Er det lovligt at bruge AI til kundedata? GDPR-guide for danske virksomheder

Er det lovligt at bruge AI til kundedata efter GDPR?

Ja, det er lovligt at bruge AI til kundedata under de samme grundkrav som al anden databehandling: lovligt behandlingsgrundlag, databehandleraftale med leverandøren, styr på hvor data er, og en plan for sletning.

Ja, det er lovligt at bruge AI til at behandle kundedata i en dansk virksomhed — men kun hvis I opfylder de samme grundkrav som ved al anden databehandling. I skal have et lovligt behandlingsgrundlag, en databehandleraftale med AI-leverandøren, styr på hvor data fysisk befinder sig, og en plan for sletning. AI ændrer ikke reglerne i GDPR — den ændrer, hvor mange steder I skal huske at anvende dem.

Hvorfor spørgsmålet dukker op lige nu

Rigtig mange danske virksomheder har i løbet af det seneste år lagt AI-værktøjer ind i deres daglige arbejdsgange — kundeservice-chatbots, AI-assistenter der læser indbakker, agenter der beriger CRM-data eller skriver udkast til svar. Det sker ofte hurtigt, fordi værktøjerne er lette at tage i brug: en medarbejder tilmelder et SaaS-værktøj med sin arbejdsmail, kobler det til CRM'et, og pludselig strømmer kundedata igennem et system, som hverken it-afdelingen eller den databeskyttelsesansvarlige har haft i hånden.

Det er ikke ulovligt i sig selv. Men det er præcis den situation, hvor virksomheder risikerer at overtræde databeskyttelsesreglerne uden at vide det — fordi opmærksomheden har været på funktionalitet, ikke på hvor data rejser hen. Spørgsmålet "er det lovligt" er derfor sjældent et ja/nej-spørgsmål. Det er et spørgsmål om, hvorvidt de rigtige forudsætninger er på plads.

Hvad siger GDPR egentlig om AI og kundedata

GDPR forholder sig ikke direkte til "AI" som teknologi. Forordningen forholder sig til behandling af personoplysninger — og AI-værktøjer, der læser, analyserer eller genererer tekst ud fra kundedata, er databehandling i lovens forstand, uanset om det sker via en chatbot, en AI-agent eller et klassisk analyseværktøj.

Det betyder, at de velkendte GDPR-principper gælder fuldt ud, når I sætter AI på kundedata:

Lovlighed, rimelighed og gennemsigtighed — I skal have et grundlag for behandlingen, og kunderne skal kunne forstå, hvad der sker med deres data.
Formålsbegrænsning — data indsamlet til ét formål (fx support) må ikke uden videre genbruges til et andet (fx at træne en model).
Dataminimering — AI-værktøjet skal kun have adgang til de data, det faktisk har brug for.
Opbevaringsbegrænsning — data må ikke ligge i AI-systemet længere end nødvendigt.
Integritet og fortrolighed — I skal kunne dokumentere, at data er beskyttet undervejs.

Datatilsynet har samlet reglerne og vejledningerne om databeskyttelse på sin hjemmeside, og det er her, I finder den opdaterede danske fortolkning af, hvordan principperne skal anvendes i praksis — se Datatilsynets regler og vejledning.

AI-forordningen kommer oveni — ikke i stedet for

Det er værd at bemærke, at EU's AI-forordning (AI Act) er et separat regelsæt, der stiller krav til selve AI-systemet — særligt ved højrisiko-anvendelser. Den erstatter ikke GDPR. Når I bruger AI til kundedata, skal I typisk forholde jer til begge regelsæt samtidig: GDPR for databehandlingen, AI-forordningen for selve systemets risikoklassificering og krav. EU-Kommissionens borgerportal for virksomheder giver et overblik over, hvordan databeskyttelsesreglerne hænger sammen med den digitale lovgivning — se EU's vejledning om databeskyttelse for virksomheder.

Behandlingsgrundlag: det første, I skal have styr på

Før AI-værktøjet rører en eneste kundeoplysning, skal I kunne svare på ét spørgsmål: hvilket lovligt grundlag har I for at behandle disse data på denne måde? De mest almindelige grundlag i en kundekontekst er:

Aftale — behandlingen er nødvendig for at opfylde en aftale med kunden (fx AI der besvarer supporthenvendelser om en eksisterende ordre).
Legitim interesse — I har en legitim forretningsmæssig interesse, som ikke overstiges af kundens interesser og rettigheder (fx intern AI-analyse til at forbedre svartider).
Samtykke — særligt relevant hvis data skal bruges til noget, kunden ikke med rimelighed kunne forvente, fx at deres henvendelser bruges til at forbedre en AI-model på tværs af kunder.

