Kommuner, virksomheder og uddannelsesinstitutioner tager i hastigt tempo AI-assistenter i brug til alt fra borgerservice til undervisningsstøtte. Men hver gang en chatbot “ser” personoplysninger, gælder de samme krav som for alle andre IT-systemer under EU’s databeskyttelsesforordning (GDPR). Derfor er en gennemarbejdet Databehandleraftale / Data Processing Agreement (DPA) mellem controller og processor, samt en række tekniske og organisatoriske foranstaltninger, helt afgørende, før den første prompt bliver tastet.(gdpr-info.eu, gdpr-info.eu)
Nedenfor finder du seks konkrete trin, som databeskyttelsesrådgivere og it-ansvarlige kan følge for at sikre, at jeres AI-assistent lever op til GDPR-kravene fra dag 1.
GDPR kræver et klart retsgrundlag for hver behandling. Offentlige myndigheder vælger typisk som udgangspunkt art. 6(1)(e) “offentlig myndighedsudøvelse / samfundsinteresse” samt hjemmel i relevant sektorlovgivning, mens private oftest bruger samtykke eller legitim interesse. Dokumentér valget, og beskriv det i privatlivspolitikken og cookie-banneret.(ico.org.uk, ico.org.uk)
Kommuner og andre myndigheder kan ikke nøjes med art. 6(1)(e) om “offentlig myndighedsudøvelse / samfundsinteresse”. Datatilsynet understreger, at behandlingen altid skal hvile på et supplerende retsgrundlag i EU- eller dansk ret, som specifikt giver adgang til den opgave AI-assistenten støtter, fx borgerservice, undervisning eller sagsbehandling. (Datatilsynet)
Art. 28 pålægger jer at have en skriftlig aftale, der beskriver formål, varighed, kategorier af data, sikkerhedsforanstaltninger og underbehandlere. Et godt udgangspunkt er datatilsynets Skabelon til databehandleraftale tilpas bilagene til AI-drift (modelhosting, vektordatabaser, GPU-udbydere). Husk versionstyring: opdater DPA’en, når I skifter model eller føjer nye funktioner til.(gdpr.eu, gdpr-info.eu)
Ifølge art. 5(1)(c) “dataminimering” må I kun behandle data, der er nødvendige. I praksis betyder det:
Maskér eller hash personoplysninger i prompts, så modellen aldrig ser rå CPR-numre.
Implementér sikre regler og instruktioner i systemprompt, som AI-modellen genererer tekst på baggrund af.
Overvåg logs for angreb eller misbrug af løsningen.(ico.org.uk, latitude-blog.ghost.io)
GDPR kræver, at data slettes eller anonymiseres, når formålet er opfyldt [art. 5(1)(e)].
Sæt en automatisk slettepolitik på samtalelogs (fx 90 dage).
Dokumentér tidsfrister i jeres fortegnelse over behandlingsaktiviteter (ROPA).(ico.org.uk, gdprhub.eu)
Leverandøren (processor) må ikke engagere nye sub-processorer uden jeres forudgående skriftlige godkendelse (art. 28(2)). Sørg for:
Et change-management flow, hvor I får besked om nye GPU-centre eller SaaS-tjenester.
Et register over alle aktuelle underbehandlere med kontaktinformation og datalokation.(gdpr-info.eu, gdprhub.eu)
Hvis chatbotten behandler følsomme data eller profilerer brugere, skal der udføres en Data Protection Impact Assessment (DPIA) før go-live (art. 35). Brug f.eks. CNIL’s open-source PIA-tool til at kortlægge risici, og gentag vurderingen mindst én gang årligt eller ved større modelopdateringer.(github.com, cnil.fr)
En GDPR-sikker AI-assistent kræver mere end krypteret trafik og et pænt cookie-banner. Ved at
vælge korrekt retsgrundlag,
indgå en detaljeret DPA, og
indbygge dataminimering, sletning og audit,
viser I både Datatilsynet og brugerne, at I tager privatliv alvorligt.
Tag små, iterative skridt: start med en DPIA-workshop, opdater jeres DPA, og rul derefter tekniske kontroller ud. Når fundamentet er på plads, kan AI-assistenten levere værdi uden at blive et compliance-mareridt. Vil I spare tid, findes der færdige moduler, fx Promtes Privacy Layer, som automatiserer sikre instrukser i systemprompts, slettepolitik og sub-processor-håndtering.
Resultatet? En hurtigere, mere tillidsvækkende chatbot, som både brugere og tilsynsmyndigheder kan have ro i maven over.
EU-lokal datalagring: al behandling og opbevaring foregår udelukkende på servere i EU, hvilket eliminerer transatlantiske overførsler.
On-premises-mulighed: har I særlige krav (fx sundheds- eller borgerservicedata), kan Promte installeres fuldt ud i eget datacenter eller som hybridløsning.
Kundetilpasset DPA & fuldt dataejerskab: Promte tilbyder standard-DPA’er og garanterer, at kunden altid ejer både rå data og trænede modeller.
Avanceret indholds- og sikkerhedsfilter: real-time content filtering blokerer ulovligt eller følsomt indhold, mens IAM/IAP-kontroller servere sikrer rollebaseret adgang.
Certificeret infrastruktur: underliggende cloud-tjenester er ISO 27001-, SOC 2- og PCI-DSS-certificerede, hvilket forenkler jeres egen compliance-dokumentation.
Kort sagt: Promte kombinerer fleksibiliteten ved generativ AI med en arkitektur, der er designet til de strengeste europæiske databeskyttelseskrav, klar til at blive plugget direkte ind i jeres eksisterende GDPR-styring.
