Er det lovligt at bruge AI til kundedata? GDPR-guide for danske virksomheder

Er det lovligt at bruge AI til kundedata efter GDPR?

AI kan bruges lovligt til kundedata, men det kræver en konkret vurdering af formål, datatyper, parternes roller og behandlingens risici. Når data er personoplysninger, gælder GDPR; en databehandleraftale er nødvendig, når leverandøren behandler oplysninger på jeres vegne.

Afklar behandlingsgrundlag, nødvendighed, information til kunderne, sikkerhed, opbevaring og eventuelle overførsler. Særlige datatyper og anvendelser kan udløse yderligere krav. En kort tjekliste eller en underskrevet aftale er derfor ikke i sig selv en garanti for lovlighed.

Hvorfor spørgsmålet dukker op lige nu

Rigtig mange danske virksomheder har i løbet af det seneste år lagt AI-værktøjer ind i deres daglige arbejdsgange: kundeservice-chatbots, AI-assistenter der læser indbakker, agenter der beriger CRM-data eller skriver udkast til svar. Det sker ofte hurtigt, fordi værktøjerne er lette at tage i brug: en medarbejder tilmelder et SaaS-værktøj med sin arbejdsmail, kobler det til CRM'et, og pludselig strømmer kundedata igennem et system, som hverken it-afdelingen eller den databeskyttelsesansvarlige har haft i hånden.

Det er ikke ulovligt i sig selv. Men det er præcis den situation, hvor virksomheder risikerer at overtræde databeskyttelsesreglerne uden at vide det, fordi opmærksomheden har været på funktionalitet, ikke på hvor data rejser hen. Spørgsmålet "er det lovligt" er derfor sjældent et ja/nej-spørgsmål. Det er et spørgsmål om, hvorvidt de rigtige forudsætninger er på plads.

Hvad siger GDPR egentlig om AI og kundedata

GDPR gælder behandling af personoplysninger, uanset teknologien. AI-værktøjer, der læser, analyserer eller genererer tekst ud fra oplysninger om identificerbare kunder eller kontaktpersoner, skal vurderes efter disse regler. Kundedata uden personoplysninger falder ikke alene af den grund under GDPR.

Det betyder, at de velkendte GDPR-principper gælder fuldt ud, når I sætter AI på kundedata:

Lovlighed, rimelighed og gennemsigtighed: I skal have et grundlag for behandlingen, og kunderne skal kunne forstå, hvad der sker med deres data.
Formålsbegrænsning: data indsamlet til ét formål (fx support) må ikke uden videre genbruges til et andet (fx at træne en model).
Dataminimering: AI-værktøjet skal kun have adgang til de data, det faktisk har brug for.
Opbevaringsbegrænsning: data må ikke ligge i AI-systemet længere end nødvendigt.
Integritet og fortrolighed: I skal kunne dokumentere, at data er beskyttet undervejs.

Datatilsynet har samlet reglerne og vejledningerne om databeskyttelse på sin hjemmeside, og det er her, I finder den opdaterede danske fortolkning af, hvordan principperne skal anvendes i praksis, se Datatilsynets regler og vejledning.

AI-forordningen kommer oveni, ikke i stedet for

Det er værd at bemærke, at EU's AI-forordning (AI Act) er et separat regelsæt, der stiller krav til selve AI-systemet, særligt ved højrisiko-anvendelser. Den erstatter ikke GDPR. Når I bruger AI til kundedata, skal I typisk forholde jer til begge regelsæt samtidig: GDPR for databehandlingen, AI-forordningen for selve systemets risikoklassificering og krav. EU-Kommissionens borgerportal for virksomheder giver et overblik over, hvordan databeskyttelsesreglerne hænger sammen med den digitale lovgivning, se EU's vejledning om databeskyttelse for virksomheder.

Behandlingsgrundlag: det første, I skal have styr på

Før AI-værktøjet rører en eneste kundeoplysning, skal I kunne svare på ét spørgsmål: hvilket lovligt grundlag har I for at behandle disse data på denne måde? De mest almindelige grundlag i en kundekontekst er:

Aftale: behandlingen er nødvendig for at opfylde en aftale med kunden (fx AI der besvarer supporthenvendelser om en eksisterende ordre).
Legitim interesse: I har en legitim forretningsmæssig interesse, som ikke overstiges af kundens interesser og rettigheder (fx intern AI-analyse til at forbedre svartider).
Samtykke: særligt relevant hvis data skal bruges til noget, kunden ikke med rimelighed kunne forvente, fx at deres henvendelser bruges til at forbedre en AI-model på tværs af kunder.

