Køber I en chatbot til kundeservice, er I som udgangspunkt dataansvarlige for det, kunderne skriver til den, og leverandøren er databehandler. Det betyder, at I skal have en databehandleraftale, oplyse kunderne om behandlingen, begrænse, hvad botten gemmer, og vide, hvad der sker, når en kunde skriver noget følsomt i fritekstfeltet. Efter AI-forordningen skal systemet desuden fortælle, at det er AI. Der er ingen dansk vejledning til private om chatbots og GDPR, så det følgende er de almindelige regler. Bygger I selv botten ind i et produkt, I sælger, gælder der andre spørgsmål, som cto-siden om chatbots tager op.
Hvem har hvilken rolle?
Fastlægger I, hvad botten skal bruges til, og leverandøren alene leverer tjenesten efter jeres instruks, er rollerne klare. Art. 28 gælder, og aftalen skal være indgået, før botten går i luften.
Hold øje med tre ting i vilkårene. Bruger leverandøren samtaler til at forbedre egne modeller, gælder art. 28, stk. 10, for den del. Er der en underleverandør bag modellen, skal den fremgå. Og ligger behandlingen uden for EU, skal kapitel V være opfyldt. Punkterne er gennemgået i databehandleraftale med en AI-leverandør.
Det, kunderne skriver
En formular kan afgrænses med faste felter. En chat kan ikke. Kunder skriver navne, adresser, ordrenumre, personnumre og fortællinger om, hvorfor de har brug for hjælp. Hos en tandlæge, en forsikringsmægler eller en boligforening kan det hurtigt blive helbred, økonomi eller familieforhold.
Art. 9 gælder følsomme oplysninger, også når kunden selv har skrevet dem. Personnumre har egen regel i databeskyttelseslovens § 11. Det kan I gøre ved det:
- Skriv i starten af samtalen, hvad botten er til, og bed kunden om ikke at oplyse følsomme forhold eller personnummer.
- Brug filtre, hvis løsningen har dem, der fjerner eller maskerer numre, før de gemmes.
- Lad botten sende samtalen videre til et menneske, når emnet kræver det.
- Hold logs og historik korte.
Vurdér, om oplysninger i fritekst stadig kan ende i værktøjet, og skriv det ned. I brancher, hvor følsomme oplysninger er det normale, bør I vurdere, om en konsekvensanalyse efter art. 35 er nødvendig. Se DPIA for et AI-værktøj.
Grundlag og oplysningspligt
At besvare en henvendelse fra en kunde vil ofte kunne hvile på aftalen eller på legitim interesse. Bruger I samtalerne til noget andet, fx til at lave analyser af kunder eller til markedsføring, er det et nyt formål med egen vurdering. Se behandlingsgrundlag for AI.
Art. 13 kræver oplysning, når oplysningerne indsamles. Det er ikke nok at have en linje i en privatlivspolitik, som ingen ser i chatten. Link til den information i selve vinduet, og fortæl kort, hvem der står bag, hvad samtalen bruges til, hvor længe den gemmes, og at en leverandør behandler den.
AI-forordningen
Art. 50, stk. 1, i AI-forordningen gælder siden 2. august 2026. En kunde, der taler direkte med et system, skal have at vide, at modparten er AI, hvis det ikke er åbenlyst, og beskeden skal komme klart senest ved første interaktion. Pligten ligger på udbyderen, så I bør spørge, hvordan løsningen opfylder den, og hvad I selv skal gøre. Bruger I botten under eget navn, er grænsen mellem udbyder og den, der blot anvender systemet, ikke afklaret i vejledning. Hvor langt I er ude, kan være et spørgsmål til advokat. Hvem der ejer hvad internt, står i AI-forordningen og GDPR.
Det danske tilsyn med reglen skal I ikke regne som afgjort, så slå det op, når I skal bruge det.
Beslutninger med betydning
En chatbot, der svarer på åbningstider, er harmløs. Træffer den afgørelser, fx afviser en reklamation eller et krav på refusion uden menneskelig medvirken, kan art. 22 komme i spil, hvis afgørelsen betyder noget væsentligt for kunden. Lad i så fald et menneske tage den endelige beslutning, og giv kunden en let vej til det. Se automatiske afgørelser.
Botten kan også tage fejl. Oplysninger om personer skal være korrekte efter art. 5, stk. 1, litra d, så svar om kundens egen sag bør hentes fra jeres systemer og kontrolleres, og botten må ikke gætte. Hvis den kobles til CRM eller ordresystem, skal adgangen begrænses til den kunde, der er i samtalen. Det kræver sikker identifikation. Ellers kan en person få oplysninger om en anden.
Opbevaring, indsigt og fejl
Fastsæt en opbevaringstid efter art. 5, stk. 1, litra e, og tjek, at den gælder hos leverandøren, også i logs. Samtaler er personoplysninger, så en kunde kan bede om indsigt og sletning. Det er lettere, når I kan finde samtalen, se indsigt og sletning i AI.
Kommer botten til at vise en kundes oplysninger til en anden, er det et brud, der skal vurderes og noteres, se er det et brud?. Aftal med leverandøren, hvordan I får besked.
Beslut, hvem der ejer botten efter lanceringen. Ledelsen godkender brugen, kundeservice ejer indholdet, og IT ejer integrationerne. Gennemgå stikprøver af samtaler jævnligt for at se, hvad kunderne faktisk skriver. Det viser, om jeres regler holder.
Det skal I lade være med
- At lade botten slå op i kundesystemet uden identifikation · så kan den vise en kundes oplysninger til en anden.
- At gemme alle samtaler uden slutdato · fritekst rummer mere, end I regner med.
- At bruge samtaler til nye formål uden vurdering · kundeservice er ét formål, analyse er et andet.
Det skal I kræve af den eksterne
- ☐ Gennemgang af aftalen med chatbotleverandøren og af, om træning er slået fra.
- ☐ Rådgivning om teksten til oplysningspligten i chatvinduet.
- ☐ En vurdering af, om løsningen kræver en konsekvensanalyse.
- ☐ Kontrol af opbevaring, logs og adgang til kundesystemer.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679: art. 5, 9, 13, 22, 28 og 35.
- Databeskyttelsesloven, LBK nr. 289 af 8/3 2024: § 11.
- AI-forordningen, art. 50, Kommissionens AI Act Service Desk (ikke retskilde).
Senest gennemgået: november 2026.
Næste skridt
Læs også: Oplysningspligten · Databehandleraftale med en AI-leverandør
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
