Din kollega har lige tastet kundedata ind i ChatGPT for at spare tid på en rapport. Var det lovligt? Svaret er ikke så enkelt, som du måske håber. For mange små virksomheder og soloprenører er AI allerede en del af hverdagen, og som vi beskriver i vores guide til AI for soloprenører og iværksættere, kan værktøjerne frigive timers arbejde hver uge. Men den frihed forpligter. Denne artikel giver dig et konkret overblik over, hvad du skal have styr på for at bruge AI lovligt og sikkert.
Indholdsfortegnelse
- Ja, AI er lovligt. Men du har ansvar for, hvad du fodrer den med
- ChatGPT-sikkerhed: Gratis vs. betalt gør en reel forskel
- AI compliance for små virksomheder: Fire praktiske skridt
- Hvad med EU's AI-forordning?
- Konklusion: Sund fornuft slår jura
Ja, AI er lovligt. Men du har ansvar for, hvad du fodrer den med
Der er ingen lov, der forbyder dig at bruge AI i din virksomhed. GDPR gælder stadig, uanset om du behandler data i et regneark eller i ChatGPT. Du er dataansvarlig. AI-leverandøren er databehandler. Du skal vide, hvad den gør med dine data. For en dybdegående forståelse kan du læse vores komplette guide til GDPR for små og mellemstore virksomheder.
Tre spørgsmål du bør stille, inden du bruger et nyt AI-værktøj:
- Hvor ender mine data? Bliver de gemt på servere i EU eller uden for?
- Bruger leverandøren mine data til at træne modellen? (Mange gratisversioner gør.)
- Kan jeg slette data bagefter? Og har jeg dokumentation for det?
Hvis du ikke kan svare på de tre spørgsmål, bør du ikke taste personfølsomme oplysninger ind i værktøjet.
Hvad tæller som persondata? Det er bredere end mange tror. Navn + arbejdsgiver er persondata. En e-mailadresse er persondata. Et tilbud med kundenavn, firmanavn og pris er persondata. Tommelfingerreglen: Hvis en person kan genkendes direkte eller indirekte ud fra det, du taster ind, er det persondata.
ChatGPT-sikkerhed: Gratis vs. betalt gør en reel forskel
I gratisversionen kan dine samtaler blive brugt til at træne fremtidige modeller. I de betalte erhvervsversioner. Team eller Enterprise. kan du fravælge det. For en dybdegående forståelse af, hvordan ChatGPT håndterer GDPR, kan du læse mere her.
Forestil dig, at du er konsulent og taster et kundetilbud med firmanavn, priser og kontaktoplysninger ind i gratisversionen. De data kan i princippet indgå i træningsdata. Det er ikke et hypotetisk scenarie. Det er noget, mange gør hver dag uden at tænke over det.
Sådan slår du træningsdeling fra i ChatGPT gratis. trin for trin:
- Log ind på chat.openai.com
- Klik på dit profilikon nederst til venstre
- Vælg Settings
- Gå til fanen Data controls
- Slå "Improve the model for everyone" fra
Det tager under 30 sekunder. Det løser ikke alt, men det er det minimum, du bør gøre, hvis du bruger gratisversionen til noget, der ikke er helt offentligt.
Konkret anbefaling: Brug en erhvervsversion, hvis du arbejder med kundedata, interne dokumenter eller noget fortroligt. ChatGPT Team koster cirka 25 USD om måneden per bruger. billigt sammenlignet med en GDPR-bøde på op til 4% af din globale omsætning.
Hurtig oversigt: Hvad må du taste ind hvor?
| Datatype | ChatGPT Gratis | ChatGPT Team/Enterprise | Microsoft Copilot (erhverv) |
|---|---|---|---|
| Generelle spørgsmål, idéer | ✅ | ✅ | ✅ |
| Kundenavn + firmadata | ❌ | ✅ med forbehold | ✅ |
| CPR-numre, sundhedsdata | ❌ | ❌ | ❌ uden DPA |
| Interne strategidokumenter | ❌ | ✅ med forbehold | ✅ |
| Anonymiserede datasæt | ✅ | ✅ | ✅ |
Du kan læse mere om, hvordan du vælger de rigtige AI-værktøjer på et lille budget.
AI compliance for små virksomheder: Fire praktiske skridt
1. Lav en simpel AI-politik (det tager en time)
Skriv ned, hvilke AI-værktøjer I bruger, og hvad I må og ikke må taste ind i dem. En halv A4-side med klare regler er bedre end ingenting.
Skabelon du kan kopiere direkte:
AI-politik for [virksomhedsnavn]. version 1.0
Vi bruger følgende AI-værktøjer: ChatGPT Team, [evt. andre].
Det må vi taste ind:
- Generelle spørgsmål og research uden persondata
- Anonymiserede dokumenter og datasæt
- Interne tekster uden kundeoplysninger
Det må vi ikke taste ind:
- Kunders fulde navn kombineret med kontaktoplysninger
- CPR-numre, sundhedsdata eller økonomiske oplysninger om enkeltpersoner
- Passwords, API-nøgler eller interne adgangskoder
Ansvarlig: [Navn]. Sidst opdateret: [dato].
