Må vi bruge ChatGPT, Claude eller Copilot på persondata?
Kort svar
Ja, det kan være lovligt, men kun hvis I har et lovligt grundlag, kun bruger de data, der er nødvendige, har en databehandleraftale med AI-leverandøren og styr på overførsler uden for EU. Den sikreste vej er at lade AI'en arbejde uden de rigtige navne: pseudonymisér data, før de sendes, og hold nøglen hos jer i EU. Pseudonymiserede data er stadig persondata for jer.
Hvad siger GDPR?
GDPR forbyder ikke AI. Men de samme regler gælder, som når I bruger persondata på andre måder:
- I skal have et lovligt grundlag og et klart formål.
- I må kun bruge de oplysninger, der er nødvendige for opgaven (dataminimering).
- Behandler AI-leverandøren data for jer, skal I have en databehandleraftale.
- Sendes data til et land uden for EU, skal overførslen have et særligt grundlag.
Det svære er dataminimeringen. Beder I AI'en sortere kundehenvendelser, har den brug for, hvad kunden skriver – ikke kundens navn, e-mail, telefonnummer og kontonummer.
Lad AI'en arbejde uden de rigtige navne
Pseudonymisering betyder, at navne, e-mails, ID-numre og andre oplysninger erstattes af faste koder, fx [PERSON_1], før data sendes til AI'en. Nøglen bliver hos jer. Når svaret kommer tilbage, sættes de rigtige navne ind igen – men kun hos jer.
Sådan ser det ud i GoalCube Data Vault. Til venstre er jeres data, som bliver i EU. Til højre er det, AI'en ser.
| Kunde | Sted | Emne | |
|---|---|---|---|
| Sofie Lund | sofie.lund@eksempel.dk | Aarhus | Refusion |
| Mikkel Berg | mikkel.berg@eksempel.dk | Odense | Levering |
| Emma Kristensen | emma.k@eksempel.dk | Roskilde | Reklamation |
| Lukas Schmidt | lukas.schmidt@beispiel.de | Hamburg | Levering |
Henvendelse Hej, jeg hedder Sofie Lund og har returneret ordre 7012345678 for to uger siden, men har ikke fået pengene. Overfør venligst til DK50 0040 0440 1162 43. Mvh Sofie
| Kunde | Sted | Emne | |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | Region Midtjylland | Refusion |
| [PERSON_2] | [EMAIL_2] | Region Syddanmark | Levering |
| [PERSON_3] | [EMAIL_3] | Region Sjælland | Reklamation |
| [PERSON_4] | [EMAIL_4] | Nordtyskland | Levering |
Henvendelse Hej, jeg hedder [PERSON_1] og har returneret ordre [ID_1] for to uger siden, men har ikke fået pengene. Overfør venligst til [IBAN_1]. Mvh [PERSON_1]
Sofie Lund og Oliver Thomsen venter på penge tilbage og bør have svar i dag. Lukas Schmidt har ventet 10 dage på en pakke. Forslag til Sofie Lund: "Kære Sofie Lund, tak for din tålmodighed. Pengene er på vej og står på din konto inden for 5 hverdage."
[PERSON_1] og [PERSON_6] venter på penge tilbage og bør have svar i dag. [PERSON_4] har ventet 10 dage på en pakke. Forslag til [PERSON_1]: "Kære [PERSON_1], tak for din tålmodighed. Pengene er på vej og står på din konto inden for 5 hverdage."
| Kandidat | Født | ID-nummer | Arbejdsgiver | Erfaring |
|---|---|---|---|---|
| Mette Hansen | 1985-03-12 | 120385-1234 | Vestjysk Træ A/S | 12 |
| Lars Nielsen | 1992-11-02 | 021192-5678 | Havnens Logistik ApS | 4 |
| Anna Svensson | 1988-06-21 | 880621-4321 | Skånska Metall AB | 9 |
| Jan de Vries | 1979-01-30 | 123456782 | Rijn Chemie B.V. | 18 |
CV Mette Hansen har arbejdet 12 år med budget og månedsrapportering hos Vestjysk Træ A/S. Hun har indført et nyt ERP-system og leder et team på tre. Kontakt: mette.hansen@eksempel.dk.