Det afgørende er, at grundlaget skal passe til den konkrete brug, ikke til teknologien generelt. Et behandlingsgrundlag, der dækker "at besvare kundehenvendelser", dækker ikke automatisk "at bruge kundehenvendelser til at træne en AI-model". Det er to forskellige formål, og formålsbegrænsningen i GDPR betyder, at I skal vurdere dem hver for sig.

Databehandleraftalen (DPA) med AI-leverandøren

Når en AI-leverandør behandler personoplysninger på jeres vegne, skal der være en databehandleraftale. Hvis leverandøren også bruger oplysninger til egne formål, skal denne behandling og rolle vurderes særskilt. EU-Kommissionens forklaring af rollerne beskriver forskellen.

En DPA med et AI-værktøj bør som minimum afklare:

Formålet med behandlingen: præcist afgrænset, ikke bare "levering af tjenesten".
Om data bruges til modeltræning, og i så fald, om det kan fravælges (opt-out), og om det gælder som standard eller kræver aktivt tilvalg.
Underdatabehandlere: hvilke tredjeparter AI-leverandøren selv bruger, og om de er godkendt af jer.
Sletning: hvad der sker med data, når I opsiger aftalen eller sletter en samtale/sag.
Sikkerhedsforanstaltninger: kryptering, adgangsstyring, logning.

Mange AI-leverandører har standardvilkår, der er skrevet til at dække flest mulige kunder, ikke nødvendigvis til at beskytte netop jeres kundedata bedst muligt. Det er derfor værd at læse AI-vilkårene og databehandleraftalen konkret igennem, frem for at antage, at "de har styr på det", fordi produktet er professionelt.

Overførsel af data til tredjeland

Afklar, hvor AI-leverandøren og dens underleverandører behandler oplysningerne, herunder fjernadgang fra tredjelande. Overførsel af personoplysninger uden for EU/EØS kræver et relevant overførselsgrundlag, fx en tilstrækkelighedsafgørelse, der dækker modtageren og overførslen, eller standardkontraktbestemmelser med nødvendige supplerende foranstaltninger.

I praksis betyder det, at I bør kunne svare på:

Hvor ligger de servere, der behandler jeres kundedata, fysisk?
Hvilket overførselsgrundlag anvender leverandøren, hvis data forlader EU/EØS?
Kan I vælge en EU-hostet version af værktøjet, hvis det findes?

Det er ikke ulovligt at bruge en amerikansk AI-leverandør, men det stiller krav om, at overførslen er retligt funderet, og at I har dokumenteret det. Datatilsynets vejledningsmateriale om internationale overførsler er stedet at starte, hvis I er i tvivl om et konkret setup.

Dataminimering og gennemsigtighed over for kunderne

En af de mest almindelige fejl er at give AI-værktøjet adgang til hele kundedatabasen, fordi det er nemmest teknisk, fremfor at afgrænse adgangen til det, opgaven faktisk kræver. Et AI-værktøj, der skal skrive udkast til svar på supporthenvendelser, behøver ikke adgang til hele salgshistorikken, betalingsoplysninger eller interne noter om kunden.

Spørg jer selv: hvilke felter, samtaler og dokumenter har denne specifikke AI-funktion reelt brug for? Jo snævrere adgang, jo mindre er både den juridiske risiko og konsekvensen, hvis noget går galt.

Gennemsigtighed over for kunderne

Kunderne har ret til at vide, hvordan deres data behandles, det gælder også, når en del af behandlingen sker via AI. I bør sikre, at jeres privatlivspolitik reelt afspejler, at AI indgår i behandlingen af kundehenvendelser, og at det er tydeligt, hvor kunden kan henvende sig, hvis de har spørgsmål eller vil gøre indsigelse.

Oplysning om direkte AI-interaktion reguleres særskilt i AI-forordningens artikel 50, stk. 1, som pålægger udbyderen en oplysningspligt med de angivne undtagelser. Databeskyttelsesrettens oplysningskrav om behandling af personoplysninger skal vurderes ved siden af dette.

