Din leverandør bruger AI i det indhold, de leverer til jer. Måske ved du det. Måske ved du det ikke. Det er præcis dér, problemet starter. Kravet, du kan stille allerede ved næste kontraktfornyelse, er enkelt: leverandøren skal kunne fortælle, hvor AI indgår, hvilke data der behandles hvor, og hvordan AI-genereret indhold mærkes. Her får du de tre krav som færdig aftaletekst og fem spørgsmål til næste leverandørmøde.
Indholdsfortegnelse
- Hovedpointer
- Hvorfor leverandør-AI er jeres ansvar
- Tre krav du kan skrive ind i aftalen i dag
- Fem spørgsmål til næste leverandørmøde
- Hvornår skriver I kravene ind?
- Gennemsigtighed, ikke forbud
- Ofte stillede spørgsmål
Hovedpointer
- Stil tre krav til leverandører, der bruger AI: redegørelse, databehandling og mærkning. Du får dem som kopierbar aftaletekst nedenfor.
- AI-forordningen (EU AI Act) artikel 50 stiller krav om gennemsigtighed og mærkning af AI-genereret indhold fra 2. august 2026. Dine leverandører er omfattet.
- Kravene skrives ind ved nye aftaler og fornyelser, ikke med tilbagevirkende kraft.
- Start med fem konkrete spørgsmål til næste leverandørmøde. De kræver ingen jurist.
Hvorfor leverandør-AI er jeres ansvar
Når jeres bureau skriver tekster med ChatGPT, eller jeres softwareleverandør bruger AI til at generere rapporter, er det stadig jer, der står på mål for resultatet. Jeres kunder, borgere eller studerende ser jeres navn på det færdige produkt, ikke leverandørens.
AI-forordningen artikel 50 kræver, at AI-genereret indhold mærkes tydeligt. Ansvaret rammer ikke kun den, der laver indholdet, men også den, der bestiller og udgiver det. Digitaliseringsstyrelsen og EUR-Lex har den fulde lovtekst, men konsekvensen er konkret: hvis jeres leverandør ikke kan redegøre for sin brug af AI, kan I ikke leve op til jeres egne forpligtelser. Vil I have en dybere forståelse af lovgivningen, kan I læse vores guide om den europæiske AI-forordning.
Forestil dig en indkøbschef i en fødevarevirksomhed, der manuelt sammenligner 200 leverandørtilbud. Hun opdager, at tre af tilbuddene er delvist AI-genererede, men ingen af leverandørerne har oplyst det. Produktbeskrivelserne ligner menneskeskrevet tekst, men prisberegningerne bygger på AI-modeller, hun ikke kender forudsætningerne for. Det er ikke et fremtidsscenarie. Det sker allerede.
Tre krav du kan skrive ind i aftalen i dag
Nedenstående er et arbejdsredskab, ikke juridisk rådgivning. Tilpas formuleringerne til jeres egen aftalestruktur, eller send dem til jeres jurist som udgangspunkt.
Krav 1: Redegørelse for AI-anvendelse
Leverandøren skal skriftligt oplyse, hvor og hvordan AI-værktøjer indgår i leverancen, herunder hvilke opgaver der helt eller delvist udføres af AI-systemer.
Hvad det betyder i praksis: Hvis jeres bureau bruger ChatGPT til at skrive de første udkast til pressemateriale, skal det fremgå. Hvis jeres softwareleverandør bruger en AI-model til at generere de månedlige rapporter, I modtager, skal det fremgå. "Vi bruger AI nogle steder" er ikke tilstrækkeligt. I skal have en skriftlig oversigt over hvilke opgavetyper der er AI-assisterede.
Formulering til aftaletekst:
"Leverandøren forpligter sig til inden leverancestart skriftligt at redegøre for, hvilke opgaver der helt eller delvist udføres ved hjælp af AI-systemer. Ændringer i AI-anvendelsen meddeles bestiller senest [X dage] inden implementering."
Krav 2: Databehandling og dataplacering
Leverandøren skal oplyse, hvilke data der behandles i AI-systemer, hvor data opbevares og processeres (EU/EØS eller tredjeland), og om data bruges til træning af AI-modeller. Hvis leverandøren anvender AI-tjenester fra underleverandører, skal dette fremgå.
