En marketingmedarbejder i en dansk virksomhed vil lave et billede til næste kampagne. Hun åbner DALL·E, uploader et foto af en kollega og skriver "gør ham til en superhelt". Sjovt? Ja. Lovligt? Det afhænger. I det øjeblik et rigtigt menneske kan genkendes i dine input eller output, er du inde i GDPR, og så er der pludselig regler. Den gode nyhed er, at DALL·E godt kan bruges GDPR-lovligt. Det kræver bare, at du ved, hvornår grænsen går.
Indholdsfortegnelse
- Kort svar
- Hvornår rammer GDPR overhovedet DALL·E?
- De tre situationer, hvor DALL·E bliver et GDPR-problem
- Din tjekliste til lovlig brug af DALL·E
- Databehandleraftale, og hvorfor versionen betyder noget
- Bonus: hvem ejer billederne?
- Skal I have styr på AI og persondata i praksis?
Kort svar
Ja, DALL·E kan bruges GDPR-lovligt af danske virksomheder. GDPR bliver først relevant, når du behandler personoplysninger, altså når et rigtigt, identificerbart menneske indgår i din prompt, dit uploadede billede eller det færdige resultat. Så længe du genererer generiske billeder uden rigtige personers data, er der ingen GDPR-udfordring. Vil du bruge DALL·E professionelt med persondata, skal du have styr på databehandleraftale, samtykke og hvilken version du bruger.
Hvornår rammer GDPR overhovedet DALL·E?
GDPR handler om personoplysninger, ikke om AI i sig selv. En personoplysning er enhver information om en identificerbar fysisk person: et ansigt på et foto, et navn, en e-mail, en kundeprofil.
Det betyder i praksis:
- Genererer du et billede af "en generisk forretningskvinde i et mødelokale"? Ingen rigtig person, ingen persondata, ingen GDPR-udfordring.
- Uploader du et foto af din kollega Mette for at redigere det? Nu behandler du persondata, og GDPR gælder fuldt ud.
Skellet er altså ikke værktøjet. Det er, om der er et rigtigt menneske involveret. Den samme logik gælder for al generativ AI, og vi har samlet det store overblik i vores guide til AI og GDPR for danske arbejdspladser.
De tre situationer, hvor DALL·E bliver et GDPR-problem
Du uploader billeder af rigtige personer
At redigere et foto af en medarbejder, kunde eller borger er en behandling af personoplysninger. Det kræver et lovligt grundlag, typisk samtykke, og personen skal vide, hvad billedet bruges til. Et portræt af en navngiven person er desuden ofte også omfattet af retten til eget billede.
Du skriver persondata ind i din prompt
Prompten er ikke privat. Skriver du "lav en illustration til sagen om borger Jens Hansen, CPR 010203-xxxx", har du sendt følsomme personoplysninger til en amerikansk tjeneste. Det samme gælder kundenavne, adresser og helbredsoplysninger. Hold personoplysninger ude af dine prompts. Vi har uddybet den faldgrube i Beskyt forretningshemmeligheder: undgå fatale data-lækager gennem AI-prompts.
Du genererer billeder, der ligner virkelige, identificerbare personer
Beder du DALL·E lave et billede "i stil med en bestemt kendt person" eller genskabe et genkendeligt ansigt, kan resultatet i sig selv udgøre en personoplysning, selv om du ikke uploadede noget. Hold dig til generiske, fiktive personer.
Din tjekliste til lovlig brug af DALL·E
Vil du bruge DALL·E trygt i virksomheden, så gå de fem punkter igennem:
- Undgå rigtige personer. Generér fiktive, generiske personer frem for genkendelige, virkelige mennesker.
- Hold persondata ude af prompts. Ingen navne, CPR-numre, kundeoplysninger eller helbredsdata i tekstfeltet.
- Indhent samtykke, hvis du redigerer fotos af personer. Og fortæl personen, hvad billedet skal bruges til.
- Vælg den rigtige version. Til professionel brug med data: overvej DALL·E via en løsning med databehandleraftale (fx Azure OpenAI) frem for en privat gratis-konto.
- Skriv det ind i jeres AI-politik. Så medarbejderne ved, hvad der er OK, før de går i gang. Se hvordan i Den interne AI-politik.
Databehandleraftale, og hvorfor versionen betyder noget
Bruger du DALL·E via en almindelig, privat ChatGPT-konto, har din virksomhed ingen databehandleraftale med OpenAI, og du bør derfor ikke lægge persondata ind. Skal DALL·E bruges professionelt til opgaver, der berører personoplysninger, bør billedgenereringen ske gennem en løsning, hvor der ér en databehandleraftale på plads, og hvor data behandles i EU. Azure OpenAI er den vej, mange danske virksomheder vælger, netop fordi rammerne for databeskyttelse er tydeligere. Er du i tvivl om jeres konkrete opsætning, så få det vurderet, før I sætter det i drift.
Bonus: hvem ejer billederne?
GDPR handler om persondata. Ophavsret er et andet spørgsmål, som ofte forveksles med det. Hvem der ejer et AI-genereret billede, og om det overhovedet kan ophavsretsbeskyttes, har vi behandlet separat i Ophavsret og generativ AI: hvem ejer rettighederne?.
Skal I have styr på AI og persondata i praksis?
GDPR bliver først konkret, når det møder jeres egne arbejdsgange. Det er præcis, hvad vi arbejder med i vores workshops: hvad må medarbejderne, hvilke værktøjer er trygge, og hvordan skriver I det ind i en politik, folk faktisk følger. Se vores workshops og foredrag.
Ofte stillede spørgsmål
Bruno Poulsen er partner i Poulsen & Vinding, et konsulenthus der hjælper danske virksomheder og styrelser med at tage generativ AI i brug i den daglige drift. Han har været underviser hos Bigum i mere end 10 år og har siden 2023 stået bag AI-implementeringer, foredrag og workshops for blandt andre Lægemiddelstyrelsen, GS1 Danmark, Bornholms Højskole og 30+ bornholmske SMV’er via Business Center Bornholm. Skriver om praktisk anvendelse af AI-værktøjer, prompt engineering og hvordan ledelser kommer i gang mandag morgen kl. 08.00.