Det afgørende er, at grundlaget skal passe til den konkrete brug — ikke til teknologien generelt. Et behandlingsgrundlag, der dækker "at besvare kundehenvendelser", dækker ikke automatisk "at bruge kundehenvendelser til at træne en AI-model". Det er to forskellige formål, og formålsbegrænsningen i GDPR betyder, at I skal vurdere dem hver for sig.

Databehandleraftalen (DPA) med AI-leverandøren

Når en AI-leverandør behandler kundedata på jeres vegne, er leverandøren databehandler, og I skal have en databehandleraftale (Data Processing Agreement, DPA) på plads — præcis som med enhver anden underleverandør, der rører persondata.

En DPA med et AI-værktøj bør som minimum afklare:

Formålet med behandlingen — præcist afgrænset, ikke bare "levering af tjenesten".
Om data bruges til modeltræning — og i så fald, om det kan fravælges (opt-out), og om det gælder som standard eller kræver aktivt tilvalg.
Underdatabehandlere — hvilke tredjeparter AI-leverandøren selv bruger, og om de er godkendt af jer.
Sletning — hvad der sker med data, når I opsiger aftalen eller sletter en samtale/sag.
Sikkerhedsforanstaltninger — kryptering, adgangsstyring, logning.

Mange AI-leverandører har standardvilkår, der er skrevet til at dække flest mulige kunder — ikke nødvendigvis til at beskytte netop jeres kundedata bedst muligt. Det er derfor værd at læse AI-vilkårene og databehandleraftalen konkret igennem, frem for at antage, at "de har styr på det", fordi produktet er professionelt.

Overførsel af data til tredjeland

En stor del af de AI-modeller, danske virksomheder bruger, er hostet af leverandører med servere eller moderselskaber uden for EU/EØS — typisk i USA. Overførsel af persondata til tredjelande er reguleret særskilt i GDPR, og det kræver et gyldigt overførselsgrundlag, fx EU-Kommissionens standardkontraktbestemmelser (SCC'er), eller at leverandøren er omfattet af en gyldig adækvansafgørelse.

I praksis betyder det, at I bør kunne svare på:

Hvor ligger de servere, der behandler jeres kundedata, fysisk?
Hvilket overførselsgrundlag anvender leverandøren, hvis data forlader EU/EØS?
Kan I vælge en EU-hostet version af værktøjet, hvis det findes?

Det er ikke ulovligt at bruge en amerikansk AI-leverandør — men det stiller krav om, at overførslen er retligt funderet, og at I har dokumenteret det. Datatilsynets vejledningsmateriale om internationale overførsler er stedet at starte, hvis I er i tvivl om et konkret setup.

Dataminimering og gennemsigtighed over for kunderne

En af de mest almindelige fejl er at give AI-værktøjet adgang til hele kundedatabasen, fordi det er nemmest teknisk, fremfor at afgrænse adgangen til det, opgaven faktisk kræver. Et AI-værktøj, der skal skrive udkast til svar på supporthenvendelser, behøver ikke adgang til hele salgshistorikken, betalingsoplysninger eller interne noter om kunden.

Spørg jer selv: hvilke felter, samtaler og dokumenter har denne specifikke AI-funktion reelt brug for? Jo snævrere adgang, jo mindre er både den juridiske risiko og konsekvensen, hvis noget går galt.

Gennemsigtighed over for kunderne

Kunderne har ret til at vide, hvordan deres data behandles — det gælder også, når en del af behandlingen sker via AI. I bør sikre, at jeres privatlivspolitik reelt afspejler, at AI indgår i behandlingen af kundehenvendelser, og at det er tydeligt, hvor kunden kan henvende sig, hvis de har spørgsmål eller vil gøre indsigelse.

Det er en separat, men beslægtet, diskussion, om kunden aktivt skal oplyses om, at et konkret svar er genereret af AI — det afhænger af konteksten og er dækket af gennemsigtighedskravene i databeskyttelsesretten mere bredt.

