Må medarbejderne bruge ChatGPT på arbejdet? Sådan sætter I rammerne

Ja, medarbejderne må gerne bruge ChatGPT på arbejdet. Men virksomheden er ansvarlig for, hvilke oplysninger der bliver skrevet ind i værktøjet. Bruger en medarbejder kundedata, personalesager eller ansøgninger i et prompt-felt, er det en behandling af personoplysninger, og så gælder de samme regler som for alle andre systemer, I bruger.

Det korte svar dækker de fleste virksomheder. Resten af artiklen forklarer, hvad der typisk går galt, hvad reglerne kræver, og hvad I konkret skal have på plads.

Hvad der typisk går galt

Problemet er sjældent, at nogen har ondt i sinde. Det er, at værktøjet er nemt, og at ingen har sagt noget om, hvor grænsen går. Tre situationer går igen:

En sælger indsætter en kundeliste og beder om et udkast til en mail til alle sammen. Listen indeholder navne, mailadresser og hvad kunderne har købt.

En leder indsætter fem ansøgninger og beder om en vurdering af, hvem der ser bedst ud på papiret. Ansøgninger indeholder både kontaktoplysninger og ofte mere end det.

En medarbejder indsætter en klagesag eller en personalesag og beder om at få den skrevet i et pænere sprog. Den slags tekster indeholder næsten altid oplysninger om navngivne personer.

Fælles for alle tre er, at oplysninger om personer forlader virksomhedens systemer og lander hos en leverandør, virksomheden ofte ikke har en aftale med.

Hvorfor det er et GDPR-spørgsmål

Når et AI-værktøj behandler personoplysninger på jeres vegne, er leverandøren databehandler. Det udløser tre ting, I kender fra alle jeres andre systemer:

Der skal være en databehandleraftale efter databeskyttelsesforordningens artikel 28.

Behandlingen skal stå i jeres fortegnelse over behandlingsaktiviteter efter artikel 30.

Ligger leverandøren uden for EU og EØS, skal overførslen have et gyldigt grundlag. De fleste af de kendte AI-værktøjer er amerikanske.

Bemærk forskellen på abonnementstyper. Erhvervsabonnementer har som regel andre vilkår end private, blandt andet om hvorvidt jeres indtastninger bruges til at træne modellen. Tjek leverandørens vilkår for netop det abonnement, medarbejderne bruger, frem for at antage.

Hvad AI-forordningen kræver oveni

**AI-forordningen er trådt i kraft i etaper.**

Artikel 4 om AI-færdigheder har været gældende siden 2. februar 2025. Kravet gælder alle AI-systemer omfattet af forordningen, uanset risikoklassificering. Efter den ændring, der blev vedtaget i 2026, skal virksomheden træffe foranstaltninger, der understøtter udviklingen af AI-færdigheder hos personalet. Der står udtrykkeligt, at man ikke skal garantere et bestemt niveau hos den enkelte medarbejder. I praksis betyder det en instruks og en introduktion, ikke et kursusbevis pr. ansat.

Gennemsigtighedskravene i artikel 50 trådte i kraft 2. august 2026. Bruger I en chatbot på hjemmesiden, skal brugerne oplyses om, at de taler med et AI-system og ikke et menneske. Udgiver I AI-genereret indhold, herunder deepfakes, skal det mærkes tydeligt.

Til gengæld er de tunge krav til højrisiko-systemer udskudt. De gælder fra 2. december 2027 for systemerne i bilag III og fra 2. august 2028 for bilag I. AI-sortering af jobansøgninger hører til den kategori, så den del af reglerne er ikke aktuel endnu.

Tilsynet med AI-forordningen i Danmark føres af Digitaliseringsstyrelsen, ikke af Datatilsynet Reglerne om personoplysninger hører fortsat under Datatilsynet.

Én ting, der ofte blandes sammen

AI-forordningen kræver ikke, at en almindelig virksomhed laver en fortegnelse over sine AI-værktøjer, når de er lavrisiko. Det er databeskyttelsesforordningen, der kræver det, fordi et AI-værktøj, der behandler personoplysninger, er en behandling som alle andre.

