En afgørelse, der alene er baseret på automatisk behandling og har retsvirkning eller på tilsvarende vis betydeligt påvirker personen, må kun træffes i tre situationer efter art. 22 i databeskyttelsesforordningen: når den er nødvendig for en kontrakt, når den er hjemlet i lov, eller når personen har givet udtrykkeligt samtykke. Personen har så ret til menneskelig indgriben, til at sige sin mening og til at bestride afgørelsen. Reglen gælder uanset, om teknikken hedder AI eller et regneark med regler. Vi har ikke fundet en dansk vejledning til private om emnet, så artiklen anvender de almindelige regler. Digital Omnibus kan ændre noget, og status står sidst, opgjort den 5. november 2026.
Det, reglen rammer
Tre ting skal være til stede. Der skal være en afgørelse, den skal alene bygge på automatisk behandling, herunder profilering, og den skal have retsvirkning eller en lignende betydelig følge.
Afgørelsen kan ligge længere fremme i kæden, end man tror. I SCHUFA-sagen, C-634/21 af 7. december 2023, fandt EU-Domstolen, at et kreditoplysningsbureaus automatiske sandsynlighedsværdi er en automatisk afgørelse, når værdien er afgørende for, om en tredjepart indgår, gennemfører eller afslutter en aftale med personen. At et menneske hos kunden formelt trykker på knappen, løser derfor ikke problemet, hvis tallet reelt afgør sagen.
Tre eksempler, som læsere af dette site møder:
- Kreditvurdering. En webshop afviser køb på kredit ud fra en score. Det er sagens kerne, og både den, der laver scoren, og den, der bruger den, må tage stilling.
- Screening af ansøgere. Et system frasorterer kandidater, før nogen læser ansøgningen. WP251, de retningslinjer om automatiske afgørelser, som EDPB’s forgænger skrev, bruger e-rekruttering uden menneskelig indgriben som eksempel. Arbejdsgiverens side af sagen står under AI i rekruttering.
- Prissætning. WP251 siger, at differentierede priser baseret på personoplysninger kan have en betydelig indvirkning, hvis meget høje priser i realiteten holder en person ude fra varen eller tjenesten. Almindelig kampagnepris rammer sjældent reglen, men individuel pris bør vurderes.
Hvad menneskelig medvirken kræver
Har et menneske reelt medvirket, er afgørelsen ikke alene automatisk. WP251 sætter en klar grænse. Den dataansvarlige kan ikke omgå reglen ved at opdigte menneskelig indgriben. Rutinemæssig brug af automatiske profiler uden reel indflydelse tæller som automatisk. Tilsynet med afgørelsen skal være meningsfuldt og må ikke være en tom gestus.
Prøv derfor at svare på tre spørgsmål for hvert system:
- Har personen, der tager stilling, kompetence og mulighed for at ændre resultatet?
- Får personen de relevante oplysninger og tid nok til at se sagen?
- Kan I vise, at resultatet faktisk ændres i nogle sager?
Det sidste er vores eget råd. Bliver systemets anbefaling fulgt i alle sager, er det en grund til at spørge, om medvirken er reel. WP251 anbefaler at registrere omfanget af menneskelig indgriben i konsekvensanalysen, og i hvilken fase den sker. Spørgsmålene gælder også en chatbot i kundeservice, der selv siger nej til en reklamation.
De tre undtagelser
Kontrakt. Afgørelsen skal være nødvendig for at indgå eller opfylde en kontrakt. WP251 siger, at I skal kunne godtgøre det, og at behandlingen ikke er nødvendig, hvis der findes andre effektive og mindre indgribende midler. Se forslaget nedenfor.
Lov. Afgørelsen skal være hjemlet i EU-ret eller national ret med passende beskyttelse af personen.
Samtykke. Det skal være udtrykkeligt, og det er sjældent et godt grundlag, hvor personen ikke har et reelt valg.