Sletning og opbevaring af data i AI-systemer

AI-værktøjer har en tendens til at akkumulere data i logs, chatliste-historik og "hukommelses"-funktioner, som let bliver glemt i den almindelige sletnings-rutine. Når I indfører et AI-værktøj, bør I fra dag ét afklare:

Hvor længe ligger en samtale eller sag i systemet, før den slettes eller anonymiseres?
Kan I slette en enkelt kundes data på tværs af AI-systemet, hvis kunden beder om det (retten til sletning)?
Ligger der kopier af data i logs eller cache, som den almindelige sletning ikke rammer?

Dette er ofte det punkt, hvor AI-værktøjer adskiller sig mest fra klassiske systemer — fordi data kan ligge spredt i flere lag (chat-historik, embeddings, logs), og en enkelt "slet"-knap ikke nødvendigvis rammer dem alle.

Sådan ændrer egen instans og dataejerskab risikobilledet

En del af den juridiske risiko ved AI og kundedata handler om, hvor mange parter data passerer igennem, og hvor lidt kontrol I har over det. Jo flere led — AI-leverandør, deres underleverandører, evt. tredjelandsoverførsel, delt infrastruktur med andre kunder — jo flere steder skal I have dokumentation og tillid til, at aftalerne holder.

Her spiller arkitektur en rolle. Med en løsning som Agent360, hvor hver kunde har sin egen instans og egen database, og hvor self-host er en mulighed for virksomheder, der ønsker det, reduceres antallet af led, data skal igennem — data blandes ikke med andre kunders data i en delt model, og I har mulighed for selv at holde infrastrukturen inden for egne rammer. Det gør DPA'en og overførselsvurderingen enklere at føre kontrol med, fordi der er færre variable at holde styr på.

Det er vigtigt at være præcis her: egen instans er ikke en juridisk garanti i sig selv, og det fritager ikke for at lave de samme vurderinger af behandlingsgrundlag, formål og sletning. Men det reducerer den type risiko, der opstår, når kundedata deles på tværs af en leverandørs samlede kundebase, eller når data skal krydse flere tredjeparts-led for at blive behandlet.

Sådan kommer I i gang: en praktisk tjekliste

Uanset hvilket AI-værktøj I overvejer eller allerede bruger, er rækkefølgen typisk den samme:

Kortlæg hvilke AI-værktøjer der allerede rører kundedata i virksomheden — inklusive dem, enkelte medarbejdere selv har tilmeldt.
Identificér behandlingsgrundlaget for hver konkret brug — ikke bare for værktøjet generelt.
Indhent eller gennemgå databehandleraftalen med hver AI-leverandør.
Afklar overførselsgrundlaget, hvis leverandøren behandler data uden for EU/EØS.
Begræns adgangen til det, den enkelte AI-funktion faktisk har brug for.
Fastlæg sletteregler og tjek, at de også rammer logs og chat-historik.
Opdatér privatlivspolitikken, så den afspejler den faktiske brug af AI.
Dokumentér vurderingen — gerne som en kort intern note, I kan vise frem, hvis I bliver spurgt.

Sammenhæng med jeres øvrige AI-modenhed

At bruge AI lovligt på kundedata hænger tæt sammen med, hvor moden jeres samlede AI- og data-opsætning er. Har I fx allerede styr på jeres data-hygiejne i CRM'et, er det lettere at afgrænse, hvad en AI-agent skal have adgang til — se vores gennemgang i CRM-data-hygiejne guide 2026. Overvejer I bredere, hvad en AI-agent i virksomheden egentlig er og kan bruges til, er det værd at starte med Hvad er en AI-agent til virksomheden. Og bruger I AI i kundeservice eller customer success specifikt, er der en dedikeret gennemgang i Customer Success AI-guide 2026.

Hvad AI'en IKKE skal

AI-agenten skal ikke selv træffe det juridiske skøn om behandlingsgrundlag — det er en menneskelig vurdering, evt. med jurist- eller rådgiverbistand.
AI'en skal ikke have bredere dataadgang, end den konkrete opgave kræver, bare fordi det er teknisk enklere at give fuld adgang.
AI'en skal ikke bruges til at omgå samtykkekrav eller retten til indsigelse ved at "flytte" behandlingen ind i et system, kunden ikke er informeret om.
AI'en skal ikke erstatte en egentlig databehandleraftale — uanset hvor godt værktøjet i øvrigt fungerer.
AI'en skal ikke bruges til at træffe endelige afgørelser over for kunder uden menneskelig kontrol, hvor det har retlig eller tilsvarende betydelig virkning for dem.

