AI og persondata

AI-værktøjer er kommet ind i mail, møder og kundeservice, ofte før nogen har taget stilling til, hvad der sker med oplysningerne. Reglerne er de samme som for andre systemer: art. 5, 6, 9, 13, 14, 25, 28, 32, 35 og kapitel V. Vi har ikke fundet en vejledning fra Datatilsynet til private om Copilot, mødenoter eller persondata i AI-værktøjer. Den vejledning, tilsynet udgav i oktober 2023, er rettet mod offentlige myndigheder. Artiklerne her anvender derfor de almindelige regler, og det siger de også selv. Siden samler dem i den rækkefølge, en virksomhed typisk møder spørgsmålene.

Det, der går igen

Tre forhold afgør de fleste svar. Hvad får værktøjet adgang til? Det følger brugerens rettigheder, så rod i adgangene bliver synligt med det samme. Hvad gør leverandøren med oplysningerne? Træning, opbevaring og underdatabehandlere står i aftalen, og vilkårene ændrer sig, så de skal læses igen med mellemrum. Og hvem har ansvaret? Den virksomhed, der tager værktøjet i brug, er som regel dataansvarlig. Rammerne for medarbejdernes brug hører under AI-politik på en side.

Før I tager det i brug

• AI og persondata: fem spørgsmål, før I tager et værktøj i brug Formål, grundlag, leverandørens rolle, modeltræning og sletning, skrevet til private.
• DPO’ens rolle, når virksomheden indfører AI DPO’en rådgiver og kontrollerer, og ledelsen ejer brugen af værktøjet.
• Microsoft Copilot og persondata: det, I skal vurdere før udrulning Rettighederne afgør risikoen, og vilkårene er læst 5. november 2026.
• DPIA for et AI-værktøj med Datatilsynets AI-skabelon Skabelonen fra 2024 brugt på et købt værktøj, med de faner, der er relevante.
• Databehandleraftale med en AI-leverandør: træning, opbevaring og underleverandører Det, der skal læses i aftalen, med eksempler fra november 2026.
• Behandlingsgrundlag, når AI behandler personoplysninger Forskellen på brug og træning, legitim interesse og forslaget om art. 88 bis.

Vejledningen siger, at AI næsten altid vil udløse flere af kriterierne for en konsekvensanalyse. Den tager afsæt i myndighedernes forhold, men ræsonnementet er værd at læse, når I selv skal vurdere om der skal laves en DPIA.

Når værktøjet er i brug

• AI-noter fra møder: optager I kunder og medarbejdere? Grundlag, information til deltagerne, følsomme oplysninger og opbevaring.
• Chatbot i kundeservice: persondata i købte løsninger Roller, oplysningspligt og det, kunderne selv skriver i fritekst.
• AI-agenter med adgang til mail og filer: hvem må hvad? Rettigheder, logning og menneskelig kontrol, når værktøjet handler for brugeren.
• Indsigt og sletning, når data ligger i et AI-værktøj Det, I selv kan levere, og det, I skal have fra leverandøren.

Når noget går galt, og når AI afgør noget

• En medarbejder har lagt persondata i et AI-værktøj: er det et brud? Vurderingen trin for trin, fra spørgsmålet om brud til noten i loggen.
• Automatiske afgørelser: hvornår må en AI træffe beslutningen? Art. 22 i kredit, screening og priser, og hvad et menneske reelt skal gøre.
• AI-forordningen og GDPR: hvem ejer hvad internt? Reglerne side om side, datoerne fra EUT og det, DPO’en bør holde sig til.

Det, der er i bevægelse

Rådets mandat til Digital Omnibus foreslår en ny art. 88 bis, så AI kan bygge på legitim interesse med passende foranstaltninger. Det er et forslag og ændrer ikke kravene i dag. Forordning (EU) 2026/1744 har flyttet datoerne i AI-forordningen. Højrisikoreglerne for systemer i bilag III gælder fra 2. december 2027 og for bilag I fra 2. august 2028. Reglerne om, hvad I må og skal som bruger af et højrisikosystem, er ikke det samme som GDPR, og opgaverne bør ikke uden videre lægges hos DPO’en. Ansvaret for AI-anvendelsen er behandlet under ansvarlig for AI-anvendelse.

Nye værktøjer hører til på dagsordenen, før de bliver købt. Hvor de kommer ind i arbejdet med en DPO i fast rytme, står på DPO as a service.

Også relevant

• Må virksomheden bruge ChatGPT efter GDPR?

Det skal I lade være med

• At rulle et værktøj ud, før adgangene er ryddet op · det viser medarbejderne, hvad de altid har kunnet se.
• At forlade jer på en tidligere læsning af vilkårene · datér den, og læs dem igen.
• At lægge alt om AI hos DPO’en · rollen er rådgivning og kontrol, og brugen hører til ledelsen.

Det skal I kræve af den eksterne

• ☐ En klar adskillelse af regler, forslag og egne vurderinger.
• ☐ Læsning af leverandørens vilkår med dato, uden sammenligninger af produkter.
• ☐ Rådgivning, før værktøjet bliver købt, så valget stadig kan ændres.
• ☐ En kontrol af de rettigheder, værktøjet arver fra brugerne.

Kilder

• Datatilsynet: Kunstig intelligens, herunder vejledningen fra oktober 2023.
• Databeskyttelsesforordningen (EU) 2016/679.
• EDPB: Udtalelse 28/2024 om AI-modeller.
• Forordning (EU) 2026/1744, EUT af 24/7 2026.
• Rådets mandat, ST 14756/26.

Senest gennemgået: november 2026.

Næste skridt

• AI og persondata: fem spørgsmål, før I tager et værktøj i brug
• DPO’ens rolle, når virksomheden indfører AI

Læs også: Tekniske foranstaltninger · Databehandlere og leverandører

→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT