Rollerne på tilsynsside er også delte. Datatilsynet fører tilsyn med GDPR og er samtidig en af de tre myndigheder efter AI-reglerne. Datatilsynet og Digitaliseringsstyrelsen driver desuden den regulatoriske sandkasse for AI.
Begynd med at samle overblikket over de værktøjer, I bruger, tildel en ejer, og lad DPO’en gennemgå de steder, hvor der er persondata.
Det skal I lade være med
- At lave to adskilte projekter · dokumentation og indkøb kan samles.
- At tro, at et lovligt system er lovlig brug · GDPR ser på jeres behandling af oplysningerne.
- At udpege DPO’en som AI-ansvarlig uden at vurdere det · det skaber en konflikt, der skal håndteres.
Det skal I kræve af den eksterne
- ☐ En klar opdeling af, hvad der er GDPR, og hvad der ikke er.
- ☐ Rådgivning om, hvor dokumentationen kan samles.
- ☐ Datoer og lovstatus med angivelse af, hvornår de er læst.
- ☐ Besked, når et spørgsmål kræver en advokat.
Kilder
- Forordning (EU) 2026/1744, EUT L af 24/7 2026: ændring af AI-forordningen, herunder art. 113.
- AI-forordningen, art. 26, Kommissionens AI Act Service Desk og art. 50 (ikke retskilde).
- Digitaliseringsstyrelsen: AI-omnibus og FAQ om AI-forordningen.
- Lov nr. 467 af 14/5 2025 og L 3, fremsat 7/10 2026, læst 5/11 2026.
- Databeskyttelsesforordningen (EU) 2016/679: art. 13, 14, 22, 28, 30, 35 og 38.
Senest gennemgået: november 2026.
Næste skridt
Læs også: AI og persondata: fem spørgsmål · Automatiske afgørelser
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