2. Tjek og gem databehandleraftaler
Bruger du AI til at behandle persondata, skal du have en databehandleraftale (DPA) med leverandøren.
Her finder du dem:
- OpenAI (ChatGPT Team/Enterprise): openai.com/policies/data-processing-addendum
- Microsoft (Copilot, Azure OpenAI): microsoft.com → søg på "Data Processing Agreement"
- Google (Gemini for Workspace): workspace.google.com/terms/dpa_terms.html
Download PDF'en, gem den i en mappe kaldet "Leverandøraftaler", og noter datoen i dit GDPR-register. Du behøver ikke læse alle 40 sider, men du skal kunne fremvise, at aftalen eksisterer.
3. Anonymisér som standard
Inden du kopierer et dokument ind i et AI-værktøj, brug 30 sekunder på at fjerne navne, adresser og andre personhenførbare oplysninger.
Eksempel. før og efter:
Før (må ikke tastes ind i gratis AI):
"Kunden er Lars Jensen fra Møllegaard ApS, CVR 12345678. Han vil have et tilbud på 40 timers konsulentarbejde til 1.200 kr. i timen. Kontakt: lars@moellegaard.dk"
Efter (kan tastes ind):
"Kunden er en mellemstor produktionsvirksomhed. De vil have et tilbud på 40 timers konsulentarbejde til 1.200 kr. i timen."
Du får stadig hjælp til at strukturere tilbuddet og formulere teksten. Du har bare fjernet det, der knytter sig til en identificerbar person. To minutter. 90% af risikoen væk.
4. Dokumentér, hvad I gør
GDPR handler i høj grad om, at du kan vise, at du har tænkt dig om. Brug dette register som udgangspunkt:
| Værktøj | Formål | Datatype der behandles | DPA? | Ansvarlig |
|---|---|---|---|---|
| ChatGPT Team | Tekstudkast, analyse | Anonymiserede dokumenter | Ja, gemt 01/01/2025 | [Navn] |
| Notion AI | Interne noter | Ingen persondata | Ikke nødvendig | [Navn] |
| [Nyt værktøj] | [Formål] | [Datatype] | [Ja/Nej] | [Navn] |
Gem dokumentet et sted, du kan finde det igen. Hvis Datatilsynet en dag banker på, er det forskellen mellem "vi har styr på det" og "øh, det har vi ikke tænkt over."
Hvad med EU's AI-forordning?
EU's AI Act inddeler AI-brug i risikoniveauer. For en dybdegående forståelse af, hvad lovgivningen betyder for din SMV, kan du læse vores specifikke guide. Her er det praktiske overblik:
Forbudt (uanset virksomhedsstørrelse):
- Ansigtsgenkendelses-databaser bygget ved scraping fra internettet
- AI der manipulerer adfærd ved at udnytte psykologiske svagheder
- Social scoring af borgere
Højrisiko (kræver dokumentation og menneskelig kontrol):
- AI til at sortere jobansøgninger
- AI til kreditscoring eller lånevurdering
- AI til medicinsk diagnostik
Lav risiko (det meste, som SMV'er bruger):
- Tekstgenerering, oversættelse, opsummering
- Billedgenerering til marketing
- Chatbots til kundeservice (med oplysningspligt)
Bruger du ChatGPT til at skrive udkast til blogindlæg eller strukturere en rapport, falder det i lavrisikokategorien. Bruger du AI til at sortere jobansøgninger eller vurdere kunders kreditværdighed, gælder højrisikoreglerne: dokumentation, menneskelig kontrol og i visse tilfælde en konsekvensanalyse.
Den vigtigste tommelfingerregel: Lad aldrig AI træffe endelige beslutninger om mennesker uden at et menneske har det sidste ord.
Konklusion: Sund fornuft slår jura
Du behøver ikke en advokat for at bruge AI ansvarligt. Anonymisér data, brug erhvervsversioner til fortroligt arbejde, og dokumentér dine valg. Så er du langt foran de fleste.
Dit konkrete næste skridt. en tjekliste:
- Slå "Improve the model for everyone" fra i ChatGPT gratis (30 sekunder)
- Beslut om du skal opgradere til en erhvervsversion
- Skriv en simpel AI-politik på én side (brug skabelonen ovenfor)
- Find og gem databehandleraftaler fra dine AI-leverandører
- Opret et simpelt behandlingsregister (brug tabellen ovenfor)
- Indfør anonymisering som fast vane, inden data tastes ind
Brug en time på de første fire punkter inden næste gang du sidder med et kundedokument foran dig. Det er nok.
Ofte stillede spørgsmål
Bruno Poulsen er partner i Poulsen & Vinding, et konsulenthus der hjælper danske virksomheder og styrelser med at tage generativ AI i brug i den daglige drift. Han er senior underviser hos Bigum&Co gennem 10+ år og har siden 2023 stået bag AI-implementeringer, foredrag og workshops for blandt andre Lægemiddelstyrelsen, GS1 Danmark, Bornholms Højskole og 30+ bornholmske SMV’er via Business Center Bornholm. Skriver om praktisk anvendelse af AI-værktøjer, prompt engineering og hvordan ledelser kommer i gang mandag morgen kl. 08.00.
