Kort svar: Hver gang du sætter kundedata ind i et AI-værktøj – en supportmail til omskrivning, et kundemøde til referat, en ordreliste til analyse – sender du persondata til en leverandør, og så gælder hele paletten: databehandleraftale, dataplacering, overførselsgrundlag – og AI-tillægget: bruges dine data til TRÆNING? Grundreglerne: brug erhvervsudgaver med DPA og træningsfravælgelse, anonymisér hvor du kan, skriv en kort AI-politik for hvad må/må-ikke – og behandl AI-leverandører som alle andre databehandlere i kortlægningen.
AI-værktøjerne er rykket ind i hverdagen hurtigere end databeskyttelsen kunne følge med: medarbejdere indsatte kundemails i chatbots længe før nogen spurgte om lov. Denne guide rydder op: hvad der juridisk sker, når kundedata møder AI, hvilke værktøjsvalg der gør det forsvarligt – og de få regler, dit team faktisk kan huske.
Kontrolramme: Vejledning pr. september 2026 – området udvikler sig hurtigt (AI-forordningen indfases parallelt). Ikke juridisk rådgivning.
Juridisk er et AI-værktøj en databehandler (eller i visse setups selvstændigt ansvarlig): prompten med kundens navn, mail eller sag ER en videregivelse. Dermed gælder de kendte spørgsmål – DPA, placering, underleverandører, grundlag – PLUS de AI-specifikke: gemmes prompts, og hvor længe? Bruges de til modeltræning (så kundens data potentielt lever videre i modellen)? Kan medarbejderes forbrugerkonti se firmadata? Forskellen på en gratis chatbot-konto og en erhvervsaftale er præcis disse svar.
Kravlisten til AI-leverandører, før kundedata rører dem: erhvervsaftale (ikke privatkonti – de har andre vilkår), DPA med kendt dataplacering og overførselsgrundlag (flere store udbydere tilbyder EU-behandling – vælg den, hvor muligt), træningsfravalg som standard (erhvervsaftaler har det typisk – verificér), logning/opbevaring du kan styre – og leverandøren ind i kortlægningen som alle andre. For de mest følsomme anvendelser findes desuden EU-hostede og selvhostede modeller (en VPS med en åben model kan løse afgrænsede opgaver helt på egen grund) – tænk dem som AI’ens svar på selvhostet analytics.
Den billigste beskyttelse er at sende MINDRE: de fleste AI-opgaver løses lige så godt uden identiteter. „Omskriv dette svar venligere“ behøver ikke kundens navn og ordrenummer; analyser kan køre på anonymiserede udtræk; „[KUNDE]“ og „[ORDRENR]“ som pladsholdere er en vane, teams lærer på en uge. Særlige kategorier (helbred, fagforening – jf. foreningsguiden) og CPR hører ALDRIG hjemme i prompts til eksterne tjenester. Reglen til teamet: skriv i prompten, som var den offentlig – så falder det meste på plads af sig selv.
Skriv den korte politik, før vanerne sætter sig: HVILKE værktøjer er godkendt (og på hvilke konti), HVAD må de bruges til, HVAD må aldrig indgå (kundeidentiteter uden behov, særlige kategorier, adgangskoder, forretningshemmeligheder efter jeres vurdering), og HVEM spørger man. Én side, gennemgået på et teammøde, revideret halvårligt – skabelonen står i AI-politik-guiden, og hele anvendelses-siden af AI (produkttekster, chatbots, agenter) bor i AI i praksis-hubben. Med politikken på plads er AI ikke et compliance-hul men et værktøj med samme voksne rammer som resten af jeres datalandskab.
Reglerne bliver først virkelige som vaner. Vane 1: anonymisér i prompten. „Skriv et svar til en kunde, hvis pakke er forsinket“ virker præcis lige så godt som at indsætte hele mailtråden med navn, adresse og ordrenummer – lav omskrivningen til rygrad, så sparer du både risiko og diskussion. Vane 2: én godkendt vej ind. Peg på ÉT værktøj med erhvervsaftale og træningsfravalg som firmaets standard – skygge-AI opstår, hvor den officielle vej mangler eller er for besværlig.
Vane 3: log de automatiske behandlinger. Alt, der kører uden menneske (autosvar, opsummeringer, kategorisering), skal stå på én liste med formål og datagrundlag – det er den liste, du slår op i, når en kunde eller Datatilsynet spørger. Tre vaner, femten minutters opsætning – og så kan teamet bruge AI med god samvittighed i stedet for i smug.
Og genbesøg værktøjslisten halvårligt: AI-leverandørernes vilkår ændrer sig hurtigere end de flestes – tjek at træningsfravalget stadig gælder, og at dataplaceringen ikke er rykket, siden I sagde ja.
Skriv til sidst de tre vaner ind i jeres AI-politik, så nye kolleger arver dem fra dag ét – en regel, der kun findes i hovedet på de erfarne, beskytter ingen den dag, praktikanten får travlt.
Ikke med kundedata – privatkonti har andre vilkår (ofte træning på input og ingen DPA). Brug erhvervsaftaler med databehandleraftale og træningsfravalg.
Afhænger af aftalen: erhvervsudgaver har typisk træningsfravalg som standard – verificér det skriftligt, og genbesøg ved vilkårsændringer.
CPR, adgangskoder, særlige kategorier (helbred m.v.) og kundeidentiteter uden behov. Tommelfingerregel: skriv prompten, som var den offentlig.
