Er dine data sikre i Gemini? Den ultimative guide til privatliv og GDPR

Din chef spørger, om I kan bruge Gemini til at opsummere kundedata. Din kollega har allerede tastet navne og adresser ind. Og du sidder med en klump i maven, fordi ingen har tjekket, hvad Google egentlig gør med de oplysninger. Den klump er sund. Og denne artikel giver dig det overblik, du mangler for at tage en informeret beslutning om Gemini, GDPR og jeres data.

Gemini er en central del af Googles AI-økosystem, og for mange virksomheder er det oplagt at bruge den, fordi den allerede bor i Google Workspace. Men netop fordi den er så let tilgængelig, er det afgørende, at du forstår spillereglerne, før dine medarbejdere begynder at fodre den med følsomme oplysninger.

Indholdsfortegnelse

• Gratisversionen vs. den betalte: en afgørende forskel
• Hvad siger GDPR egentlig om AI-værktøjer?
• Hvad Google faktisk kan se – og hvornår
• Praktiske forholdsregler du kan tage i morgen
• Gemini sammenlignet med andre AI-værktøjer på privatliv
• Bundlinjen: er Gemini sikker?

Gratisversionen vs. den betalte: en afgørende forskel

Det første du skal vide er, at der er kæmpe forskel på, om du bruger Gemini gratis via gemini.google.com, eller om du bruger Gemini som en del af et betalt Google Workspace-abonnement.

Gratisversionen fungerer som de fleste gratis AI-værktøjer: Google kan bruge dine samtaler til at forbedre deres modeller. Det betyder, at det du skriver potentielt indgår i træningsdata. Tænk på det som at sende et postkort. Alle i posthuset kan teknisk set læse det.

Du kan slå aktivitetslogning fra under dine Google-kontoindstillinger, men det er ikke nok, hvis du behandler andres persondata. Det er din egen aktivitet, du begrænser – ikke Googles rettigheder til de data, du allerede har sendt afsted.

Google Workspace med Gemini, den betalte version til virksomheder, har en anden aftale. Her lover Google eksplicit, at dine data ikke bruges til at træne deres AI-modeller. Dine prompts og svar forbliver inden for jeres organisation. Tænk på det som at sende et anbefalet brev i en forseglet kuvert.

Den konkrete forskel ser sådan ud i praksis:

Den forskel er ikke en lille teknisk detalje. Det er hele fundamentet for, om du overhovedet kan bruge Gemini på arbejdspladsen uden at bryde GDPR.

For at få det fulde udbytte og den nødvendige sikkerhed er det essentielt at vide, hvordan man integrerer Gemini i Google Workspace korrekt. Hvis du overvejer den betalte version, kan du læse vores gennemgang af Gemini Advanced og dets værdi for at sikre, at det passer til jeres behov.

Hvad siger GDPR egentlig om AI-værktøjer?

GDPR skelner ikke mellem AI og andre digitale værktøjer. Reglerne er de samme: du skal have et lovligt grundlag for at behandle persondata, du skal vide, hvor data opbevares, og du skal kunne dokumentere det hele. For en dybere forståelse af AI og GDPR i praksis har vi skrevet en guide til danske arbejdspladser.

Tre ting du skal have styr på, før Gemini rører jeres data:

1. Databehandleraftale (DPA)
Google tilbyder en databehandleraftale som en del af Google Workspace. Den beskriver juridisk bindende, hvad Google gør og ikke gør med jeres data – herunder at de ikke sælger den videre, at de kun behandler den på jeres instruks, og at de sletter den, hvis I ophæver kontrakten. Uden den aftale har du reelt ingen GDPR-compliant løsning.

Du finder og accepterer aftalen under Admin-konsollen i Google Workspace: Konto → Juridiske aftaler → Databehandlertilføjelse. Hvis du ikke kan finde den, har I sandsynligvis ikke aktiveret den endnu. Det kræver administratoradgang.

