Databehandleraftale med AI-leverandøren: Hvad skal I tjekke?
Kort svar
Når en AI-tjeneste behandler persondata for jer, er den databehandler, og I skal have en databehandleraftale efter GDPR art. 28. De store tjenester har standardaftaler i deres erhvervsplaner. Tjek især: at data kun behandles efter jeres instruks (ingen træning), hvor data behandles og grundlaget for overførsel, underdatabehandlere, sletning og sikkerhed. Gratis- og privatplaner har typisk ingen aftale.
Status hos de store tjenester
| Tjeneste | Planer | Træner på jeres data? | Data i EU? | Databehandleraftale? | Egne connectors? |
|---|---|---|---|---|---|
| ChatGPT OpenAI, USA | Business (tidl. Team) og Enterprise | Nej. Virksomhedens data bruges ikke til træning som standard. | Kun Enterprise: nye workspaces kan få data lagret og behandlet i EU. Ikke Business. | Ja. Databehandleraftalen er en del af aftalen (OpenAI Ireland for EU-kunder). | Ja. Egne connectors via udviklertilstand; en administrator slår det til. |
| Claude Anthropic, USA | Team og Enterprise | Nej. Data bruges ikke til træning, medmindre virksomheden selv siger ja. | Nej. Data lagres i USA; der er ingen EU-lagring at vælge. | Ja. Databehandleraftalen indgår automatisk i de kommercielle vilkår. | Ja. En ejer tilføjer egne connectors for hele organisationen. |
| Microsoft 365 Copilot Microsoft, USA | Tilkøb til Microsoft 365 for virksomheder | Nej. Prompts, svar og virksomhedens data bruges ikke til træning. | Ja, inden for EU Data Boundary. Men nye EU-kunder kan få forespørgsler behandlet uden for EU ved spidsbelastning (flex routing), som kan slås fra. | Ja. Dækket af Microsofts produktvilkår og databehandleraftale. | Ja, via agenter i Copilot Studio. Licenskrav ikke bekræftet. |
| Vibe (tidl. Le Chat) Mistral AI, Frankrig | Pro, Team og Enterprise | Pro og Team: ja som standard; en administrator skal slå det fra. Enterprise: nej. | Servere i EU (Sverige). Nogle funktioner kan sende data ud af EU; kun Enterprise kan slå det fra. | Ja. Om den dækker Pro og Team, er ikke bekræftet. | Ja. En administrator kan tilføje egne connectors. |
| Gemini i Google Workspace Google, USA | Workspace Business og Enterprise | Nej. Workspace-data og prompts bruges ikke til træning uden tilladelse. | Lagring og behandling i EU kun med Enterprise Plus eller tilkøb af Data Regions. Business: kun lagring. | Ja. En administrator skal acceptere den i Admin-konsollen, hvis den ikke allerede er i aftalen. | Ikke bekræftet for Gemini i Workspace. |
Tjekket 9. oktober 2026. Gratis- og privatplaner (ChatGPT Free/Plus, Claude Free/Pro, Gemini-appen, Vibe Free) har ingen databehandleraftale og kan træne på data. De egner sig ikke til virksomhedens persondata.
Faldgruben: AI-funktioner i andre værktøjer
Mange værktøjer har fået AI-funktioner – CRM, regnskab, mail. Tjek, om aftalen også dækker AI-funktionen, og om den sender data til en underdatabehandler som OpenAI eller Anthropic.
Sådan gør I
- Instruks.Data må kun bruges til at levere tjenesten til jer – ikke til træning.
- Lokation og overførsel.Hvor behandles data, og på hvilket grundlag?
- Underdatabehandlere.Hvem er de, og hvordan får I besked om ændringer?
- Sletning og opbevaring.Hvor længe gemmes prompts og svar?
- Sikkerhed og brud.Hvilke tiltag, og hvor hurtigt får I besked om brud?
Det siger loven
- GDPR artikel 28 – databehandlere
- Stk. 3 lister, hvad aftalen skal indeholde.
- Kommissionens standardkontraktbestemmelser (2021/915) – art. 28
- Standardbestemmelser, der kan bruges som databehandleraftale.
Spørgsmål og svar
Har ChatGPT en databehandleraftale?
Ja, i Business og Enterprise. For EU-kunder indgås den med OpenAI Ireland.
Skal vi underskrive noget hos Anthropic?
Databehandleraftalen indgår automatisk i Anthropic's kommercielle vilkår.
Er GoalCube databehandler?
Ja, GoalCube behandler persondata for jer i EU og indgår en databehandleraftale. AI-tjenesten får kun pseudonymer.
Kilder
Skrevet af GoalCubes redaktion. Senest opdateret 11. oktober 2026. GoalCube hjælper jer med at følge AI Act og GDPR. Det er ikke juridisk rådgivning.
Vær blandt de første.
Vi forventer at gå i luften i november 2026. Skriv jer op, så hører I fra os, når I kan komme i gang.