Hvad det betyder i praksis: Sender jeres bureau jeres briefingmateriale ind i ChatGPT, ryger det til OpenAIs servere i USA, medmindre bureauet har en enterprise-aftale med dataisolering. Bruger jeres HR-leverandør en AI-model til at analysere kandidatbesvarelser, kan de besvarelser indgå i modeltræning. Begge scenarier er GDPR-relevante. Krav 2 tvinger leverandøren til at kortlægge datastrømmene, ikke bare bekræfte, at de "overholder GDPR".
Formulering til aftaletekst:
"Leverandøren skal skriftligt oplyse, hvilke data der behandles i AI-systemer, i hvilke jurisdiktioner disse systemer opererer, og om data fra bestiller anvendes til træning af AI-modeller. Underleverandørers AI-anvendelse skal fremgå af redegørelsen."
Krav 3: Mærkning af AI-genereret indhold
Leverandøren skal mærke indhold, der er helt eller delvist AI-genereret, i overensstemmelse med AI-forordningen artikel 50. Mærkningen skal være synlig for den bestillende part og, hvor relevant, for slutbrugeren.
Hvad det betyder i praksis: Et kommunikationsbureau, der leverer en artikel, der er 80 % skrevet af en AI-model og 20 % redigeret af et menneske, skal markere dette, enten i det dokument, de leverer, eller som metadata. I bestemmer selv, om I vil videregive mærkningen til jeres slutbrugere, men I skal have oplysningen for at kunne træffe det valg. En praktisk guide til, hvordan mærkningen foregår i marketing og kommunikation, finder I i vores artikel om mærkning af AI-genereret indhold.
Formulering til aftaletekst:
"Leverandøren forpligter sig til at mærke indhold, der er helt eller delvist AI-genereret, i overensstemmelse med gældende regulering, herunder EU AI Act artikel 50. Mærkning skal fremgå af det leverede materiale på en måde, der er umiddelbart læsbar for bestiller."
Samlet formulering (kopierbar til ét bilag):
"Leverandøren forpligter sig til skriftligt at redegøre for, hvor AI indgår i leverancen, herunder hvilke data der behandles i hvilke systemer og jurisdiktioner, samt at mærke AI-genereret indhold i overensstemmelse med gældende regulering. Ændringer i AI-anvendelsen meddeles bestiller inden implementering."
Fem spørgsmål til næste leverandørmøde
Disse spørgsmål kræver ingen juridisk forberedelse. De kan stilles mundtligt og følges op skriftligt bagefter. Svarene fortæller jer, om leverandøren overhovedet har tænkt over det, og om I har et problem, I ikke vidste I havde.
1. Bruger I AI-værktøjer i det, I leverer til os? Hvis ja, hvilke og til hvad?
Et ja er ikke et problem. Det er udgangspunktet for en reel samtale. Et "det kan vi ikke rigtig svare på" er et signal om, at ingen internt har kortlagt det.
2. Bliver vores data: tekst, billeder, kundedata sendt til AI-tjenester? Hvor ligger de data?
Dette spørgsmål afslører, om jeres data forlader EU/EØS. En leverandør, der bruger en gratis version af et AI-værktøj, har typisk ikke dataisolering. Det er jeres GDPR-risiko, ikke leverandørens.
3. Indgår vores data i træning af AI-modeller?
Mange AI-tjenester bruger som standard inputdata til at forbedre deres modeller, medmindre kunden aktivt har fravalgt det eller har en enterprise-aftale. Spørgsmålet tvinger leverandøren til at tjekke sine egne vilkår, hvis de ikke allerede har gjort det.
4. Hvordan mærker I indhold, der er helt eller delvist AI-genereret?
Hvis svaret er "det gør vi ikke" eller "det er ikke nødvendigt endnu", har I grundlaget for at indskrive krav 3 i næste aftale, og for at vurdere, om I kan stå inde for det indhold, I udgiver i dag.
