GDPR gælder for AI, så snart et AI-system behandler personoplysninger, uanset om du træner en model, finjusterer en eller blot lader dit team indsætte kundeoplysninger i en assistent. Du skal have et dokumenteret formål, et lovligt behandlingsgrundlag for hver fase, en konsekvensanalyse vedrørende databeskyttelse, hvor risikoen er høj, og en måde, hvorpå folk kan få en menneskelig afgørelse, når en automatiseret afgørelse påvirker dem. AI-forordningen kommer oven i og tilføjer sine egne forpligtelser, herunder om gennemsigtighed. Denne guide forklarer, hvordan de to hænger sammen for en B2B SaaS-virksomhed, og hvad du bør gøre først.

Dette er generel information og ikke juridisk rådgivning. Din databeskyttelsesrådgiver eller jurist bør bekræfte, hvordan det gælder for din virksomhed.

Kort fortalt

Indholdsfortegnelse

Hvordan GDPR gælder for AI

GDPR regulerer personoplysninger, ikke teknologi. En analyse af loven bemærker, at AI ikke nævnes eksplicit, og at artikel 22 om automatiske afgørelser fungerer som en indirekte kontrol med AI. Alt andet følger af de generelle principper: lovlighed, rimelighed, gennemsigtighed, formålsbegrænsning, dataminimering, rigtighed, opbevaringsbegrænsning, sikkerhed og ansvarlighed.

For en SaaS-virksomhed er det praktiske spørgsmål enkelt. Ser AI'en navne, e-mails, brugslogs knyttet til en bruger, supportsager, fakturaer eller andet, der identificerer en person? Hvis ja, gælder GDPR, selv om AI'en er et værktøj, du har købt og ikke selv har bygget.

Formål og lovligt behandlingsgrundlag, fase for fase

Den britiske databeskyttelsesmyndigheds vejledning siger, at du for hver enkelt behandling i udvikling og anvendelse af AI bør identificere og dokumentere dens formål og et passende lovligt behandlingsgrundlag, før du behandler noget som helst. Den siger også, at særlige kategorier af oplysninger kræver en separat betingelse. Vejledningen omhandler UK GDPR, som tæt afspejler EU-reglerne, og er en nyttig reference for logikken.

Den samme vejledning siger, at træning og anvendelse er forskellige faser og kan hvile på forskellige behandlingsgrundlag. Et grundlag, der fungerer til at bygge en model, dækker ikke automatisk brugen af den på levende kundedata.

I praksis skriver du én linje pr. AI-anvendelse:

  1. Hvad er formålet (for eksempel at opsummere supportsager)?
  2. Hvilke personoplysninger læser den?
  3. Hvad er det lovlige behandlingsgrundlag (kontrakt, legitim interesse, samtykke, retlig forpligtelse)?
  4. Hvem er dataansvarlig, og hvem er databehandler?
  5. Hvor opbevares og behandles dataene?

Hvis du vil have en letforståelig gennemgang af, hvordan du vælger og dokumenterer et lovligt behandlingsgrundlag og anvender de centrale principper, viser denne artikel om GDPR's centrale databeskyttelsesprincipper den samme tankegang anvendt på et bookingsystem, og logikken kan overføres til AI-projekter.

Formålsbegrænsning, minimering og rigtighed

Den hollandske databeskyttelsesmyndighed angiver formålsbegrænsning, dataminimering og rigtighed som centrale GDPR-krav til AI. Hver af dem har direkte betydning for, hvordan du bygger.

Den samme hollandske vejledning peger på artikel 32: du skal have passende tekniske og organisatoriske foranstaltninger under hensyn til det aktuelle tekniske niveau, behandlingens sammenhæng og risiciene for de registrerede.

Hvad EDPB sagde om AI-modeller

I december 2024 udsendte Det Europæiske Databeskyttelsesråd (EDPB) udtalelse 28/2024 om AI-modeller. En akademisk oversigt over udtalelsen forklarer, at modeller trænet på personoplysninger kan bevare eller udlede oplysninger om identificerbare personer, så man ikke blot kan antage, at de er anonyme. Den dækker også, hvordan legitim interesse kan begrundes, efter at træningen er afsluttet. Konklusionen for købere: accepter ikke “modellen er anonym” fra en leverandør uden at spørge, hvordan det er vurderet.

