GDPR er EU's databeskyttelsesforordning, som regulerer, hvordan virksomheder indsamler, bruger og opbevarer oplysninger om personer. Den har gældet i Danmark siden 25. maj 2018 og suppleres af den danske databeskyttelseslov. Reglerne gælder alle, der behandler personoplysninger: virksomheder, lægeklinikker, advokatfirmaer, kommuner og foreninger. Kernen er enkel: du skal have et lovligt grundlag, du må kun bruge oplysningerne til det formål, du har oplyst, og personen har rettigheder. Men GDPR beskytter kun det, der kan knyttes til en person.
Et eksempel fra hverdagen
Revisionsfirmaet Eksempel Revision ApS (et opdigtet eksempel) har 60 kunder. Firmaet opbevarer navne, CPR-numre, lønsedler og bankoplysninger. Alt dette er personoplysninger, og GDPR bestemmer, hvordan firmaet må bruge dem.
En dag vil en medarbejder uploade en kundes lønoversigt til et AI-værktøj for at få et resumé. Så må firmaet spørge: har vi grundlag for at dele det? Har vi en databehandleraftale med udbyderen? Hvor ender oplysningerne? GDPR giver svar på de to første spørgsmål. Det tredje er, hvor det bliver interessant, og det vender vi tilbage til.
GDPR i praksis: hvad forordningen kræver
Hvad er en personoplysning? Enhver oplysning, der kan knyttes til en identificerbar person: navn, CPR-nummer, e-mailadresse, IP-adresse, billede, men også en kombination af oplysninger, der tilsammen peger på én person.
De vigtigste regler:
- Lovligt grundlag. Du skal have et af de seks grundlag i artikel 6, for eksempel samtykke, kontrakt, retlig forpligtelse eller legitim interesse.
- Principperne i artikel 5. Oplysningerne skal bruges til bestemte formål, begrænses til det nødvendige, være korrekte, ikke opbevares længere end nødvendigt og sikres.
- Følsomme oplysninger. Helbredsoplysninger, genetiske og biometriske data, religion, seksuel orientering, politisk overbevisning, fagforeningsmæssigt tilhørsforhold og etnisk oprindelse må som udgangspunkt ikke behandles, medmindre en undtagelse i artikel 9 gælder.
- De registreredes rettigheder. Ret til indsigt, berigtigelse, sletning, dataportabilitet og indsigelse.
- Databehandlere. Bruger du en leverandør, der behandler oplysninger for dig, skal du have en databehandleraftale (artikel 28).
- Brud på persondatasikkerheden skal som hovedregel anmeldes til Datatilsynet inden for 72 timer.
Hvem fører tilsyn? I Danmark Datatilsynet.
Hvad er sanktionen? GDPR giver mulighed for bøder på op til 20 millioner euro eller 4 procent af den globale årsomsætning, alt efter hvad der er højest. I Danmark udsteder Datatilsynet ikke selv bøder: tilsynet indstiller sagen til politiet, og det er domstolene, der fastsætter bøden.
Vil du se, hvad det betyder for AI-værktøjer, har vi samlet kravene i GDPR-kompatibel AI.
Dette er generel information, ikke juridisk rådgivning.
Hvad GDPR ikke beskytter
GDPR er stærk, men den har en klar grænse: den gælder kun personoplysninger.
- Anonyme oplysninger falder helt udenfor. Betragtning 26 siger, at databeskyttelsesreglerne ikke gælder for anonyme oplysninger, altså oplysninger der ikke længere kan knyttes til en identificerbar person. Fjern navnet, CPR-nummeret og alt andet, der peger på personen, og det, der er tilbage, kan lovligt samles, licenseres og sælges.
- Pseudonymiseret er stadig beskyttet. Udskifter du bare navnet med en kode, er det stadig personoplysninger. Grænsen forklarer vi i Pseudonymisering og anonymisering. I 2026 gav det franske datatilsyn et sundhedsdatafirma en bøde på 5 millioner euro for flere overtrædelser. Firmaet hævdede, at dets receptdata var anonyme, men tilsynet fandt, at de kun var pseudonymiserede.
- Du kan selv have givet retten væk. Mange vilkår giver udbyderen en licens til at bruge det, du uploader, til egne formål. Med en licens og en anonymisering er det hele lovligt.
- Anonymt er sjældent så anonymt. Et studie i Nature Communications (2019) viste, at 99,98 procent af amerikanerne kunne genidentificeres ud fra 15 egenskaber. AI gør den slags sammenkobling billig.
For Eksempel Revision betyder det: selv hvis GDPR følges til punkt og prikke, kan lønoversigten, uden navn, ende som en række i et datasæt. Mekanismen vises trin for trin på Data Trail, og kilderne står på Lovligt at sælge.
Hvad det betyder, når du bruger AI-værktøjer
Tjekliste, du kan bruge på ethvert værktøj:
- Databehandleraftale: findes der en aftale efter artikel 28, og er udbyderen kun databehandler?
- Licens: giver vilkårene ret til at genbruge dit indhold, også anonymiseret?
- Træning: bruges det, du skriver, til at træne modeller?
- Opbevaring: hvor opbevares data, og hvor længe beholder AI-modeludbyderne dem?
- Ejerskifte: gælder løfterne også, hvis firmaet bliver opkøbt?
Wysor er bygget til at bestå den tjekliste. Wysor er databehandler efter artikel 28 og handler kun efter dine instrukser. Vi tager ingen licens til at genbruge dit indhold, træner aldrig på det og sælger det aldrig, anonymiseret eller ej. Forpligtelserne står i kontrakten og binder også den, der en dag måtte eje Wysor. Alt er krypteret under overførsel og opbevaring, hostes i EU, og alle tilsluttede AI-modeludbydere kører med nul datalagring. I ét arbejdsområde bruger du GPT, Claude, Gemini og flere modeller.
Ofte stillede spørgsmål
Hvad står GDPR for? GDPR står for General Data Protection Regulation. På dansk hedder den databeskyttelsesforordningen, og i daglig tale bruges også "persondataforordningen".
Hvornår trådte GDPR i kraft? Forordningen blev vedtaget i 2016 og har gældet i hele EU, også i Danmark, siden 25. maj 2018. Samme dag trådte den danske databeskyttelseslov i kraft.
Hvem skal overholde GDPR? Alle virksomheder og organisationer, der behandler personoplysninger, uanset størrelse. Rent private aktiviteter, som en privat adressebog, er undtaget.
Hvad sker der, hvis man overtræder GDPR? Datatilsynet kan give påbud, forbyde behandling og politianmelde overtrædelser med indstilling om bøde. Bøder kan efter GDPR nå op på 20 millioner euro eller 4 procent af den globale årsomsætning. De registrerede kan desuden kræve erstatning.
Må man bruge AI-værktøjer efter GDPR? Ja, så længe du har et lovligt grundlag, en databehandleraftale med udbyderen og passende sikkerhed. Det, GDPR ikke regulerer, er hvad der sker med data, efter de er anonymiseret. Det skal du tjekke i vilkårene.
Læs mere
- GDPR-kompatibel AI: hvad du bør kræve
- Hvad er en databehandleraftale?
- Tavshedspligt forklaret enkelt
- Pseudonymisering og anonymisering
- Lovligt at sælge: kilderne bag
Har du spørgsmål om GDPR og Wysor? Skriv til [email protected] eller brug kontaktformularen i appen.
