AI i virksomheden: hvad Datatilsynet har skrevet om generativ AI
Opdateret 9. november 2026
Datatilsynet har ikke udgivet en egentlig vejledning til virksomheder om generativ AI. Det nærmeste er et sikkerhedstip fra marts 2024, der beder arbejdspladser sætte rammer for, om og hvordan medarbejdere må bruge generative AI-værktøjer, fordi tilsynet ser flere brud, hvor ansatte har brugt persondata som input. Dertil kommer vejledningen til offentlige myndigheders brug af kunstig intelligens fra oktober 2023, som siger, at I skal finde jeres eget behandlingsgrundlag, når I tager en leverandørs løsning i drift, og at AI næsten altid udløser en konsekvensanalyse.
Opret en virksomhedskontoeller skriv til contact@standardcompute.com
Denne side samler de officielle tekster med links og datoer, laver en tjekliste og viser den tekniske del, en AI-gateway klarer. Den opsummerer offentlig vejledning og er ikke juridisk rådgivning.
Hvad siger Datatilsynet kort fortalt?
- Har Datatilsynet en AI-vejledning for virksomheder?
- Datatilsynets side om kunstig intelligens linker per 9. november 2026 til vejledningen for offentlige myndigheder (oktober 2023), en skabelon til konsekvensanalyse for AI (maj 2024) og den regulatoriske sandkasse, som er åben for virksomheder og myndigheder. En særskilt vejledning til virksomheder om generativ AI findes ikke.
- Må medarbejdere bruge ChatGPT eller andre AI-værktøjer med persondata?
- Datatilsynet beder arbejdspladsen sætte organisatoriske rammer for, om og eventuelt hvordan medarbejdere må bruge generative AI-værktøjer. Tilsynet ser flere brud på persondatasikkerheden, hvor ansatte har brugt persondata fra arbejdet som input og prompts, uden at arbejdspladsen vidste det eller havde givet lov (22. marts 2024).
- Skal man lave en konsekvensanalyse for AI?
- Ifølge Datatilsynets vejledning fra oktober 2023 vil AI næsten altid udløse flere af kriterierne for en konsekvensanalyse, fordi det er ny teknologi. Analysen bør starte allerede i planlægningen og er en løbende forpligtelse.
Hvorfor beder Datatilsynet arbejdspladser forholde sig til AI-værktøjer?
Forhold dig til AI-værktøjer, Datatilsynet (ugens sikkerhedstip), 22. marts 2024
- Arbejdspladser bør sætte organisatoriske rammer for, om og eventuelt hvordan medarbejdere må bruge generative AI-værktøjer.
- Rammerne bør være en del af awareness-arbejdet, retningslinjer og/eller procedurer.
- Datatilsynet ser flere brud, hvor ansatte har brugt persondata fra deres arbejde som input og prompts, uden at arbejdspladsen har været opmærksom på det eller har givet lov til det.
- En teknisk mulighed er at blokere offentligt tilgængelige generative AI-værktøjer i arbejdspladsens firewall.
Hvad skal man afklare, før man tager kunstig intelligens i brug?
Offentlige myndigheders brug af kunstig intelligens: Inden I går i gang, Datatilsynet, oktober 2023
Skrevet til offentlige myndigheder og om AI generelt, ikke specifikt generativ AI. Flere af punkterne gælder enhver dataansvarlig, der køber en AI-løsning.
- Udvikling og træning er ét formål, drift et andet, og de kan kræve forskellige behandlingsgrundlag.
- Køber I en løsning, har leverandøren sandsynligvis behandlet personoplysninger på baggrund af sin legitime interesse. Når I sætter løsningen i drift, skal I selv identificere det relevante behandlingsgrundlag for jeres formål.
- Valget af behandlingsgrundlag skal dokumenteres.
- AI vil næsten altid udløse flere af kriterierne for en konsekvensanalyse, fordi det er ny teknologi. Start i planlægningen, og se analysen som en løbende forpligtelse.
- Databeskyttelse gennem design og standardindstillinger og passende sikkerhed, fx pseudonymisering, gælder i hele løsningens levetid.
- Vejledningen gennemgår også oplysningspligten over for de registrerede.
Hvilken tjekliste kan virksomheden lave ud fra det?
En praktisk læsning af de to tekster ovenfor, i den rækkefølge IT, DPO og forretning typisk tager dem.
Beslut om og hvordan AI-værktøjer må bruges
Hvilke værktøjer er tilladt, til hvad, og hvilke data må aldrig i en prompt. Skriv det ned i retningslinjer.
Gør det til en del af awareness
Medarbejderne skal kende rammerne. Tilsynet ser brud, hvor arbejdspladsen ikke vidste, at persondata blev brugt som input.
Styr adgangen teknisk
Bloker offentlige værktøjer, I ikke har godkendt, og giv adgang gennem en løsning, I kontrollerer.
Find jeres eget behandlingsgrundlag
For driften af løsningen, adskilt fra leverandørens træning, og dokumenter valget.
Lav konsekvensanalysen tidligt
Allerede i planlægningen, og opdater den løbende. Datatilsynet har en skabelon til AI.