Ved kontrakt og samtykke skal I give personen mulighed for menneskelig indgriben, for at sige sin mening og for at bestride afgørelsen (art. 22, stk. 3). Bygger afgørelsen på følsomme oplysninger efter art. 9, gælder de snævre krav i art. 22, stk. 4.
Det, I skal fortælle
Art. 13, stk. 2, litra f, art. 14, stk. 2, litra g, og art. 15, stk. 1, litra h, kræver, at personen får at vide, at automatiske afgørelser findes, og får meningsfulde oplysninger om logikken og de forventede konsekvenser. I C-203/22 af 27. februar 2025 fastslog EU-Domstolen, at personen kan kræve en forklaring af den procedure og de principper, der konkret er brugt til at nå resultatet, i en kortfattet og letforståelig form. Mener I, at svaret rammer forretningshemmeligheder eller andre personer, skal oplysningerne efter samme dom gives til tilsynsmyndigheden eller retten, som foretager afvejningen. Leverandøren af systemet skal altså kunne forklare det, så I kan give svaret. Skriv det ind, når I køber.
Systemet bør også gennem en konsekvensanalyse. Art. 35, stk. 3, litra a, nævner systematiske og omfattende vurderinger, der danner grundlag for afgørelser med retsvirkning eller tilsvarende betydelige følger. AI-forordningens krav til højrisiko-systemer er et andet regelsæt, se AI-forordningen og GDPR.
Forslaget i Digital Omnibus
Den gældende regel er den ovenfor. Digital Omnibus, 2025/0360(COD), er et forslag, og Parlamentets procedurefil viste den 5. november 2026 status “Awaiting committee decision”. Parlamentet har ingen stilling.
Rådets mandat af 22. oktober 2026 (ST 14756/26) fastholder, at art. 22 giver personen en ret, og omskriver ikke bestemmelsen til en regel om, hvornår afgørelser er tilladt. Kommissionens tilføjelse i bestemmelsen om, at det er uden betydning, om afgørelsen kunne træffes på anden måde, er streget. Betragtning 38 i mandatet har dog stadig en foreslået tekst om, at det forhold, at et menneske også kunne træffe afgørelsen, ikke hindrer den dataansvarlige i at gøre det automatisk. Hvor der er flere lige effektive løsninger, skal den mindst indgribende vælges efter samme betragtning.
Teksten kan ændres. Byg jeres vurdering på gældende ret, og kontrollér status, før I ændrer noget.
Sådan går I videre
Lav en liste over systemer, der vurderer eller sorterer personer. Skriv ud for hvert, om et menneske reelt tager stilling, hvilken undtagelse der bruges, og hvad personen får at vide. Bed leverandøren om en forklaring, som kan bruges i et svar til en person. DPO’en rådgiver om vurderingen og om konsekvensanalysen, mens ledelsen beslutter, om systemet må bruges.
Det skal I lade være med
- At sætte et menneske på som stempel · WP251 kalder det at opdigte indgriben.
- At købe et system, ingen kan forklare · I hæfter for svaret til personen.
- At bygge på forslaget · art. 22 gælder uændret, til andet er vedtaget.
Det skal I kræve af den eksterne
- ☐ Rådgivning om, hvornår et system rammer art. 22.
- ☐ Kontrol af, at den menneskelige medvirken er reel og dokumenteret.
- ☐ Teknisk forståelse for, hvad leverandørens forklaring reelt siger.
- ☐ Overvågning af forslaget med dato for seneste kontrol.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 13 til 15, art. 22 og art. 35.
- EU-Domstolen, C-634/21 og C-203/22.
- WP251 på dansk: kapitel IV om automatiske afgørelser.
- Europa-Parlamentet: procedurefil 2025/0360(COD): læst 5/11 2026.
- Rådet: ST 14756/26 af 22/10 2026: betragtning 38 og ændringen af art. 22, læst 5/11 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Behandlingsgrundlag for AI · Digital Omnibus og GDPR
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