2. Opbevaringssted
Google giver mulighed for at specificere dataopbevaring i EU. Det gør du under Admin-konsollen → Kontoindstillinger → Dataopbevaring. Vælg "Europa" som region. Det er relevant, fordi overførsel af persondata til tredjelande som USA kræver ekstra juridisk grundlag. Google er certificeret under EU-US Data Privacy Framework, men det er stadig dit ansvar at sikre, at jeres region er sat korrekt.

3. Formålsbegrænsning
Selv med den rigtige aftale på plads må du kun bruge persondata til det formål, de er indsamlet til. At smide en kundeliste ind i Gemini for at "se hvad den finder" er ikke et formål. Det er et GDPR-problem. Du skal kunne svare på: hvad er det konkrete formål, hvem har godkendt det, og er kunden informeret om, at deres data bruges til AI-analyse?

Et konkret eksempel: En IT-chef i en kommune, der overvejer at bruge Gemini til at analysere borgerhenvendelser, skal altså først sikre, at kommunen har Workspace-aftalen på plads, at data forbliver i EU, og at der er et klart, dokumenteret formål med analysen. Ellers er svaret simpelthen: lad være.

Hvad Google faktisk kan se – og hvornår

Det er et spørgsmål mange har, men få får et konkret svar på. Her er hvad Googles egne vilkår siger:

I gratisversionen kan Google-medarbejdere gennemgå samtaler for at forbedre modellerne. Det sker ikke automatisk ved hvert prompt, men stikprøvevis. Du kan ikke se, hvornår det sker. Derudover bruges samtaledata til at finjustere Gemini – det er hele årsagen til, at produktet er gratis.

I Workspace-versionen kan Google-medarbejdere kun tilgå dine data for at levere selve tjenesten, fx hvis du åbner en supportsag, eller for at overholde juridiske krav. Det er defineret i databehandleraftalen. Der er ingen adgang til at bruge indholdet til modeltræning.

Begge versioner logger metadata som tidspunkter, hvilken enhed du brugte, og hvilke funktioner du aktiverede. Det er standard og ikke specifikt for AI.

Det betyder i praksis: Hvis du ved et uheld har tastet et CPR-nummer ind i gratisversionen, er det allerede sendt til Googles systemer og kan potentielt have indgået i en gennemgang. Du kan slette samtalehistorikken fra din konto, men du kan ikke garantere, at data ikke allerede er behandlet. Det er præcis det scenarie, GDPR kræver, at du undgår på forhånd.

Praktiske forholdsregler du kan tage i morgen

Du behøver ikke en juridisk afdeling på 20 personer for at komme fornuftigt i gang. Her er konkrete skridt – ikke principper, men handlinger:

1. Lav en simpel AI-politik på én side

Skriv ned, hvad medarbejdere må og ikke må taste ind i AI-værktøjer. Den behøver ikke være lang. Her er en skabelon du kan tilpasse:

Medarbejdere hos [virksomhed] må bruge Gemini i Google Workspace til [godkendte formål, fx opsummering af interne mødenotater, udkast til tekster]. Følgende må aldrig tastes ind i AI-værktøjer uden særlig godkendelse: CPR-numre, kundenavne kombineret med kontaktoplysninger, helbredsoplysninger, finansielle data om enkeltpersoner. Ved tvivl: spørg [ansvarlig person].

En tommelfingerregel til medarbejdere: Hvis du ikke ville sende det i en mail til en fremmed, så tast det ikke ind i et gratis AI-værktøj.

2. Sanitér data, før du bruger dem

Hvis du vil bruge Gemini til at analysere kundefeedback, gør dette:

• Kopiér feedbackteksten til et tomt dokument
• Søg og erstat navne med "Kunde A", "Kunde B" osv.
• Fjern adresser, telefonnumre og e-mails
• Fjern ordreNumre og kontonumre, der kan kobles til en person
• Først da: indsæt i Gemini

Det tager to til tre minutter ekstra per analyse og sparer potentielt en bøde på op til 4 % af den globale omsætning.