Sletning og opbevaring af data i AI-systemer

AI-værktøjer har en tendens til at akkumulere data i logs, chatliste-historik og "hukommelses"-funktioner, som let bliver glemt i den almindelige sletnings-rutine. Når I indfører et AI-værktøj, bør I fra dag ét afklare:

Hvor længe ligger en samtale eller sag i systemet, før den slettes eller anonymiseres?
Kan I slette en enkelt kundes data på tværs af AI-systemet, hvis kunden beder om det (retten til sletning)?
Ligger der kopier af data i logs eller cache, som den almindelige sletning ikke rammer?

Dette er ofte det punkt, hvor AI-værktøjer adskiller sig mest fra klassiske systemer: fordi data kan ligge spredt i flere lag (chat-historik, embeddings, logs), og en enkelt "slet"-knap ikke nødvendigvis rammer dem alle.

Egen instans og dataejerskab: hvad arkitekturen ikke afgør

Den juridiske vurdering kræver overblik over hele leverandørkæden og de behandlinger, der sker i hvert led. Antallet af leverandører eller valget mellem delt infrastruktur og egen instans afgør ikke alene risikoen. Dokumentér også adgang, formål og eventuelle overførsler.

Her spiller arkitektur en rolle. En egen instans kan adskille jeres applikation og database fra andre kunders. Antallet af databehandlere og datastrømme afhænger af den konkrete opsætning. Sprogmodellen kan for eksempel køre hos en underleverandør, og den skal med i aftalerne. Databehandleraftaler og eventuelle overførsler skal vurderes for hele leverandørkæden.

Det er vigtigt at være præcis her: egen instans er ikke en juridisk garanti i sig selv, og det fritager ikke for at lave de samme vurderinger af behandlingsgrundlag, formål og sletning. Adskillelse af applikation og database kan begrænse deling mellem kunder. Risici ved behandling hos underleverandører skal vurderes særskilt.

Sådan kommer I i gang: en praktisk tjekliste

Uanset hvilket AI-værktøj I overvejer eller allerede bruger, er rækkefølgen typisk den samme:

Kortlæg hvilke AI-værktøjer der allerede rører kundedata i virksomheden, inklusive dem, enkelte medarbejdere selv har tilmeldt.
Identificér behandlingsgrundlaget for hver konkret brug, ikke bare for værktøjet generelt.
Afklar rollerne og indgå databehandleraftale med de leverandører, der behandler personoplysninger på jeres vegne.
Afklar overførselsgrundlaget, hvis leverandøren behandler data uden for EU/EØS.
Begræns adgangen til det, den enkelte AI-funktion faktisk har brug for.
Fastlæg sletteregler og tjek, at de også rammer logs og chat-historik.
Opdatér privatlivspolitikken, så den afspejler den faktiske brug af AI.
Dokumentér vurderingen i et omfang, der passer til behandlingen og risiciene. Afklar særskilt, om der kræves en konsekvensanalyse eller andre vurderinger.

Sammenhæng med jeres øvrige AI-modenhed

At bruge AI lovligt på kundedata hænger tæt sammen med, hvor moden jeres samlede AI- og data-opsætning er. Har I fx allerede styr på jeres data-hygiejne i CRM'et, er det lettere at afgrænse, hvad en AI-agent skal have adgang til, se vores gennemgang i CRM-data-hygiejne guide 2026. Overvejer I bredere, hvad en AI-agent i virksomheden egentlig er og kan bruges til, er det værd at starte med Hvad er en AI-agent til virksomheden. Og bruger I AI i kundeservice eller customer success specifikt, er der en dedikeret gennemgang i Customer Success AI-guide 2026.

Hvad AI'en IKKE skal

AI-agenten skal ikke selv træffe det juridiske skøn om behandlingsgrundlag, det er en menneskelig vurdering, evt. med jurist- eller rådgiverbistand.
AI'en skal ikke have bredere dataadgang, end den konkrete opgave kræver, bare fordi det er teknisk enklere at give fuld adgang.
AI'en skal ikke bruges til at omgå samtykkekrav eller retten til indsigelse ved at "flytte" behandlingen ind i et system, kunden ikke er informeret om.
AI'en skal ikke erstatte en påkrævet databehandleraftale eller vurderingen af parternes roller.
AI'en skal ikke bruges til at træffe endelige afgørelser over for kunder uden menneskelig kontrol, hvor det har retlig eller tilsvarende betydelig virkning for dem.

