Der findes ikke ét behandlingsgrundlag for AI. Grundlaget følger formålet, så I skal vurdere hver brug for sig med de almindelige regler i art. 6, og art. 9 oveni, hvis der er følsomme oplysninger. For en virksomhed, der bruger et købt værktøj, er spørgsmålet som regel, om den nye brug af oplysningerne har et grundlag, og legitim interesse er ofte det spor, der skal prøves. Træning af modeller er et andet spørgsmål end brug i driften, og lader I leverandøren træne på jeres data, skal det vurderes for sig. Pr. 5. november 2026 er der intet særligt AI-grundlag i GDPR. Forordningen gælder uændret, og den foreslåede art. 88 bis er kun et forslag.
Drift og træning er to behandlinger
Skel mellem tre situationer, for de har hver sit svar:
- Brug af et færdigt værktøj. En medarbejder får et udkast til et svar på en kundehenvendelse. Oplysningerne bruges i driften.
- Tilpasning med egne data. I forbinder værktøjet med jeres dokumenter eller tilpasser en model. Det er stadig jeres formål, men oplysningerne bruges bredere.
- Træning af modeller. Oplysninger indgår i udviklingen af en model. Sker det hos leverandøren til leverandørens formål, er det leverandørens behandling og en videregivelse fra jer.
Datatilsynets skabelon til AI skelner af samme grund mellem udvikling og drift.
Hvilket grundlag i driften?
Kontrakt (art. 6). Grundlaget dækker det, der er nødvendigt for at opfylde aftalen med personen. At AI er praktisk, gør det ikke nødvendigt.
Samtykke (art. 7). Det passer sjældent. Et samtykke skal kunne trækkes tilbage, og oplysningerne skal så ud igen. Over for ansatte er det svært, fordi arbejdsgiver og ansat ikke står lige. Datatilsynet er derfor forsigtig på det område, selv om § 12, stk. 3, i databeskyttelsesloven gør samtykke muligt.
Legitim interesse (art. 6, stk. 1, litra f). Det er det spor, de fleste virksomheder skal prøve. Også en kommerciel interesse kan være legitim efter C-621/22. Den skal være lovlig, behandlingen skal være strengt nødvendig, og personens interesser må ikke veje tungere. Prøven har tre trin:
- Hvad er interessen? Den skal være lovlig, klart beskrevet og reel.
- Er behandlingen nødvendig? Kan formålet nås med færre oplysninger eller på en mindre indgribende måde?
- Hvem vejer tungest? Her tæller personens rimelige forventninger og oplysningernes art.
Ansatte er et særskilt punkt. Databeskyttelseslovens § 12 regulerer behandling i ansættelsesforhold, og AI-værktøjer, der analyserer medarbejderes mail eller møder, kan grænse op til kontrol af ansatte. Se kontrol af medarbejdere. Ved AI-noter fra møder skal grundlaget dække både ansatte og kunder, for alle deltagere er registrerede.
Grundlaget skal også kunne læses i oplysningspligten, og fortegnelsen skal passe. Skriv vurderingen ned, så I kan vise den efter art. 5, stk. 2.
Formålsbegrænsning
Oplysningerne er indsamlet til noget andet. Art. 5, stk. 1, litra b, og art. 6, stk. 4, kræver, at en ny brug er forenelig med det oprindelige formål, eller at den har sit eget grundlag. At lade en assistent i CRM-systemet hjælpe med at besvare den kunde, oplysningerne stammer fra, ligger tæt på. At lade samme assistent sammenstille adfærd for at finde kunder til et nyt produkt, ligger længere væk.
Følsomme oplysninger og CPR
Art. 9 forbyder som udgangspunkt behandling af følsomme oplysninger, og der skal være en undtagelse. Legitim interesse i art. 6 rækker ikke alene. Personnumre har egen regel i § 11, stk. 2, og oplysninger om strafbare forhold i § 8. Skabelonen behandler dem hver for sig. Det enkleste er at holde dem ude af værktøjet. Når fritekst fra kunder eller ansatte løber igennem værktøjet, kan oplysningerne komme med alligevel, og så skal risikoen vurderes.
Når leverandøren vil træne
Står der i vilkårene, at oplysningerne må bruges til at forbedre modeller, er det leverandørens eget formål. Det kræver efter vores vurdering en selvstændig stillingtagen fra jer: hvilket grundlag har I for at videregive, og er det foreneligt med formålet? For de fleste virksomheder er svaret at slå det fra eller vælge en aftale uden, se databehandleraftale med en AI-leverandør.
EDPB’s udtalelse 28/2024 handler om det spørgsmål, der ligger hos dem, der træner modeller. Den siger, at legitim interesse kan være et muligt grundlag efter den trefasede prøve, og at der ikke er nogen rangorden mellem grundlagene. Den, der tager en model i brug, er også berørt. Er personoplysninger stadig i modellen, og er den udviklet ulovligt af en anden, bør tilsynet ifølge udtalelsen se på, om virksomheden har foretaget en passende vurdering af det, med et omfang der følger risikoen. Læs leverandørens oplysninger om datakilder, og notér, om der er kendte afgørelser.
Forslaget om art. 88 bis
Digital Omnibus er et forslag til ændring af blandt andet GDPR. Rådets mandat (ST 14756/26 af 22. oktober 2026) foreslår en ny art. 88 bis. Efter den skal legitim interesse kunne bruges, når AI udvikles og drives, forudsat passende foranstaltninger, herunder indsigelse efter art. 21. Ifølge teksten ændrer det ikke valget af grundlag. Mandatet foreslår også en regel i art. 9, stk. 2, litra k, om tilfældige restdata.
Parlamentet har ingen stilling. Procedurefilen viste den 5. november 2026 “Awaiting committee decision”. Intet er vedtaget, og vurderinger skal laves efter de gældende regler. Status bør slås op igen, før I bygger noget på forslaget. Se Digital Omnibus og GDPR.
Det skal I lade være med
- At skrive “legitim interesse” uden vurdering · afvejningen er selve grundlaget og skal kunne fremvises.
- At regne samtykke som den sikre vej · det kan trækkes tilbage, og det er svagt i et ansættelsesforhold.
- At vurdere efter et forslag · gældende ret afgør, hvad I må i dag.
Det skal I kræve af den eksterne
- ☐ Rådgivning om afvejningen for hver brug, så virksomheden kan gemme den i dokumentationen.
- ☐ Gennemgang af, om oplysningspligt og fortegnelse skal rettes.
- ☐ Opfølgning, når Digital Omnibus ændrer status.
- ☐ Henvisning til advokat, hvor vurderingen er tvivlsom.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679: art. 5, 6, 7 og 9.
- Databeskyttelsesloven, LBK nr. 289 af 8/3 2024: §§ 8, 11 og 12.
- EU-Domstolen, C-621/22, 4/10 2024.
- EDPB: Udtalelse 28/2024 om AI-modeller, sammenfatningen læst 5/11 2026.
- Rådet: ST 14756/26 af 22/10 2026 (forslag).
- Parlamentets procedurefil 2025/0360(COD), læst 5/11 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: AI og persondata: fem spørgsmål · Automatiske afgørelser
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