3. Tjek og konfigurér jeres Workspace-indstillinger

Hvis I allerede betaler for Google Workspace, gør din administrator følgende:

• Log ind på admin.google.com
• Gå til Apps → Google Workspace → Gemini
• Under "AI og ML" – sæt "Forbedr AI-modeller" til Fra
• Under Konto → Dataopbevaring – vælg Europa
• Under Juridiske aftaler – acceptér databehandlertilføjelsen, hvis den ikke allerede er accepteret

Uden disse tre indstillinger på plads har I Workspace-prisen, men ikke Workspace-sikkerheden.

4. Dokumentér jeres behandlingsgrundlag

GDPR kræver, at du kan dokumentere, at du har tænkt dig om. Det behøver ikke være en roman. Et simpelt notat med disse punkter er nok til at vise god tro over for Datatilsynet:

• Hvad bruger vi Gemini til?
• Hvilke datatyper behandles?
• Hvad er det juridiske grundlag? (typisk: legitim interesse eller kontraktopfyldelse)
• Er der indgået databehandleraftale med Google? (ja/nej + dato)
• Hvem er ansvarlig?

Vil du forstå bedre, hvad Gemini egentlig er under motorhjelmen, har vi skrevet en grundig forklaring uden teknisk volapyk.

Gemini sammenlignet med andre AI-værktøjer på privatliv

Google Workspace med Gemini er ikke det eneste valg. Her er en direkte sammenligning af, hvad de store udbydere faktisk tilbyder på privatlivsfronten:

Det vigtigste at bemærke: ingen af de gratis versioner er GDPR-compliant ved behandling af persondata. Det gælder alle tre. "Mest gennemsigtig" er ikke det samme som "perfekt", og du skal stadig gøre dit hjemmearbejde uanset valg af platform.

Googles fordel er primært, at Workspace allerede er udbredt i danske virksomheder – det betyder, at aftaler og konfigurationer ofte allerede er delvist på plads. Anthropics Claude er stærkest på gennemsigtighed i sin privatlivsdokumentation, men har den svageste EU-opbevaringsløsning. OpenAIs ChatGPT Enterprise ligger midt imellem.

Står du over for det valg, har vi lavet en sammenligning af de største AI-assistenter, der også berører sikkerhedsaspektet i dybden.

Bundlinjen: er Gemini sikker?

Svaret afhænger af to ting: hvilken version du bruger, og om du har konfigureret den korrekt.

Gratisversionen: nej til persondata. Brug den til at skrive tekster, brainstorme og formulere e-mails til kolleger – ikke til at behandle oplysninger om kunder, borgere eller ansatte.

Workspace-versionen med korrekt opsætning: ja, den kan leve op til GDPR. Men kun hvis databehandleraftalen er accepteret, EU-opbevaring er aktiveret, og politikken for modeltræning er slået fra.

Det kræver ikke et diplom i jura at gøre det rigtigt. Det kræver, at nogen i organisationen tager ansvaret for at sætte rammerne: en AI-politik, en databehandleraftale og tre konfigurationsændringer i Admin-konsollen. Så er I langt – og din kollega kan stoppe med at taste kundedata ind i det forkerte felt.

Bruno Poulsen

Bruno Poulsen er partner i Poulsen & Vinding, et konsulenthus der hjælper danske virksomheder og styrelser med at tage generativ AI i brug i den daglige drift. Han er senior underviser hos Bigum&Co gennem 10+ år og har siden 2023 stået bag AI-implementeringer, foredrag og workshops for blandt andre Lægemiddelstyrelsen, GS1 Danmark, Bornholms Højskole og 30+ bornholmske SMV’er via Business Center Bornholm. Skriver om praktisk anvendelse af AI-værktøjer, prompt engineering og hvordan ledelser kommer i gang mandag morgen kl. 08.00.