Er billedgenerering i ChatGPT GDPR-venlig? Sådan bruger danske virksomheder billed-AI lovligt

En marketingmedarbejder i en dansk virksomhed vil lave et billede til næste kampagne. Hun åbner ChatGPT, uploader et foto af en kollega og skriver "gør ham til en superhelt". Sjovt? Ja. Lovligt? Det afhænger. I det øjeblik et rigtigt menneske kan genkendes i dine input eller output, er du inde i GDPR, og så er der pludselig regler. Den gode nyhed er, at billed-AI godt kan bruges GDPR-lovligt. Det kræver bare, at du ved, hvornår grænsen går.

Opdateret september 2026. Artiklen hed tidligere "Er DALL·E GDPR-venlig?". DALL·E var navnet på OpenAIs billedmodel og på knappen i ChatGPT. Knappen er væk, og modellen er udskiftet, men billedgenerering ligger stadig direkte i ChatGPT. Reglerne er de samme.

Indholdsfortegnelse

• Kort svar
• Hvornår rammer GDPR overhovedet billeder lavet med AI?
• De tre situationer, hvor billed-AI bliver et GDPR-problem
• Din tjekliste til lovlig brug af billed-AI
• Databehandleraftale, og hvorfor kontoen betyder noget
• Bonus: hvem ejer billederne?
• Skal I have styr på AI og persondata i praksis?

Kort svar

Ja, billedgenerering i ChatGPT (det, der tidligere hed DALL·E) kan bruges GDPR-lovligt af danske virksomheder. GDPR bliver først relevant, når du behandler personoplysninger, altså når et rigtigt, identificerbart menneske indgår i din prompt, dit uploadede billede eller det færdige resultat. Så længe du genererer generiske billeder uden rigtige personers data, er der ingen GDPR-udfordring. Vil du bruge billed-AI professionelt med persondata, skal du have styr på databehandleraftale, samtykke og hvilken konto du bruger.

Hvornår rammer GDPR overhovedet billeder lavet med AI?

GDPR handler om personoplysninger, ikke om AI i sig selv. En personoplysning er enhver information om en identificerbar fysisk person: et ansigt på et foto, et navn, en e-mail, en kundeprofil.

Det betyder i praksis:

• Genererer du et billede af "en generisk forretningskvinde i et mødelokale"? Ingen rigtig person, ingen persondata, ingen GDPR-udfordring.
• Uploader du et foto af din kollega Mette for at redigere det? Nu behandler du persondata, og GDPR gælder fuldt ud.

Skellet er altså ikke værktøjet. Det er, om der er et rigtigt menneske involveret. Den samme logik gælder for al generativ AI, uanset om billedet laves i ChatGPT, Gemini, Midjourney eller Canva, og vi har samlet det store overblik i vores guide til AI og GDPR for danske arbejdspladser.

De tre situationer, hvor billed-AI bliver et GDPR-problem

Du uploader billeder af rigtige personer

At redigere et foto af en medarbejder, kunde eller borger er en behandling af personoplysninger. Det kræver et lovligt grundlag, typisk samtykke, og personen skal vide, hvad billedet bruges til. Et portræt af en navngiven person er desuden ofte også omfattet af retten til eget billede. Og husk, at "lav et sjovt billede af Mette til afskedsreceptionen" er den situation, de fleste ryger i, fordi det føles harmløst.

Du skriver persondata ind i din prompt

Prompten er ikke privat. Skriver du "lav en illustration til sagen om borger Jens Hansen, CPR 010203-xxxx", har du sendt følsomme personoplysninger til en amerikansk tjeneste. Det samme gælder kundenavne, adresser og helbredsoplysninger. Hold personoplysninger ude af dine prompts. Vi har uddybet den faldgrube i Beskyt forretningshemmeligheder: undgå fatale data-lækager gennem AI-prompts.