5. Hvad sker der med jeres AI-processer, hvis vi beder om det i morgen: kan I dokumentere dem?
En leverandør, der kan svare præcist på dette spørgsmål, har styr på sin egen praksis. En leverandør, der svarer "det skal vi nok finde ud af", har det ikke. Dokumentationsevnen er jeres sikkerhed, hvis I selv bliver spurgt af myndigheder, revisorer eller kunder.
En kundeservicechef med 15 medarbejdere, der svarer på de samme 50 spørgsmål, har måske allerede en leverandør, der bruger AI i deres chatbot-løsning. Spørgsmål 2 og 3 afslører, om kundehenvendelser ender som træningsdata hos en tredjepart. Det er præcis den slags, GDPR-ansvarlige mister nattesøvn over.
Hvornår skriver I kravene ind?
Ikke med tilbagevirkende kraft. Det skaber unødvendig friktion og juridisk usikkerhed. I stedet:
- Ved nye aftaler: kravene indgår fra starten som bilag eller tillæg.
- Ved kontraktfornyelse: kravene tilføjes som en del af den opdaterede aftale.
- Ved væsentlige ændringer: hvis en eksisterende leverandør ændrer sin AI-anvendelse, udløser det en genforhandling af de relevante punkter.
Artikel 4 i AI-forordningen stiller desuden krav om, at organisationer sikrer tilstrækkelige AI-færdigheder hos dem, der anvender og bestiller AI-systemer. Det gælder også den person hos jer, der sidder med leverandøraftalerne.
Gennemsigtighed, ikke forbud
Pointen er ikke at forbyde leverandører at bruge AI. Pointen er, at I skal vide det, så I kan tage ansvar for det, I sætter jeres navn på, og træffe et informeret valg om, hvad I accepterer.
Kobl leverandørkravene til jeres egen AI-politik. Har I ikke en endnu, er det et godt sted at starte: en politik der beskriver, hvad I accepterer fra leverandører, og hvad I kræver dokumenteret. Her finder I hjælp til at skabe jeres interne AI-politik.
De tre krav og de fem spørgsmål kan bruges allerede i morgen. Har I en kontraktfornyelse på vej, er det det rette tidspunkt. Har I ikke, er næste leverandørmøde udgangspunktet.
Ofte stillede spørgsmål
Kan vi kræve, at leverandører slet ikke bruger AI?
Ja, det kan I juridisk set skrive ind i en aftale. Muligheden for at håndhæve det er dog begrænset, da I sjældent har indsyn i leverandørens interne processer. Et krav om redegørelse og mærkning er typisk mere realistisk og mindst lige så nyttigt.
Gælder AI-forordningens krav om mærkning allerede nu?
Artikel 50 om mærkning af AI-genereret indhold træder i kraft 2. august 2026. Det giver tid til at få kravene skrevet ind i aftaler inden da, men ingen grund til at vente.
Hvad hvis vores leverandør nægter at svare på spørgsmålene?
Et afslag er i sig selv information. Hvis en leverandør ikke kan eller vil redegøre for sin AI-anvendelse, er det et signal om, at de heller ikke kan dokumentere det over for jeres kunder, myndigheder eller revisorer. Det er en risikovurdering, der hører hjemme i indkøbsbeslutningen.
Kræver det en jurist at skrive kravene ind?
Den kopierbare formulering i denne artikel kan bruges som udgangspunkt uden juridisk bistand. Ved komplekse aftaler eller høj risikoeksponering anbefales det at lade en jurist gennemgå den endelige tekst.
Ofte stillede spørgsmål
Bruno Poulsen er partner i Poulsen & Vinding, et konsulenthus der hjælper danske virksomheder og styrelser med at tage generativ AI i brug i den daglige drift. Han har undervist hos Bigum&Co i mere end 10 år og har siden 2023 stået bag AI-implementeringer, foredrag og workshops for blandt andre Lægemiddelstyrelsen, GS1 Danmark, Bornholms Højskole og 30+ bornholmske SMV’er via Business Center Bornholm. Skriver om praktisk anvendelse af AI-værktøjer, prompt engineering og hvordan ledelser kommer i gang mandag morgen kl. 08.00.
