Kommuner, virksomheder og uddannelsesinstitutioner tager i hastigt tempo AI-assistenter i brug til alt fra borgerservice til undervisningsstøtte. Men hver gang en chatbot “ser” personoplysninger, gælder de samme krav som for alle andre IT-systemer under EU’s databeskyttelsesforordning (GDPR). Derfor er en gennemarbejdet Data Processing Agreement (DPA) mellem controller og processor — samt en række tekniske og organisatoriske foranstaltninger — helt afgørende, før den første prompt bliver tastet.(gdpr-info.eu, gdpr-info.eu)
Nedenfor finder du seks konkrete trin, som databeskyttelsesrådgivere og it-ansvarlige kan følge for at sikre, at jeres AI-assistent lever op til GDPR-kravene fra dag 1.
GDPR kræver et klart retsgrundlag for hver behandling. Offentlige myndigheder vælger typisk art. 6(1)(e) “offentlig myndighedsudøvelse / samfundsinteresse”, mens private oftest bruger samtykke eller legitim interesse. Dokumentér valget, og beskriv det i privatlivspolitikken og cookie-banneret.(ico.org.uk, ico.org.uk)
Art. 28 pålægger jer at have en skriftlig aftale, der beskriver formål, varighed, kategorier af data, sikkerhedsforanstaltninger og underbehandlere. Start med den anerkendte skabelon fra GDPR.eu og tilpas bilagene til AI-drift (modelhosting, vektordatabaser, GPU-udbydere). Husk versionstyring: opdater DPA’en, når I skifter model eller føjer nye funktioner til.(gdpr.eu, gdpr-info.eu)
Ifølge art. 5(1)(c) “dataminimering” må I kun behandle data, der er nødvendige. I praksis betyder det:
Maskér eller hash personoplysninger i prompts, så modellen aldrig ser rå CPR-numre.
Implementér prompt-redaction og output-filtering, som fanger utilsigtet læk før svar sendes til brugeren.
Overvåg logs for “prompt-injection” angreb, som kan få assistenten til at lække træningsdata.(ico.org.uk, latitude-blog.ghost.io)
GDPR kræver, at data slettes eller anonymiseres, når formålet er opfyldt [art. 5(1)(e)].
Sæt automatisk Time-to-Live (TTL) på samtalelogs (fx 30 eller 90 dage).
Opbevar kun aggregerede telemetry-data til fejlsøgning.
Dokumentér tidsfrister i jeres fortegnelse over behandlingsaktiviteter (ROPA).(ico.org.uk, gdprhub.eu)
Leverandøren (processor) må ikke engagere nye sub-processorer uden jeres forudgående skriftlige godkendelse (art. 28(2)). Sørg for:
Et change-management flow, hvor I får besked om nye GPU-centre eller SaaS-tjenester.
Et register over alle aktuelle underbehandlere med kontaktinformation og datalokation.(gdpr-info.eu, gdprhub.eu)
Hvis chatbotten behandler følsomme data eller profilerer brugere, skal der udføres en Data Protection Impact Assessment (DPIA) før go-live (art. 35). Brug CNIL’s open-source PIA-tool til at kortlægge risici, og gentag vurderingen mindst én gang årligt eller ved større modelopdateringer.(github.com, cnil.fr)
En GDPR-sikker AI-assistent kræver mere end krypteret trafik og et pænt cookie-banner. Ved at
vælge korrekt retsgrundlag,
indgå en detaljeret DPA, og
indbygge dataminimering, sletning og audit i jeres DevOps-pipeline,
viser I både Datatilsynet og brugerne, at I tager privatliv alvorligt.
Tag små, iterative skridt: start med en DPIA-workshop, opdater jeres DPA, og rul derefter tekniske kontroller ud. Når fundamentet er på plads, kan AI-assistenten levere værdi uden at blive et compliance-mareridt. Vil I spare tid, findes der færdige moduler — fx Promtes Privacy Layer — som automatiserer prompt-redaction, log-sletning og sub-processor-håndtering.
Resultatet? En hurtigere, mere tillidsvækkende chatbot, som både brugere og tilsynsmyndigheder kan have ro i maven over.
EU-lokal datalagring – al behandling og opbevaring foregår udelukkende på servere i EU, hvilket eliminerer transatlantiske overførsler og Schrems II-problematikken.
On-premises-mulighed – har I særlige krav (fx sundheds- eller borgerservicedata), kan Promte installeres fuldt ud i eget datacenter eller som hybridløsning.
Kundetilpasset DPA & fuldt dataejerskab – Promte tilbyder standard-DPA’er og garanterer, at kunden altid ejer både rå data og fine-tuned modeller.
Avanceret indholds- og sikkerhedsfilter – real-time content filtering blokerer ulovligt eller følsomt indhold, mens IAM/IAP-kontroller på Google Cloud og Azure sikrer rollebaseret adgang.
Certificeret infrastruktur – underliggende cloud-tjenester er ISO 27001-, SOC 2- og PCI-DSS-certificerede, hvilket forenkler jeres egen compliance-dokumentation.
Kort sagt: Promte kombinerer fleksibiliteten ved generativ AI med en arkitektur, der er designet til de strengeste europæiske databeskyttelseskrav – klar til at blive plugget direkte ind i jeres eksisterende GDPR-styring.