Når virksomheden indfører AI, skal DPO’en rådgive om persondata og kontrollere, at reglerne følges. Beslutningen om værktøjet, formålet og opsætningen ligger hos ledelsen og den, der ejer brugen af AI. Den grænse er værd at holde fast i, for en DPO, der vælger værktøjet, skal senere kontrollere sit eget valg. I praksis handler det om tre ting: at DPO’en kommer ind, før aftalen er underskrevet, at DPO’en får de oplysninger, der skal til, og at rådgivningen bliver skrevet ned.
Ingen dansk vejledning beskriver DPO’ens rolle ved AI i private virksomheder. Det følgende er art. 38 og 39 anvendt på emnet.
Det, forordningen siger
Art. 39, stk. 1, litra a og b, giver DPO’en to opgaver: at rådgive og at overvåge. Art. 39, stk. 1, litra c, tilføjer rådgivning om konsekvensanalyser og overvågning af, at de gennemføres. Art. 35, stk. 2, pålægger den dataansvarlige at søge DPO’ens råd, når en analyse laves. Efter art. 38, stk. 1, skal inddragelsen være tilstrækkelig og rettidig, og stk. 2 giver adgang til oplysninger og behandlingsaktiviteter.
Datatilsynets vejledning er konkret om tidspunktet. DPO’en skal med, inden der besluttes foranstaltninger i systemerne, inden der kommer nye retningslinjer, og inden noget købes. Er systemet købt, er det for sent. Ved AI er det punkt særligt svært, fordi nye funktioner kan dukke op i programmer, I allerede bruger, uden at der ligger et indkøb bag. Det gælder også værktøjer, der selv handler, som AI-agenter med adgang til mail.
Sådan ser rollen ud i praksis
Før valget. DPO’en stiller spørgsmålene om formål, grundlag, leverandørens rolle, træning og sletning og giver en skriftlig vurdering af risikoen. DPO’en læser databehandleraftalen og siger, hvor den ikke svarer på det, I har brug for. Valget træffer ledelsen.
Under konsekvensanalysen. Virksomheden laver analysen. DPO’en rådgiver om, hvorvidt den skal laves, om fremgangsmåden, om foranstaltningerne, og om den er korrekt gennemført. Datatilsynets skabelon til AI har et felt til DPO’ens synspunkter, og det bør udfyldes.
I reglerne for medarbejderne. Ledelsen fastsætter rammerne. DPO’en læser udkastet og kommenterer det, der angår persondata, fx hvilke oplysninger der ikke må lægges ind.
Efter udrulningen. DPO’en kontrollerer, om virkeligheden svarer til beslutningen. Med IT-baggrund kan det være at bede om at se rettigheder, logs og opsætning, frem for at nøjes med at læse politikken. Det er vores arbejdsmetode og står ikke i nogen vejledning, men art. 39, stk. 1, litra b, og art. 38, stk. 2, giver grundlaget. DPO’en bør se resultatet og lade virksomheden trække det ud, så DPO’en ikke selv driver systemet.
Ved fejl. Lægger en medarbejder oplysninger ind i et værktøj, I ikke har aftale med, skal det vurderes som et muligt brud. Virksomheden beslutter, og DPO’en orienteres efter proceduren.
Grænsen mod den AI-ansvarlige
GDPR kræver ingen AI-ansvarlig, men en virksomhed kan vælge at udpege en. Personen ejer brugen: værktøjer, oplæring, opfølgning. Spørgsmålet om, hvem der skal eje brugen af AI, er en ledelsesbeslutning. DPO’en bør ikke være den person, og grunden står i art. 38, stk. 6: andre opgaver må ikke medføre en interessekonflikt.
I X-FAB (C-453/21) slog EU-Domstolen fast, at DPO’ens øvrige opgaver ikke må gå ud på at fastlægge formål og hjælpemidler, og at det afgøres fra sag til sag. Datatilsynet peger på samme problem i sin FAQ: en konflikt kan opstå, når samme person først rådgiver om et tiltag, er med til at gennemføre det og siden skal evaluere det. Beder ledelsen DPO’en om at “stå for AI”, bør svaret være at dele opgaven op.
Fordelingen kan se sådan ud:
- Ledelsen: godkender værktøjer og formål og bærer ansvaret.
- Ejeren af AI: driver brugen, oplæringen og opfølgningen.
- IT: opsætning, rettigheder, logning og den praktiske kontakt til leverandøren.
- DPO’en: rådgiver om persondata, kontrollerer og rapporterer til øverste ledelse.
AI-færdigheder efter art. 4 i AI-forordningen er derfor heller ikke DPO’ens opgave, selv om træning i databeskyttelse kan indgå. Hvem der gør hvad efter de to regelsæt, står i AI-forordningen og GDPR.
Når råd ikke følges
Kommer ledelsen til et andet resultat end DPO’en, er det ledelsens ret. Efter WP243 er det god praksis at skrive ned, hvorfor rådet ikke blev fulgt. Det er særligt relevant ved AI, hvor presset for at komme i gang kan være stort. Et kort notat med råd, beslutning og begrundelse beskytter både virksomheden og DPO’ens uafhængighed. Forløbet står i Når ledelsen ikke følger DPO’ens råd.
Har I ingen DPO?
De fleste private virksomheder har ingen pligt til at have en DPO, og AI ændrer ikke de tre betingelser i sig selv. Bruger I AI uden en DPO, skal nogen stadig stille de samme spørgsmål, og det bør være en anden end den, der gerne vil have værktøjet. Med en ekstern DPO kan nye værktøjer være et fast punkt hver måned, se DPO as a service. Datatilsynet og Digitaliseringsstyrelsen har desuden en regulatorisk sandkasse for AI, hvor virksomheder kan få adgang til vejledning.
Det skal I lade være med
- At sende DPO’en en aftale dagen før underskrift · det er ingen rettidig inddragelse.
- At gøre DPO’en til projektleder på AI · så skal DPO’en kontrollere sit eget arbejde.
- At lade rådgivningen stå i mundtlige møder · uden notat kan I ikke vise, at den fandt sted.
- At overse funktioner i eksisterende systemer · en ny assistent i et kendt program kræver også en vurdering.
Det skal I kræve af den eksterne
- ☐ En klar aftale om, hvornår DPO’en skal høres ved nye AI-funktioner.
- ☐ Skriftlige vurderinger, som ledelsen kan beslutte på.
- ☐ Kontrol af opsætning og rettigheder efter udrulningen, med virksomheden ved tasterne.
- ☐ Besked, hvis opgaven nærmer sig at vælge eller drive selv.
- ☐ Rapportering til øverste ledelse om brugen af AI og afvigelser.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679: art. 35, stk. 2, og art. 38 og 39.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er) og vejledningen fra december 2017, afsnit 5.3.
- WP243 på dansk: afsnit 3.1.
- EU-Domstolen, C-453/21 (X-FAB), 9/2 2023: præmis 44 og 45.
- Datatilsynet: Skabelon til konsekvensanalyse ved AI, 22/5 2024.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvornår skal DPO’en inddrages? · Det, en DPO ikke skal lave for jer
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
