Et AI-værktøj, der tager noter fra et møde, behandler personoplysninger om alle deltagere og om dem, der bliver talt om. Virksomheden skal derfor have et behandlingsgrundlag, fortælle deltagerne om det, før optagelsen starter, holde mødetyper med følsomme oplysninger ude, og sætte en kort opbevaringstid for lyd, udskrift og referat. Det gælder også, når funktionen bare er en knap i det mødesystem, I allerede bruger. Vi har ikke fundet en dansk vejledning eller afgørelse om emnet. Teksten bygger derfor på de almindelige regler i GDPR, og konkrete tvivlsspørgsmål hører til hos en advokat.
Hvad der faktisk sker
Værktøjet optager tale, skriver den ud og laver et resumé. Det giver tre slags materiale, som kan ligge forskellige steder og have forskellig levetid: lyd eller video, en fuld udskrift med navne på, hvem der sagde hvad, og et referat. Flere værktøjer forbinder sig også med kalenderen og går ind i møder af sig selv.
Spørgsmålene er enkle at stille og tager lidt tid at besvare. Hvem har slået det til? Hvor ligger resultatet? Hvem kan læse det? Og er det jeres værktøj, eller er det en gæsts?
Et tænkt eksempel: en sælger bruger en notetager på sin private konto ved et kundemøde, hvor kunden fortæller om en sygemelding i ledelsen. Virksomheden har ingen aftale med leverandøren, kunden ved det ikke, og udskriften ligger hos en tjeneste, ingen i virksomheden kender. Det er et muligt brud, og det er grund nok til at tage stilling, før nogen gør det af sig selv.
Behandlingsgrundlag
For almindelige interne møder og kundemøder er legitim interesse i art. 6, stk. 1, litra f, det spor, der oftest skal prøves. Interessen kan være et præcist referat. Nødvendigheden er sværere: er en fuld udskrift nødvendig, når et resumé kan klare opgaven, og kan samme resultat nås med færre oplysninger? Afvejningen afhænger af, hvad folk kan forvente. Ved et projektmøde er det noget andet end ved en fortrolig samtale.
Over for medarbejdere gælder databeskyttelseslovens § 12. Samtykke kan bruges efter § 12, stk. 3, men skævheden mellem arbejdsgiver og ansat gør det usikkert. Et krav om, at alle møder optages, kan desuden nærme sig kontrol af ansatte, som Datatilsynet har som fokusområde i 2026. Hvis materialet bruges til at vurdere medarbejdere, er det et nyt formål, se kontrol af medarbejdere. Reglerne for den samlede vurdering står i behandlingsgrundlag for AI.
Om selve optagelsen af en samtale rejser spørgsmål efter andre regler end GDPR, er et spørgsmål til advokat.
Information til deltagerne
Art. 13 kræver, at personer får besked, når oplysninger indsamles hos dem. Art. 14 gælder dem, der omtales uden at være med. I praksis giver det tre tiltag:
- Skriv det i mødeindkaldelsen, når noter med AI er planlagt.
- Sig det, når mødet begynder, og giv deltagerne mulighed for at bede om, at optagelsen slås fra. Bruger I legitim interesse, har de ret til indsigelse efter art. 21.
- Beskriv behandlingen i den information, kunder og ansatte i øvrigt får, med formål, leverandør og opbevaringstid.
Holder I møde hos en anden, kan det være værtens værktøj, der kører. Det er værtens ansvar, men I bør spørge, når det drejer sig om fortrolige emner.
Følsomme oplysninger
Møder kan rumme oplysninger efter art. 9 og den danske særregel om strafbare forhold, uden at nogen har planlagt det. Sygefraværssamtaler, personalesager, møder med fagforening, rådgivning om helbred og møder om en konkret medarbejders forhold bør efter vores vurdering holdes helt ude af automatiske noter. Skriv det ned som en regel, og lad den, der indkalder, tage ansvar for den. Møder i ledelsen eller bestyrelsen kan have samme karakter.
Opbevaring og adgang
Art. 5, stk. 1, litra e, sætter grænsen. Et godkendt referat kan leve som jeres øvrige mødereferater. Lyd og fuld udskrift har sjældent et behov ud over den tid, det tager at kontrollere referatet. Sæt en automatisk sletning, hvis værktøjet kan det, og tjek, at den virker.
Adgangen er det næste. Udskriften må ikke ende i et delt område, hvor alle kan søge i den. I systemer med en AI-assistent kan den kunne hentes frem af kolleger, der har adgang. Art. 25 om standardindstillinger gælder her: det bør være et bevidst valg at slå noter til, frem for at de kører som standard.
Resuméer kan være forkerte. Princippet om rigtighed i art. 5, stk. 1, litra d, gælder også her, så en person bør læse og godkende referatet, før det bruges eller sendes. Det gælder især, når noget tilskrives en navngiven deltager.
Leverandøren og resten af aftalen
Mødeværktøjet er en databehandler, når det kører efter jeres instruks, og så skal der være en aftale efter art. 28. Læs, om funktionen er dækket, om der trænes, og hvor oplysningerne behandles, se databehandleraftale med en AI-leverandør. Tilføjelser fra andre leverandører end mødesystemets egen har ofte egne vilkår. Materialet er også omfattet af indsigt: en person kan have ret til oplysninger om sig selv fra en udskrift, og det er lettere at svare på, når der er ryddet op, se indsigt og sletning i AI.
Beslut, om notetagere må bruges, og for hvilke møder. Skriv en regel på én side, fortæl den til medarbejderne, og tag funktionen op med DPO’en, hvis I har en, før den slås til for alle.
Det skal I lade være med
- At lade noter køre som standard på alle møder · så vælger ingen, og fortrolige samtaler kommer med.
- At gemme lyd og udskrift, fordi der er plads · behovet ophører, når referatet er godkendt.
- At skjule, at værktøjet kører · deltagerne skal have besked, før det starter.
- At bruge materialet til at bedømme medarbejdere · det er et nyt formål, der kræver en ny vurdering.
Det skal I kræve af den eksterne
- ☐ En kort vurdering af grundlag og oplysningspligt for jeres mødetyper.
- ☐ Forslag til, hvilke møder der bør holdes ude.
- ☐ Kontrol af opsætning, adgange og sletning i det værktøj, I bruger.
- ☐ Tydelig besked, når et spørgsmål hører til hos en advokat.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679: art. 5, 6, 9, 13, 14, 21, 25 og 28.
- Databeskyttelsesloven, LBK nr. 289 af 8/3 2024: §§ 8 og 12.
- EU-Domstolen, C-621/22, 4/10 2024.
- Datatilsynet: Fokusområder 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Oplysningspligten · En medarbejder har lagt persondata i et AI-værktøj
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
