En databehandleraftale med en AI-leverandør skal opfylde de samme krav som enhver anden aftale efter art. 28, stk. 3. Forskellen ligger i, hvad I skal læse efter. Seks punkter afgør, om aftalen passer til jeres brug: hvilken konto den gælder for, om jeres data bruges til træning, om alle funktioner er dækket, hvad bilaget siger om følsomme oplysninger, hvor længe data opbevares, og hvordan underdatabehandlere skiftes. Dertil kommer overførsel, brud og kontrol. Læser I punkterne med jeres egen brug i hånden, ser I hurtigt, hvor standardaftalen ikke svarer.
AI-leverandører tilbyder som regel deres egen standardaftale. Datatilsynets vejledning om cloud fra 2022 siger, at standardvilkår kan leve op til reglerne, men at det altid er den dataansvarliges pligt at være betrygget og kunne dokumentere det. Der findes ingen dansk vejledning til private om netop AI-leverandører, så teksten her bygger på de almindelige regler.
Punkterne gælder uanset leverandør, og derfor nævnes ingen ved navn. Vilkår ændrer sig, så læs den version, der gælder for jer, den dag I beslutter.
Hvilken konto gælder aftalen for?
Start her. Leverandører skelner ofte mellem erhvervsvilkår og forbrugervilkår. En medarbejder med en privat konto står derfor uden for virksomhedens aftale, også selv om navnet på produktet er det samme.
Find ud af, hvilken aftale der dækker hvilken licens, og hvem der har accepteret den. Er tjenesten købt online, kan det være en enkelt medarbejder, der har accepteret den ved et klik. Art. 28, stk. 9, tillader elektronisk form, men ledelsen skal kende aftalen.
Træning
Aftalen skal sige, om jeres data bruges til at træne modeller. Spørg til prompts, svar og de data, værktøjet henter i jeres systemer.
Vær opmærksom på, hvor et sådant løfte står, for en kontraktbestemmelse giver jer mere end en hjælpeside, og begge dele kan ændres. Tjek også feedback, der kan have egne regler. Bruger leverandøren data til egne formål, gælder art. 28, stk. 10, se leverandøren bruger jeres data til egne formål.
Er alle funktioner dækket?
Ét produkt kan rumme flere roller. Leverandøren kan være databehandler for selve værktøjet og selvstændigt dataansvarlig for en funktion ved siden af, fx websøgning. Det skal ind i jeres vurdering af, om funktionen skal være slået til. Se efter det samme ved tilføjelser, forbundne apps og modeller fra tredjepart. En model fra en anden leverandør kan også ligge uden for det løfte om databehandling i EU, resten af produktet har. Sådanne forhold ændrer sig med produktet.
Bilaget om behandlingen
Art. 28, stk. 3, kræver, at aftalen beskriver behandlingens genstand, varighed, art og formål, typen af oplysninger og kategorier af registrerede. Det afsnit er let at springe over. Standardbilag kan overlade kategorierne til kunden og samtidig udelukke særlige kategorier af personoplysninger. Skal jeres brug omfatte helbredsoplysninger eller andet efter art. 9, har I et spørgsmål til leverandøren, før I går videre. Læs bilaget op imod jeres faktiske brug.
Opbevaring og sletning
Find to svar: hvor længe indhold opbevares under aftalen, og hvad der sker ved ophør. Sletning ved ophør har ofte undtagelser, fx hvis opbevaring er nødvendig for at bekæmpe misbrug af tjenesten. Sådanne undtagelser skal med i jeres beskrivelse af, hvor længe oplysninger kan ligge hos leverandøren. Tjek også samtalehistorik og logs, som I selv kan skulle styre.
Underdatabehandlere
Art. 28, stk. 2, tillader en generel godkendelse med varsel og mulighed for indsigelse. Find fristen for indsigelse, og hvad der sker, hvis I ikke reagerer. Tavshed tæller ofte som godkendelse. Det stiller krav til jer, for nogen skal modtage varslet og læse det. Identiteten på alle i kæden bør ifølge EDPB’s udtalelse 22/2024 være lettilgængelig for den dataansvarlige. Se underdatabehandlere.
Overførsel, brud og kontrol
Ligger leverandøren uden for EU, skal der være et grundlag efter kapitel V. Se efter, om standardkontrakterne fra 2021 er en del af aftalen, og om leverandøren lover oplysninger til en vurdering af overførslen. Selve vurderingen er jeres. Se data i EU hos en amerikansk leverandør.
Se også efter fristen for besked om brud. Art. 33, stk. 2, siger uden unødig forsinkelse, og den dataansvarlige bør i princippet anses for bekendt med bruddet, når databehandleren har informeret, så jeres 72 timer efter art. 33, stk. 1, løber derfra. Står der en fast frist i aftalen, skal den passe med jeres egen procedure. Om kontrol skal I finde ud af, om I kun får revisionsrapporter, eller om I også kan gennemføre en egentlig revision, og hvem der betaler. Hjælp til konsekvensanalyse, som art. 28, stk. 3, litra f, kræver, bør stå udtrykkeligt.
Det kan I gøre, når aftalen ikke passer
Datatilsynet peger i sine fokusområder for 2026 på, at kunder hos store databehandlere mødes af uniforme leverancer og vanskelig instruktion. Kan aftalen ikke ændres, er der tre veje: at ændre brugen, så aftalen passer, fx ved at holde følsomme oplysninger ude, at vælge en anden løsning, eller at notere risikoen og lade ledelsen tage stilling. Den sidste vej er kun mulig, så længe aftalen stadig opfylder art. 28. Mere om leverandørens standardaftale står særskilt.
Det skal I lade være med
- At tro, at et certifikat erstatter aftalen · art. 28 kræver bestemte vilkår, og en rapport ændrer ikke på det.
- At acceptere ved et klik uden at læse bilaget · det er der, behandlingen står beskrevet.
- At lade varsler om underdatabehandlere gå til en postkasse, ingen læser · fristen for indsigelse løber alligevel.
Det skal I kræve af den eksterne
- ☐ Gennemgang af den aktuelle aftale med dato og version.
- ☐ En liste over forskelle mellem aftalen og jeres faktiske brug.
- ☐ Rådgivning om konkrete krav, mens virksomheden selv indgår aftalen.
- ☐ Råd om leverandører fra en rådgiver uden forhandleraftaler.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679: art. 28, art. 33 og kapitel V.
- Datatilsynet: Vejledning om cloud, marts 2022.
- Datatilsynet: Fokusområder 2026.
- EDPB: Udtalelse 22/2024 og retningslinjer 9/2022.
Senest gennemgået: november 2026.
Næste skridt
Læs også: DPIA for et AI-værktøj · AI og persondata: fem spørgsmål
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