Du genererer billeder, der ligner virkelige, identificerbare personer

Beder du ChatGPT lave et billede "i stil med en bestemt kendt person" eller genskabe et genkendeligt ansigt, kan resultatet i sig selv udgøre en personoplysning, selv om du ikke uploadede noget. Hold dig til generiske, fiktive personer. Bemærk også, at et AI-genereret billede af en virkelig person, der ligner et rigtigt foto, skal mærkes som AI-genereret efter AI-forordningens artikel 50. Det er et krav oven i GDPR, ikke i stedet for.

Din tjekliste til lovlig brug af billed-AI

Vil du bruge billed-AI trygt i virksomheden, så gå de fem punkter igennem:

1. Undgå rigtige personer. Generér fiktive, generiske personer frem for genkendelige, virkelige mennesker.
2. Hold persondata ude af prompts. Ingen navne, CPR-numre, kundeoplysninger eller helbredsdata i tekstfeltet.
3. Indhent samtykke, hvis du redigerer fotos af personer. Og fortæl personen, hvad billedet skal bruges til.
4. Vælg den rigtige konto. Til professionel brug med data: brug en virksomhedskonto med databehandleraftale (fx ChatGPT Business eller Enterprise, eller OpenAI gennem Azure) frem for en privat konto.
5. Skriv det ind i jeres AI-politik. Så medarbejderne ved, hvad der er OK, før de går i gang. Se hvordan i artiklen Den interne AI-politik.

Databehandleraftale, og hvorfor kontoen betyder noget

Laver du billeder i en almindelig, privat ChatGPT-konto, har din virksomhed ingen databehandleraftale med OpenAI, og du bør derfor ikke lægge persondata ind. Standardindstillingen på private konti er desuden, at dine samtaler og uploads kan bruges til at træne modellen, medmindre du slår det fra. Skal billedgenerering bruges professionelt til opgaver, der berører personoplysninger, bør det ske gennem en konto, hvor der er en databehandleraftale på plads, og hvor det står i vilkårene, at jeres data ikke bruges til træning. OpenAIs virksomhedsprodukter og Azure OpenAI er de veje, mange danske virksomheder vælger, netop fordi rammerne for databeskyttelse er tydeligere. Tjek altid den aktuelle databehandleraftale hos leverandøren, før I sætter det i drift, og lad jeres DPO eller jurist godkende opsætningen. Er du i tvivl om jeres konkrete opsætning, så få det vurderet først.

Bonus: hvem ejer billederne?

GDPR handler om persondata. Ophavsret er et andet spørgsmål, som ofte forveksles med det. Hvem der ejer et AI-genereret billede, og om det overhovedet kan ophavsretsbeskyttes, har vi behandlet separat i Ophavsret og generativ AI: hvem ejer rettighederne?.

Skal I have styr på AI og persondata i praksis?

GDPR bliver først konkret, når det møder jeres egne arbejdsgange. Det er præcis, hvad vi arbejder med i vores workshops: hvad må medarbejderne, hvilke værktøjer er trygge, og hvordan skriver I det ind i en politik, folk faktisk følger. Se vores workshops og foredrag.

Vil du vide, hvilke konkrete krav AI-forordningen stiller til danske virksomheder, så start med vores gennemgang af risikotrappen og forskellen på provider og deployer.

Bruno Poulsen

Bruno Poulsen er partner i Poulsen & Vinding, et konsulenthus der hjælper danske virksomheder og styrelser med at tage generativ AI i brug i den daglige drift. Han har undervist hos Bigum&Co i mere end 10 år og har siden 2024 stået bag AI-implementeringer, foredrag og workshops for blandt andre Lægemiddelstyrelsen, GS1 Danmark, Bornholms Højskole og SMV’er på Bornholm via Business Center Bornholm. Skriver om praktisk anvendelse af AI-værktøjer, prompt engineering og hvordan ledelser kommer i gang mandag morgen kl. 08.00.