Hvor AI-forordningen tilføjer noget til GDPR

De to love har forskellige rødder. Ifølge et studie fra Europa-Parlamentet bygger AI-forordningen på en produktsikkerhedsmodel, mens GDPR beskytter personoplysninger gennem rettigheder og principper. Samme studie bemærker, at forpligtelser kan overlappe: en konsekvensanalyse vedrørende grundlæggende rettigheder (FRIA) og en konsekvensanalyse vedrørende databeskyttelse (DPIA) kan duplikere hinanden, og krav om gennemsigtighed og logning kan være overflødige.

Rollerne er også forskellige. GDPR bruger dataansvarlige og databehandlere. AI-forordningen bruger udbyder, importør, distributør og idriftsætter. En SaaS-virksomhed kan samtidig være udbyder af sine egne AI-funktioner og idriftsætter af en andens model og desuden være dataansvarlig eller databehandler for de involverede personoplysninger. Kortlæg hver rolle for hver anvendelse.

GDPR EU AI Act
Udgangspunkt Personoplysninger og menneskers rettigheder AI-systemet og dets risikoniveau
Centrale roller Dataansvarlig, databehandler Udbyder, idriftsætter, importør, distributør
Typiske dokumenter Fortegnelser over behandlingsaktiviteter, DPIA Teknisk dokumentation, logs, FRIA ved visse højrisikoanvendelser
Menneskelig involvering Ret til ikke at være genstand for udelukkende automatiske afgørelser med retsvirkning Menneskeligt tilsyn med højrisikosystemer

Nogle nationale myndigheder har påpeget, at et system kan overholde den ene lov og alligevel overtræde den anden, og derfor er der brug for en vurdering fra sag til sag. Den belgiske myndighed tilføjer, at AI Act bygger videre på ansvarlighedsprincippet i GDPR med formel indberetning af hændelser og styring med et menneske i løkken.

NIS2 er et tredje element, og den handler om cybersikkerhed og risikostyring for enheder inden for anvendelsesområdet, ikke specifikt om AI. Hvis din virksomhed er omfattet, hører de sikkerhedsforanstaltninger, du indfører omkring AI-systemer, med i den samme risikoproces. Om I er omfattet, er et spørgsmål til jeres juridiske rådgiver.

Gennemsigtighedsforpligtelser, når AI møder mennesker

Gennemsigtighed optræder i begge love, og de bliver ofte forvekslet.

Tidspunktet er vigtigt. Kommissionens AI Act Service Desk oplyser, at forpligtelserne i artikel 50 kan håndhæves fra den 2. august 2026, og at udbydere af systemer, der er bragt i omsætning før denne dato, har frist til den 2. december 2026 til at opfylde visse krav om mærkning og detektion.

For en SaaS-virksomhed er de almindelige tilfælde en chatbot i jeres produkt eller supportwidget samt genereret tekst eller billeder, som I udgiver. Mærk chatbotten som AI, og undersøg, hvordan jeres værktøjer mærker genereret indhold. Du kan læse mere om artikel 4 og 50 i vores guide til EU AI Act artikel 4 og 50 for SaaS.

Supportmedarbejder tester en produktchatbot

Konsekvensanalyser, menneskeligt tilsyn og automatiserede afgørelser

Tre sikkerhedsforanstaltninger går igen oftest.

DPIA. Den belgiske myndighed forklarer, at en DPIA er påkrævet i visse tilfælde, herunder ved højrisikobehandling og brug af nye teknologier. Den nederlandske myndighed siger tilsvarende, at der er behov for en, når algoritmiske systemer behandler personoplysninger, og risikoen for privatlivets fred er høj. Er du i tvivl, så gennemfør en. Det er billigere end senere at skulle forklare, hvorfor du ikke gjorde det.

Menneskeligt tilsyn. AI Act kræver menneskeligt tilsyn med højrisikosystemer under udvikling, idriftsættelse og brug, og den samme belgiske kilde nævner det sammen med kravet om FRIA.