Forskellen betyder noget, hvis nogen spørger jer, hvorfor I har lavet arbejdet. Svaret er GDPR, og gevinsten er, at I samtidig har det, der skal til for at leve op til de to AI-krav.

Huskelisten

Tre ting er nok til at komme fra ingenting til noget, I kan vise frem:

En kort skriftlig retningslinje. En side er rigeligt. Den siger, at AI-værktøjer må bruges, og hvad de ikke må bruges til.

En liste over godkendte værktøjer. Uden en liste bruger folk det, de selv finder. Med en liste kan I have styr på abonnementstype og vilkår på de få, der er i brug.

En instruks om, hvad der ikke må indtastes. Vær konkret. Kundelister, personalesager, ansøgninger, helbredsoplysninger, CPR-numre og fortrolige kontrakter er de typiske. Det er lettere at huske end en abstrakt regel om personoplysninger.

Dertil kommer det praktiske: få de værktøjer, I faktisk bruger, ind i fortegnelsen og få styr på, om der er en databehandleraftale.

Sådan hænger det sammen med resten af dokumentationen

De fleste virksomheder opdager AI-spørgsmålet, når det kommer udefra. Enten fordi en større kunde sender et sikkerhedsspørgeskema, hvor der nu står et spørgsmål om AI, eller fordi nogen i ledelsen læser om AI-forordningen og spørger, om I er dækket.

I begge tilfælde er det samme arbejde, der løser opgaven: at vide hvilke værktøjer der er i brug, hvem der ejer dem internt, hvilke oplysninger de behandler, og om der er en aftale med leverandøren. Det er den samme dokumentation, I i forvejen skal have på jeres øvrige systemer.

FAKTIVE-platformen laver den dokumentation for de systemer, virksomheden bruger, herunder fortegnelsen over behandlingsaktiviteter, databehandleraftaler og leverandøroverblik.

Ofte stillede spørgsmål

Er det ulovligt at bruge ChatGPT til kundedata? Ikke i sig selv. Det er en behandling af personoplysninger, og den skal opfylde de sædvanlige krav: et retligt grundlag, en databehandleraftale med leverandøren, en post i fortegnelsen og styr på en eventuel overførsel ud af EU. Er de dele ikke på plads, er det de manglende dele, der er problemet, ikke værktøjet.

Skal vi have en databehandleraftale med leverandøren af AI-værktøjet? Ja, hvis værktøjet behandler personoplysninger på jeres vegne. Undersøg, om leverandøren tilbyder en aftale på det abonnement, I bruger. Er der ingen aftale at få, bør værktøjet ikke bruges til opgaver, der involverer personoplysninger.

Hvad hvis en medarbejder bruger sit private abonnement? Det ændrer ikke virksomhedens ansvar. Bruger medarbejderen virksomhedens data i opgaven, er det virksomheden, der er dataansvarlig. Private abonnementer har typisk andre vilkår end erhvervsabonnementer, blandt andet om træning på indtastninger, og virksomheden har ingen aftale med leverandøren. Det er derfor, listen over godkendte værktøjer er værd at have.

Skal AI-værktøjet stå i vores fortegnelse over behandlingsaktiviteter? Ja, hvis det behandler personoplysninger. Det er ikke AI-forordningen, der kræver det, men databeskyttelsesforordningens artikel 30. AI-værktøjet er sjældent en selvstændig aktivitet i sig selv. Det er et system, der bruges inde i en aktivitet, I allerede har, for eksempel rekruttering eller kundeservice.

Hvem fører tilsyn med AI-forordningen i Danmark? Digitaliseringsstyrelsen. Reglerne om personoplysninger hører fortsat under Datatilsynet.

Denne artikel er generel vejledning og ikke juridisk rådgivning. Hvilke krav der præcist gælder for jeres virksomhed, afhænger af sektor, størrelse og risiko.

Senest opdateret: 22. august 2026.