Indbyg databeskyttelse fra start
Standardindstillinger, sikkerhed og pseudonymisering, hvor det giver mening.
Afklar leverandørens brug af data
Gemmer leverandøren prompts? Træner den på dem? Hvor behandles de? Få det i databehandleraftalen.
Hold styr på brugen
Hvem bruger hvilken model hos hvilken leverandør, under hvilke regler, og hvem har ændret reglerne.
Hvordan hjælper en AI-gateway med den praktiske del?
Formål, behandlingsgrundlag, konsekvensanalyse og retningslinjer er stadig jeres arbejde. Standard Compute, en AI-gateway til førende og åbne modeller, klarer den tekniske del af flere punkter på listen: hvor prompts behandles, hvem der gemmer dem, hvem der må bruge hvilken model, og hvad der er sket.
Europa-regel
Sæt en Europa-regel for virksomheden, et team eller én nøgle: hver forespørgsel, også nye forsøg og fallbacks, betjenes kun af godkendte europæiske inferens-endpoints. Kan intet europæisk endpoint betjene den, afvises forespørgslen, før jeres prompt sendes. Vores EU-gateway terminerer TLS og kører i Finland, og kontodata gemmes i Frankfurt.
Ingen datalagring (ZDR)
Slå zero data retention til for virksomheden, et team eller en nøgle: hver forespørgsel går kun til inferens-endpoints, der forpligter sig til ikke at beholde en kopi af jeres data. Teams og nøgler arver kravet og kan aldrig slå det fra.
Ingen træning
Standard Compute træner aldrig på jeres prompts eller svar. Med en regionsregel eller zero data retention slået til går hver forespørgsel kun til udbydere, der forpligter sig til ikke at træne på den.
SSO og Microsoft Entra
Forbind Microsoft Entra ID eller en anden SAML-identitetsudbyder, så medarbejderne logger ind med deres arbejdskonto. Alle på jeres verificerede domæne kommer automatisk med i virksomheden. Medarbejderne logger også ind i Claude Desktop og Claude Code med deres Microsoft-arbejdskonto gennem vores EU-gateway, og adgangen følger jeres Entra-grupper via SCIM.
Godkendte udbydere og modeller
Vælg hvilke inferens-udbydere der må behandle jeres data, for virksomheden, et team eller en nøgle, og hvilke modeller hver nøgle må bruge. Et lavere niveau kan kun stramme reglerne, nye udbydere kommer aldrig med uden en administrators godkendelse, og fallbacks går aldrig uden om listen.
Revisionslog og forespørgselslog
Hver ændring, en administrator laver, logges med værdien før og efter, og I eksporterer model, udbyderen der betjente forespørgslen, og den gældende regionsregel for hver forespørgsel, gemt i 12 måneder. Posterne indeholder kun metadata, aldrig prompts eller svar.
Databehandleraftale i dashboardet
Underskriv vores databehandleraftale i dashboardet på få minutter: ingen træning på jeres data, ingen lagring af jeres indhold og underretning om brud inden for 72 timer. Vi offentliggør alle underdatabehandlere og varsler 14 dage før, vi tilføjer en ny.
Budgetter
Hver person og hver app får sin egen nøgle med et fast månedsbudget, der aldrig overskrides, og I sætter udgiftslofter pr. nøgle og for hele virksomheden.
Spørgsmål fra IT, DPO og sikkerhed
- Forbyder Datatilsynet ChatGPT eller Copilot på arbejdet?
- Nej. Teksterne her forbyder ingen værktøjer. De beder arbejdspladsen sætte rammer for brugen, gøre dem kendt, finde sit eget behandlingsgrundlag og lave en konsekvensanalyse.
- Gør en AI-gateway virksomheden GDPR-compliant?
- Nej. En gateway løser en teknisk del: hvor prompts behandles, lagring, godkendte udbydere og modeller og logs. Formål, behandlingsgrundlag, konsekvensanalyse, oplysningspligt og retningslinjer er stadig jeres ansvar.
- Hvor behandler Standard Compute prompts?
- Med en Europa-regel går jeres prompts ind og ud gennem vores gateway i Finland og betjenes kun af godkendte europæiske inferens-endpoints, uden fallback uden for Europa. Kan intet endpoint betjene forespørgslen, afvises den, før noget sendes.
- Gemmer Standard Compute indholdet af forespørgsler?
- Vi behandler jeres prompts i hukommelsen for at betjene hver forespørgsel og skriver dem aldrig til lager eller logs. Forespørgselsposter indeholder kun metadata: model, udbyder, tokens, omkostning og status.
Officielle kilder
Opsummeringen bygger på disse tekster, læst 9. november 2026. Den erstatter hverken teksterne selv eller juridisk rådgivning.
- Forhold dig til AI-værktøjer (Datatilsynet (ugens sikkerhedstip), 22. marts 2024)
- Offentlige myndigheders brug af kunstig intelligens: Inden I går i gang (Datatilsynet, oktober 2023)
Læs også
Opret jeres virksomhedskonto, slå Europa-reglen og zero data retention til, og underskriv databehandleraftalen i dashboardet.