Automatiske afgørelser. Efter GDPR har folk ret til ikke at være genstand for afgørelser, der udelukkende er baseret på automatisk behandling, og som har retsvirkning for dem. Hvis en AI-agent kan afgøre, hvem der får en kontrakt, en kreditgrænse eller adgang til en tjeneste, så indbyg et menneskeligt godkendelsestrin i processen.

En tjekliste til AI-forordningen for SaaS-teams

Kommissionens overblik over AI Act siger, at højrisikosystemer skal dække risikovurdering og risikoreduktion, datasætkvalitet, logning, teknisk dokumentation, information til idriftsættere, menneskeligt tilsyn, robusthed, cybersikkerhed og nøjagtighed. De fleste SaaS-produkter er ikke højrisiko, men listen er en god standard for enhver AI, der berører personers data.

Fristerne for højrisikosystemer ligger senere, end mange forventer. Service Desk FAQ oplyser, at systemer inden for følsomme områder som beskæftigelse (bilag III) skal overholde reglerne senest den 2. december 2027, og systemer indbygget i regulerede produkter (bilag I) senest den 2. august 2028. Tjek den officielle side for den aktuelle status, da tidsplaner kan ændre sig.

En praktisk tjekliste:

  1. Gør status over al brug af AI. Medtag værktøjer, som enkeltpersoner selv har taget i brug.
  2. Klassificer hver enkelt. Er det en chatbot, en intern assistent, en scoringsmodel eller noget, der træffer afgørelser om personer? Spørg jeres juridiske rådgiver, om nogen anvendelse er højrisiko.
  3. Kortlæg roller. Udbyder, idriftsætter, dataansvarlig, databehandler.
  4. Dokumenter formål og retsgrundlag for hvert trin.
  5. Gennemfør en DPIA, hvor risikoen er høj.
  6. Fastsæt rettigheder. AI'en bør kun kunne læse og ændre det, brugeren selv kunne.
  7. Tilføj godkendelsestrin for handlinger med reelle konsekvenser.
  8. Gem logs over, hvad AI'en har læst, skrevet og udløst.
  9. Mærk AI-interaktioner og genereret indhold.
  10. Uddan medarbejderne. Artikel 4 kræver AI-kompetencer.
  11. Tjek leverandørerne. Hvor behandles data, og bruges de til at træne leverandørens modeller?
  12. Udpeg en ansvarlig. Én navngiven person bør have ansvaret.

Vores AI governance framework for B2B SaaS-virksomheder gør dette til en fungerende struktur.

Hvor AI ikke hører hjemme

God compliance indebærer også at beslutte, hvad AI ikke bør gøre. Vi ville holde AI ude af disse områder:

Byg først datafundamentet

De fleste GDPR-problemer med AI begynder i data, ikke i modellen. Hvis I ikke kan sige, hvor en kundes data findes, hvilket system der er korrekt, og hvem der kan læse dem, kan I ikke efterkomme anmodninger om indsigt eller sletning, og I kan ikke kontrollere, hvad en AI læser.

Derfor arbejder vi i en fast rækkefølge:

  1. Datafundament. Jeres CRM- og økonomidata bliver den primære kilde til sandhed, og systemerne omkring dem afstemmes til én aftalt version.
  2. AI-lag. Den assistent, jeres team allerede bruger, forbindes til disse data via MCP inden for givne tilladelser.
  3. Afdelingsagenter. Specialbyggede agenter til Finance, Sales og Customer Success, så medarbejdere kan spørge, rapportere og slå op på tværs af systemer samt opdatere poster eller udløse processer med godkendelse, hvor det er nødvendigt, og et revisionsspor.

Udvikling, pilot og test kører på selvhostet europæisk infrastruktur i Tyskland, og GDPR, NIS2 og EU AI Act behandles som designkrav fra start. Intet design garanterer compliance, og den vurdering forbliver hos jer og jeres jurister. Men et system med tilladelser, godkendelser og logs gør de spørgsmål, tilsynsmyndigheder stiller, langt lettere at besvare. Du kan se, hvordan det fungerer i praksis, på vores side om AI-agenter til Finance, Sales og Customer Success, og Admin Portal viser, hvordan adgang og godkendelser styres ét sted.

