Ja, en virksomhed må gerne bruge ChatGPT efter GDPR, når fire ting er på plads: et behandlingsgrundlag for de personoplysninger, der indgår, en databehandleraftale, der dækker kontoen, viden om, hvor oplysningerne behandles, og en plads i jeres dokumentation. Mangler en af delene, hører personoplysninger ikke hjemme i værktøjet. Spørgsmålet om, hvorvidt ChatGPT overholder GDPR, har derfor intet fælles svar. Forordningen stiller krav til den konkrete behandling, og det er jeres behandling, I skal kunne forklare.
Datatilsynet har efter vores søgning ingen vejledning til private virksomheder om ChatGPT, så artiklen anvender de almindelige regler. Den handler om lovligheden. Rammerne for medarbejderne og sikkerhedsreglerne for generativ AI står andre steder.
Det, beskrivelsen bygger på
Oplysningerne om OpenAI stammer fra tjenesteaftalen og databehandlertillægget, begge gældende fra 1. januar 2026, listen over underdatabehandlere, opdateret 14. oktober 2026, siden om privatliv for virksomheder, opdateret 8. januar 2026, EU-privatlivspolitikken, vilkårene for brug i Europa, opdateret 16. januar 2026, samt sikkerhedsportal og dokumentation, alt læst 6. november 2026 i de danske udgaver. Læs den version, der gælder for jer, på beslutningsdagen. Artiklen vurderer ikke produktet.
Privat konto eller virksomhedens aftale
Start med at finde ud af, hvilken konto oplysningerne lander på. EDPB’s arbejdsgruppe om ChatGPT beskrev i sin foreløbige rapport fra maj 2024 OpenAI som dataansvarlig for tjenesten. Rapporten oplyser også, at brugernes indhold blev anvendt til at træne modellen med legitim interesse som grundlag, og at brugeren kunne fravælge det. Teksten er over to år gammel. OpenAI’s EU-privatlivspolitik siger i dag, at det indhold, brugeren giver, kan bruges til at træne modellerne, og at brugeren kan fravælge det.
Vilkårene for brug i Europa gælder tjenester til enkeltpersoner og henviser virksomheder til tjenesteaftalen. Skriver en medarbejder kundeoplysninger ind på en privat konto, har virksomheden ingen aftale med OpenAI om dem. Efter vores læsning er det en videregivelse til en anden dataansvarlig, og den kræver sit eget grundlag. Er det allerede sket, står vurderingen under persondata i et AI-værktøj.
Databehandleraftale og træning
Behandler OpenAI personoplysninger på jeres vegne, er selskabet databehandler, og art. 28, stk. 3, kræver en aftale. Tjenesteaftalen gælder API’er, ChatGPT Enterprise, ChatGPT Business og andre tjenester til virksomheder og udviklere, og den gælder ikke for forbrugere. Databehandlertillægget er en del af den aftale. For kunder i EØS er aftaleparten OpenAI Ireland Ltd., og irsk ret gælder. Find ud af, hvem hos jer der har accepteret vilkårene, og om jeres abonnement er omfattet.
Om træning siger tjenesteaftalen, at OpenAI ikke bruger kundeindhold til at udvikle eller forbedre tjenesterne, medmindre kunden udtrykkeligt accepterer det. Siden om privatliv siger, at data som standard ikke bruges til træning. Tjek derfor, om nogen hos jer har sagt ja til deling af data, for det ændrer billedet. Hvidbogen beder selv kunden om at bekræfte plan, tjeneste, type af oplysninger, aftale og opsætning, og den skriver, at beskyttelsen ikke automatisk følger med til filer på ustyrede enheder, tredjepartssystemer og eksporterede data.
Tillægget har de punkter, art. 28 kræver. OpenAI giver besked om brud uden unødig forsinkelse, kunden kan gøre indsigelse mod en ny underdatabehandler inden for 30 dage, og revision sker for kundens egen regning. Nogen hos jer skal modtage og læse varslerne. Gennemgå resten efter listen i databehandleraftale med en AI-leverandør.
Opbevaring og tredjeland
Dokumentationen til funktionen ChatGPT Work skriver, at samtaler følger arbejdsrummets indstilling for opbevaring. Slettede samtaler planlægges normalt til permanent sletning inden for 30 dage, med undtagelser af hensyn til sikkerhed, jura og afidentificering. En fil i biblioteket forsvinder ikke, fordi samtalen slettes. Ved API’et gemmes logfiler til overvågning af misbrug som udgangspunkt i op til 30 dage. Fristerne skal stemme med jeres slettepolitik, og nogen skal kunne finde oplysningerne, når en person beder om indsigt eller sletning.