Ofte stillede spørgsmål

Må vi bruge en gratis AI-chatbot til at besvare kundehenvendelser?

Det afhænger af vilkårene for det konkrete værktøj. Gratis versioner af AI-værktøjer bruger i nogle tilfælde data til modeltræning som en del af forretningsmodellen, og de har ikke altid en databehandleraftale, der er tilstrækkelig til erhvervsmæssig brug på kundedata. Tjek altid vilkårene og om der findes en betalt/erhvervs-version med en ordentlig DPA, før I sætter kundedata på et gratis værktøj.

Skal vi bede om samtykke, før AI må behandle kundedata?

Ikke nødvendigvis. Samtykke er kun ét ud af flere mulige behandlingsgrundlag i GDPR. Ofte kan aftale eller legitim interesse være det rette grundlag, afhængigt af den konkrete behandling. Det afgørende er, at I aktivt har valgt og kan begrunde grundlaget, ikke at samtykke altid er påkrævet.

Må en AI-leverandør bruge vores kundedata til at træne deres model?

Modeltræning skal have et lovligt grundlag og være forenelig med de øvrige databeskyttelseskrav. En aftale mellem jer og leverandøren eller et opt-out er ikke i sig selv tilstrækkeligt. Afklar formål, roller, information til kunderne og leverandørens faktiske brug af oplysningerne.

Hvad hvis AI-leverandøren har servere i USA?

Det er ikke automatisk ulovligt, men det kræver et gyldigt overførselsgrundlag, fx standardkontraktbestemmelser (SCC'er). I bør kunne se, hvilket overførselsgrundlag leverandøren anvender, og gerne have det dokumenteret i aftalen.

Gør egen instans og self-host det automatisk lovligt at bruge AI på kundedata?

Nej. Egen instans og self-host kan give mere kontrol over driften, men antallet af databehandlere og eventuelle overførsler afhænger af den konkrete opsætning. I skal stadig have et behandlingsgrundlag, en sletteplan og de øvrige GDPR-forudsætninger på plads, arkitektur erstatter ikke den juridiske vurdering.

Kan en kunde forlange at få sine data slettet fra et AI-system?

Retten til sletning gælder også i AI-systemer, når betingelserne er opfyldt; den har undtagelser. Afklar anmodningens rækkevidde og håndter relevante kopier i chat-historik, logs og øvrige lag efter reglerne. Datatilsynets vejledning om sletning beskriver også håndtering af backups.

Situationer hvor AI rører kundedata, og hvad der typisk kræves
Situation	Hvad kræves	Hvorfor det er relevant
AI-chatbot besvarer kundehenvendelser via chat/mail	Konkret behandlingsgrundlag; DPA hvis leverandøren er databehandler	Formål, nødvendighed og parternes roller skal afklares
AI analyserer kundedata for at give indsigt eller anbefalinger	Særskilt behandlingsgrundlag for analyse-formålet + dataminimering	Analyse er ofte et andet formål end den oprindelige indsamling
AI-leverandøren er hostet uden for EU/EØS	Gyldigt overførselsgrundlag, fx SCC'er	Overførsel til tredjeland er reguleret særskilt i GDPR
AI-værktøjet kan bruge data til modeltræning	Afklar lovligt grundlag, formål, roller og vilkår for træning	Et opt-out eller en DPA gør ikke i sig selv træningen lovlig
Kunde beder om at få slettet sine data	Vurdér betingelser og undtagelser; gennemfør relevant sletning	Berørte kopier og systemlag skal indgå i vurderingen

Samlet vurdering: AI kan bruges lovligt til kundedata, men det afhænger af den konkrete behandling. Afklar formål, datatyper, grundlag, roller, sikkerhed, information, opbevaring og eventuelle overførsler. En egen instans ændrer ikke disse pligter; hele leverandørkæden skal indgå. Brug tjeklisten til at finde de spørgsmål, som jeres konkrete vurdering skal besvare.

Denne artikel er redaktionel vejledning og udgør ikke juridisk rådgivning. Kontakt jeres databeskyttelsesrådgiver eller Datatilsynet ved konkret tvivl om jeres opsætning.