AI-automatisering og GDPR: Hvad skal du være opmærksom på?

AI-automatisering kan spare meget tid, men når der behandles persondata, er der regler, du skal overholde. Den gode nyhed er, at GDPR ikke står i vejen for automatisering, hvis du tænker databeskyttelse ind fra starten.

I dette indlæg gennemgår vi de vigtigste punkter, du skal være opmærksom på, når du automatiserer processer med AI. Indlægget er ikke juridisk rådgivning, men en praktisk gennemgang af det, vi selv tager stilling til i vores projekter.

Hvornår er GDPR relevant?

GDPR gælder, når der behandles personoplysninger, altså oplysninger, der kan knyttes til en person. Det omfatter fx navne, e-mailadresser, telefonnumre, kundehistorik og indholdet i en kundemail.

Mange automatiseringer behandler persondata, også selvom det ikke er hovedformålet. En automatisering, der sorterer kundemails, behandler indholdet af mails fra rigtige personer. Derfor skal GDPR med i overvejelserne fra start.

7 ting, du skal være opmærksom på

1. Behandlingsgrundlag

Du skal have et lovligt grundlag for at behandle oplysningerne. Bruger du allerede oplysningerne til et formål, fx at håndtere en kundehenvendelse, vil automatisering af den samme opgave typisk kunne ske på det samme grundlag. Bruges data til et nyt formål, skal du vurdere, om det er foreneligt med det oprindelige.

2. Dataminimering

Brug kun de oplysninger, der er nødvendige. Skal en AI-model klassificere en henvendelse, er det ikke sikkert, at den behøver kundens fulde navn, adresse og kundehistorik. Jo færre data, jo mindre risiko.

3. Databehandleraftaler

Bruger du en ekstern leverandør, fx en AI-tjeneste eller en hostingudbyder, behandler de data på dine vegne. Så skal der være en databehandleraftale, der beskriver, hvad de må og ikke må med oplysningerne. Ligger data hos en hostingudbyder, kan du læse, hvorfor serverplaceringen betyder noget, i vores indlæg om GDPR og dansk hosting.

4. Hvor ligger data?

Undersøg, hvor data behandles og opbevares. Overføres oplysninger til lande uden for EU/EØS, skal der være et gyldigt overførselsgrundlag. Vælg gerne leverandører, der kan behandle data inden for EU.

5. Bruges data til træning?

Nogle AI-tjenester kan bruge de data, du sender ind, til at forbedre deres modeller. Til forretningsbrug bør du vælge løsninger og indstillinger, hvor jeres data ikke bruges til træning, og hvor det fremgår tydeligt af vilkårene.

6. Automatiske afgørelser

GDPR har særlige regler for afgørelser, der udelukkende træffes automatisk og har betydelige konsekvenser for en person, fx afslag på en ansøgning. Lad derfor et menneske træffe de vigtige beslutninger, og brug AI til at forberede dem.

7. Sletning og opbevaring

Data skal slettes, når der ikke længere er brug for dem. Det gælder også data i logfiler, mellemlagre og de systemer, automatiseringen sender data videre til. Fastlæg slettefrister fra start.

Hvornår skal man lave en konsekvensanalyse?

Hvis en behandling sandsynligvis indebærer en høj risiko for personers rettigheder, skal der laves en konsekvensanalyse (DPIA). Det kan fx være relevant, hvis der behandles følsomme oplysninger eller store mængder data, eller hvis ny teknologi bruges på en måde, der kan påvirke personer væsentligt.

Datatilsynet har vejledninger, der kan hjælpe dig med at vurdere, om det er nødvendigt.

AI-forordningen

Ud over GDPR gælder EU’s AI-forordning (AI Act), som stiller krav til AI-systemer afhængigt af, hvor stor en risiko de udgør. Siden 2. februar 2025 har forbuddene mod visse former for AI og kravet om AI-kompetencer (art. 4) gældt: Bruger I AI, skal medarbejderne forstå værktøjerne godt nok til at bruge dem forsvarligt. Fra 2. august 2026 gælder gennemsigtighedskravene i art. 50, fx at folk skal kunne se, at de taler med en chatbot, og at AI-genereret indhold skal kunne genkendes. EU’s digitale omnibus om AI (forordning 2026/1744, i kraft 27. juli 2026) har justeret tidslinjen: AI-systemer, der allerede var på markedet før 2. august 2026, har frist til 2. december 2026 med den maskinlæsbare mærkning af genereret indhold, kravet i art. 4 er gjort lettere at leve op til, og reglerne for højrisiko-systemer er udskudt til 2. december 2027 og 2. august 2028. De fleste interne automatiseringer, som sortering af mails eller registrering af data, vil typisk ligge i de lavere risikokategorier. Men det er værd at holde øje med reglerne, især hvis AI bruges i direkte kontakt med kunder eller til beslutninger om personer. Se tidslinjen hos EU-Kommissionen og omnibus-forordningen på EUR-Lex.

Tjekliste før du automatiserer

• Hvilke personoplysninger indgår i processen?
• Hvad er behandlingsgrundlaget?
• Kan der bruges færre data?
• Hvilke leverandører er involveret, og er der databehandleraftaler?
• Hvor behandles og opbevares data?
• Bruges data til træning af AI-modeller?
• Træffes der automatiske afgørelser om personer?
• Hvornår slettes data?
• Er behandlingen beskrevet i jeres fortegnelse over behandlingsaktiviteter?

Kan du svare på spørgsmålene, har du et godt fundament for at automatisere ansvarligt. Læs også, hvad AI-automatisering er, og hvilke opgaver der kan betale sig at automatisere, og hvordan I kan bruge AI til e-mails og kundehenvendelser.

Vil du automatisere tidskrævende processer, men sikre, at det sker ansvarligt? Vi tænker databeskyttelse ind fra starten i vores automatiseringsprojekter.

“GDPR er ikke en bremse for AI-automatisering, men en ramme for at gøre det ordentligt. De virksomheder, der tænker databeskyttelse ind fra start, slipper for at skulle bygge om bagefter.”

Ofte stillede spørgsmål

Du er velkommen til at læse mere i nogle af vores andre blogindlæg