Ofte stillede spørgsmål

Må vi bruge en gratis AI-chatbot til at besvare kundehenvendelser?

Det afhænger af vilkårene for det konkrete værktøj. Gratis versioner af AI-værktøjer bruger i nogle tilfælde data til modeltræning som en del af forretningsmodellen, og de har ikke altid en databehandleraftale, der er tilstrækkelig til erhvervsmæssig brug på kundedata. Tjek altid vilkårene og om der findes en betalt/erhvervs-version med en ordentlig DPA, før I sætter kundedata på et gratis værktøj.

Skal vi bede om samtykke, før AI må behandle kundedata?

Ikke nødvendigvis. Samtykke er kun ét ud af flere mulige behandlingsgrundlag i GDPR. Ofte kan aftale eller legitim interesse være det rette grundlag, afhængigt af den konkrete behandling. Det afgørende er, at I aktivt har valgt og kan begrunde grundlaget — ikke at samtykke altid er påkrævet.

Må en AI-leverandør bruge vores kundedata til at træne deres model?

Kun hvis I har givet et grundlag for det, og det fremgår klart af databehandleraftalen eller vilkårene. Mange erhvervsvilkår giver mulighed for at fravælge (opt-out), at data bruges til modeltræning. Det er noget, I bør tjekke eksplicit — antag det aldrig.

Hvad hvis AI-leverandøren har servere i USA?

Det er ikke automatisk ulovligt, men det kræver et gyldigt overførselsgrundlag, fx standardkontraktbestemmelser (SCC'er). I bør kunne se, hvilket overførselsgrundlag leverandøren anvender, og gerne have det dokumenteret i aftalen.

Gør egen instans og self-host det automatisk lovligt at bruge AI på kundedata?

Nej. Egen instans og self-host reducerer antallet af led, data skal passere igennem, og gør det lettere at holde styr på databehandleraftaler og overførsler. Men I skal stadig have et behandlingsgrundlag, en sletteplan og de øvrige GDPR-forudsætninger på plads — arkitektur erstatter ikke den juridiske vurdering.

Kan en kunde forlange at få sine data slettet fra et AI-system?

Ja, retten til sletning gælder også, når data ligger i et AI-system. Udfordringen er ofte teknisk: data kan ligge spredt i chat-historik, logs og eventuelle "hukommelses"-funktioner, og I skal sikre, at en sletning reelt rammer alle disse steder — ikke kun det primære system.

Situationer hvor AI rører kundedata — og hvad der typisk kræves
Situation	Hvad kræves	Hvorfor det er relevant
AI-chatbot besvarer kundehenvendelser via chat/mail	Behandlingsgrundlag (typisk aftale) + DPA med leverandøren	Kundedata behandles af en tredjepart på jeres vegne
AI analyserer kundedata for at give indsigt eller anbefalinger	Særskilt behandlingsgrundlag for analyse-formålet + dataminimering	Analyse er ofte et andet formål end den oprindelige indsamling
AI-leverandøren er hostet uden for EU/EØS	Gyldigt overførselsgrundlag, fx SCC'er	Overførsel til tredjeland er reguleret særskilt i GDPR
AI-værktøjet kan bruge data til modeltræning	Eksplicit afklaring/opt-out i DPA eller vilkår	Modeltræning er typisk et andet formål end den oprindelige kundekontakt
Kunde beder om at få slettet sine data	Sletteproces der rammer chat-historik, logs og evt. embeddings	Retten til sletning gælder hele den tekniske stack, ikke kun hovedsystemet

Bundlinje: Det er lovligt at bruge AI til kundedata i en dansk virksomhed — men lovligheden ligger i forberedelsen, ikke i teknologien. Et klart behandlingsgrundlag, en gennemgået databehandleraftale, styr på eventuel dataoverførsel til tredjeland, dataminimering og en sletteplan, der rammer hele den tekniske stack, er de reelle forudsætninger. Jo færre led data skal igennem, og jo mere kontrol I har over egen instans og infrastruktur, jo lettere er den vurdering at føre — men den erstatter aldrig selve den juridiske gennemgang.

Denne artikel er redaktionel vejledning og udgør ikke juridisk rådgivning. Kontakt jeres databeskyttelsesrådgiver eller Datatilsynet ved konkret tvivl om jeres opsætning.