| Kandidat | Født | ID-nummer | Arbejdsgiver | Erfaring |
|---|---|---|---|---|
| [PERSON_1] | 40–49 år | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 år | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 år | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 år | [ID_4] | [VIRKSOMHED_4] | 18 |
CV [PERSON_1] har arbejdet 12 år med budget og månedsrapportering hos [VIRKSOMHED_1]. Vedkommende har indført et nyt ERP-system og leder et team på tre. Kontakt: [EMAIL_1].
Mette Hansen og Anna Svensson har mere end 5 års erfaring og bør indkaldes til samtale; spørg Anna Svensson om erfaring med ERP-systemer. Lars Nielsen har 4 års erfaring; kravet er 5. Et menneske træffer afgørelsen.
[PERSON_1] og [PERSON_3] har mere end 5 års erfaring og bør indkaldes til samtale; spørg [PERSON_3] om erfaring med ERP-systemer. [PERSON_2] har 4 års erfaring; kravet er 5. Et menneske træffer afgørelsen.
| Leverandør | Kontakt | Konto | Udløber |
|---|---|---|---|
| Nordsø Komponent A/S | Henrik Vestergaard | DK89 2000 1234 5678 90 | 2027-01-31 |
| Baltic Cloud OÜ | Kadri Tamm | EE38 2200 2210 2014 5685 | 2026-12-31 |
| Rhein Präzision GmbH | Julia Becker | DE89 3704 0044 0532 0130 00 | 2028-06-30 |
| Vejle Emballage ApS | Karina Holm | DK15 7044 0001 2345 67 | 2027-03-31 |
Vilkår Nordsø Komponent leverer specialkomponenter til Projekt Fjordlys. Prisen reguleres årligt med nettoprisindeks plus 3 %. Ansvar begrænset til 10 % af årlig kontraktværdi. Kontakt Henrik Vestergaard ved ændringer.
| Leverandør | Kontakt | Konto | Udløber |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Vilkår [VIRKSOMHED_1] leverer specialkomponenter til [PROJEKT_1]. Prisen reguleres årligt med nettoprisindeks plus 3 %. Ansvar begrænset til 10 % af årlig kontraktværdi. Kontakt [PERSON_1] ved ændringer.
Nordsø Komponent A/S forlænges automatisk, hvis den ikke er opsagt senest 31. oktober. Den er vigtig for et internt projekt, så genforhandl prisen i stedet for at opsige. Vejle Emballage ApS forlænges også automatisk; fristen er 31. december.
[VIRKSOMHED_1] forlænges automatisk, hvis den ikke er opsagt senest 31. oktober. Den er vigtig for et internt projekt, så genforhandl prisen i stedet for at opsige. [VIRKSOMHED_4] forlænges også automatisk; fristen er 31. december.
Fiktive data. Peg på et navn eller et pseudonym for at se, hvad der hører sammen.
Bemærk, at "Hun" bliver til "Vedkommende". Køn er sjældent relevant for opgaven, og det må ikke kunne påvirke en vurdering.
Prøv selv
Skriv eller indsæt en tekst. Tilføj jeres egne hemmelige ord – fx et projektnavn eller en vigtig kunde – og se, hvad AI'en ville få.
Hvad pseudonymisering ikke klarer
Pseudonymisering er et stærkt værktøj, men det løser ikke alt:
- Data er stadig persondata for jer. I skal stadig have grundlag, aftaler og styr på sletning.
- Fritekst kan afsløre en person. "Vores eneste kvindelige ingeniør i Esbjerg" er genkendelig uden navn. GoalCube viser derfor en genkendelsesrisiko for hver post.