Vores perspektiv

Vi ser det samme mønster i voksende SaaS-virksomheder. Folk bruger allerede AI i CRM, i support og i økonomi, og ingen ejer det. Ingen har besluttet, hvilke data den må læse, ingen fører register over, hvad den har gjort, og privatlivspolitikken blev skrevet, før noget af det fandtes.

Vores opfattelse er, at compliance for det meste er et driftsproblem. En privatlivspolitik forhindrer ikke en assistent i at læse en post, den ikke bør læse. Det gør tilladelser, godkendelser og logs. Derfor starter vi med datafundamentet, forbinder derefter AI-laget og bygger så afdelingsagenter, og derfor indfører vi AI én proces ad gangen, begyndende med den dyreste.

Det hjælper også at have én person, der både beslutter, hvor AI betaler sig, og bygger det, så strategien og det fungerende system ikke driver fra hinanden. Det er tanken bag en Fractional Chief AI Officer med 25 års erfaring med at drive virksomheder. Vi designer efter GDPR, NIS2 og EU AI Act fra første dag, og I ejer kildekode, dokumentation og infrastruktur ved overdragelsen.

Vi yder ikke juridisk rådgivning, og intet, vi bygger, garanterer compliance. Vi gør systemerne lettere at styre og arbejder sammen med jeres jurister.

Claus Nielsen

Hvor du kan starte

Hvis AI allerede er i brug, og ingen ejer det, er første skridt et ærligt billede af, hvad I har. Vores AI Readiness Assessment starter fra €4,500 og ser på jeres data, processer og regulatoriske eksponering, så I ved, hvor AI betaler sig, og hvor det ikke gør. Til løbende ejerskab har Fractional Chief AI Officer-retaineren tre niveauer: Advisor fra €3,000 pr. måned, Operating fra €6,500 pr. måned og Embedded fra €11,000 pr. måned.

Udviklingsopgaver prissættes enten til 30% af det første års besparelse, når den er målt og bevist, eller til en fast pris aftalt, før arbejdet starter. Du kan også booke et gratis opdagelsesopkald på 30 minutter via vores hovedside.

FAQ

Gælder GDPR, hvis vi kun bruger et AI-værktøj fra en tredjepart?

Ja, hvis der indgår personoplysninger. I er normalt dataansvarlig, og værktøjsleverandøren er databehandler, så I skal have en aftale, et formål og et lovligt behandlingsgrundlag, og I bør vide, hvor data behandles. Tjek, om leverandøren bruger jeres input til at træne sine modeller.

Erstatter EU AI Act GDPR?

Nej. De gælder side om side. GDPR beskytter personoplysninger, mens AI Act regulerer AI-systemer efter risikoniveau. Én enkelt AI-anvendelse kan udløse pligter under begge, og nogle dokumenter, såsom konsekvensanalyser, kan overlappe.

Skal vi lave en DPIA for hvert AI-projekt?

Ikke nødvendigvis. En DPIA er påkrævet i visse tilfælde, herunder højrisikobehandling og nye teknologier, ifølge den belgiske myndighed. Hvis et AI-system behandler personoplysninger på en måde, der kan påvirke personer alvorligt, bør I udføre en. Spørg jeres databeskyttelsesrådgiver, når det er uklart.

Hvad skal vi fortælle brugerne om AI?

Under GDPR skal I forklare, hvilke personoplysninger I behandler, og hvorfor. Under AI Act artikel 50, som kan håndhæves siden 2. august 2026, skal personer have besked, når de interagerer direkte med et AI-system, og AI-genereret indhold skal mærkes i maskinlæsbar form. Jeres jurister kan bekræfte, hvilke dele der gælder for jeres produkter.

Kan en AI-agent selv træffe beslutninger om kunder?

Til rutineprægede opgaver med lav indvirkning, ja, inden for tilladelser og med logs. For afgørelser med retlige eller tilsvarende betydelige virkninger for en person giver GDPR ret til ikke at være underlagt udelukkende automatiske afgørelser. Indbyg menneskelig gennemgang til dem.

Kilder