Listen over underdatabehandlere viser udbydere, produkter og behandlingssteder pr. tjeneste, så læs den for de tjenester, I bruger. Mulighederne for at vælge region afhænger af produkt, opsætning og berettigelse, og for API’et skriver portalen, at noget data og noget behandling forbliver uden for valget. Tillægget siger, at overførsler ud af EØS sker på grundlag af standardkontraktbestemmelser eller en afgørelse om tilstrækkelighed. Et selskab i Irland afgør ikke i sig selv, om oplysninger overføres, for underdatabehandlere kan ligge andre steder. Gælder kapitel V, skal I kunne vise grundlaget. Læs mere under amerikansk leverandør med data i EU og Data Privacy Framework. Vurderingen af overførslen er jeres.
Det, der ligger hos jer
Selv en velskrevet aftale overlader en stor del af arbejdet til virksomheden.
- Grundlag. Hvert formål skal have et grundlag efter art. 6. Oplysninger efter art. 9, fx helbred, kræver mere. Se behandlingsgrundlag, når AI behandler personoplysninger.
- Oplysningspligt. Kunder og ansatte skal have besked efter art. 13 og 14, når behandlingen indgår i det, I gør med deres oplysninger.
- Fortegnelsen. Brugen skal stå der med formål, kategorier og modtagere.
- Konsekvensanalyse. Art. 35 afhænger af jeres brug. Se DPIA for et AI-værktøj.
To forhold er særlige for sprogmodeller. EDPB’s rapport påpeger, at svarene kan være forudindtagede eller opdigtede, og at de let bliver taget for gode varer. Bruges et svar om en person, gælder kravet om rigtige oplysninger i art. 5, stk. 1, litra d, stadig hos jer. EDPB’s udtalelse 28/2024 tager desuden stilling til den, der tager en model i brug, når personoplysninger er fastholdt i modellen. Tilsynet bør her se på, om virksomheden har lavet en passende vurdering af, om modellen er udviklet ulovligt. Omfanget følger risikoen ved jeres brug, og konkrete afgørelser mod udbyderen indgår i vurderingen.
Kan ingen hos jer eje de punkter, er næste spørgsmål, om I skal have en DPO. Det afgøres af betingelserne i art. 37, og ChatGPT ændrer dem ikke i sig selv.
Det skal I lade være med
· At tage en sikkerhedscertificering som svar på GDPR. Art. 28 kræver bestemte vilkår, og jeres egen vurdering skal stadig kunne vises.
· At lade en medarbejder acceptere vilkårene på virksomhedens vegne. Ledelsen skal kende aftalen.
· At bygge vurderingen på en gammel gennemlæsning. Skriv dato og version på, og læs igen, når produktet ændrer sig.
Det skal I kræve af den eksterne
- ☐ En dateret gennemlæsning af tillæg, tjenesteaftale og listen over underdatabehandlere, som de ser ud hos jer.
- ☐ Rådgivning om grundlag, oplysningspligt og konsekvensanalyse for de formål, I faktisk bruger værktøjet til.
- ☐ En liste over forskelle mellem dokumentationen og kontraktteksten.
- ☐ Kontrol af, hvilke konti der bruges, og hvem der har accepteret vilkårene.
- ☐ Råd fra en rådgiver uden forhandleraftaler.
Kilder
OpenAI-kilderne er læst 6. november 2026. Dokumentationen og hvidbogen bærer ingen dato.
- OpenAI: Tjenesteaftale: gældende fra 1. januar 2026.
- OpenAI: Tillæg om databehandling: gældende fra 1. januar 2026.
- OpenAI: Liste over underdatabehandlere: opdateret 14. oktober 2026.
- OpenAI: Virksomhedsbeskyttelse af privatliv: opdateret 8. januar 2026.
- OpenAI: EU-privatlivspolitik.
- OpenAI: Vilkår for brug i Europa: opdateret 16. januar 2026.
- OpenAI: Sikkerhedsportal: afsnittene om GDPR, Model Training, Data Deletion / Data Retention, Data Residency og Cloud Infrastructure.
- OpenAI: ChatGPT Work cloud security: træning, opbevaring og sletning.
- OpenAI: ChatGPT Work, Enterprise Security Overview: hvidbog.
- OpenAI: Data controls in the OpenAI platform: API’et.
- OpenAI Services Agreement Security Measures: sikkerhedsbilag.
- Databeskyttelsesforordningen (EU) 2016/679: art. 5, 6, 9, 13, 14, 28, 30, 35, 37 og kapitel V.
- EDPB: Report of the work undertaken by the ChatGPT Taskforce: 23. maj 2024, foreløbige synspunkter.
- EDPB: Udtalelse 28/2024 om AI-modeller: december 2024.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Leverandørens standardaftale · DPO’ens rolle, når virksomheden indfører AI
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