- AI'en kan stadig tage fejl. Afgørelser om mennesker skal træffes af et menneske – se artiklen om menneskelig afgørelse efter GDPR artikel 22.
Sådan gør I
- Skriv brugen ned.Hvad skal AI'en hjælpe med, og hvilke data skal den bruge? Det er første skridt mod både GDPR og AI Act.
- Tjek grundlaget og formålet.I skal have et lovligt grundlag for at behandle oplysningerne, og det nye formål skal passe med det, de blev indsamlet til.
- Tjek AI-leverandøren.Har I en databehandleraftale? Bruger leverandøren jeres data til at træne sine modeller? Hvor behandles data?
- Fjern det, AI'en ikke har brug for.Navne, e-mails, ID-numre, kontonumre og adresser er sjældent nødvendige for at løse opgaven. Erstat dem med pseudonymer, før data sendes.
- Hold nøglen i EU.Vis kun de rigtige navne hos jer selv, fx når AI'ens svar kommer tilbage.
- Overvej en konsekvensanalyse.Vurderer AI'en fx ansøgere eller medarbejdere systematisk, kan en konsekvensanalyse (DPIA) være et krav.
Det siger loven
- GDPR artikel 5 – principperne
- Blandt andet formålsbegrænsning og dataminimering: brug kun de oplysninger, der er nødvendige til formålet.
- GDPR artikel 4, nr. 5 og betragtning 26 – pseudonymisering
- Data, der ikke kan føres tilbage til en person uden en nøgle, som opbevares for sig. Den, der har nøglen, behandler stadig persondata.
- GDPR artikel 25 og 32 – databeskyttelse gennem design og sikkerhed
- Pseudonymisering nævnes direkte som et tiltag, der kan beskytte de registrerede.
- GDPR artikel 28 – databehandlere
- Behandler en leverandør persondata for jer, skal der være en databehandleraftale.
- GDPR artikel 35 – konsekvensanalyse
- Kræves, når en behandling sandsynligvis indebærer en høj risiko, fx systematisk vurdering af personer.
- GDPR artikel 44 – overførsler uden for EU
- Persondata må kun sendes til lande uden for EU/EØS på et særligt grundlag, fx en afgørelse om tilstrækkeligt beskyttelsesniveau eller standardkontraktbestemmelser.
Spørgsmål og svar
Er pseudonymiserede data anonyme?
Nej. Så længe nogen – fx jer selv – har nøglen til at finde de rigtige navne, er data stadig persondata efter GDPR. Pseudonymisering mindsker risikoen, men fritager jer ikke for reglerne.
Må vi indsætte et CV direkte i ChatGPT?
Det kan være lovligt med et grundlag og en aftale med leverandøren, men et CV rummer meget, AI'en ikke har brug for: navn, adresse, alder og ofte køn. Det er netop oplysninger, der kan påvirke en vurdering. Fjern dem eller erstat dem med pseudonymer først.
Træner AI'en på vores data?
Det afhænger af tjenesten og jeres aftale. Mange erhvervsudgaver bruger som standard ikke kundedata til træning, men tjek det for jeres egen aftale og indstillinger.
Hvad hvis leverandøren ligger uden for EU?
Så skal overførslen have et særligt grundlag. Med pseudonymisering i EU forlader de rigtige navne slet ikke EU – AI'en får kun pseudonymer.
Gælder det også fortrolige forretningsdata?
GDPR gælder kun persondata, men samme metode beskytter også kundenavne, kontrakter, priser og interne projektnavne. I GoalCube kan I skrive jeres egne hemmelige ord, som altid skjules.
Kilder
Skrevet af GoalCubes redaktion. Senest opdateret 11. oktober 2026. GoalCube hjælper jer med at følge AI Act og GDPR. Det er ikke juridisk rådgivning.
Vær blandt de første.
Vi forventer at gå i luften i november 2026. Skriv jer op, så hører I fra os, når I kan komme i gang.