Skal vi lave en konsekvensanalyse (DPIA), før vi bruger AI?
Kort svar
En DPIA er påkrævet, når en behandling sandsynligvis indebærer en høj risiko for personer. Ved AI er det typisk tilfældet, når AI'en vurderer eller profilerer personer systematisk (fx ansøgere eller medarbejdere), behandler følsomme data i stort omfang, overvåger medarbejdere, eller bruger ny teknologi på en måde, der påvirker mennesker. Den beskriver behandlingen, nødvendigheden, risiciene og tiltagene. Ved højrisiko-AI skal I bruge leverandørens oplysninger i jeres DPIA (AI Act art. 26, stk. 9).
Typiske AI-brug, der kræver en DPIA
| Brug af AI | DPIA? |
|---|---|
| Sortering af ansøgere | Typisk ja |
| Evaluering eller overvågning af medarbejdere | Typisk ja |
| AI på helbredsdata i en klinik | Typisk ja |
| Kreditvurdering af kunder | Typisk ja |
| Resumé af kundehenvendelser med pseudonymer | Normalt nej |
| Udkast til nyhedsbreve uden persondata | Nej |
Skabelon i GoalCube
GoalCube har et udkast til DPIA, som udfyldes med brugen fra jeres AI-register: formål, data, risiko, menneskelig afgørelse og pseudonymisering. I tilføjer jeres egne vurderinger og gemmer den sammen med registret.
Sådan gør I
- Beskriv brugen.Formål, data, AI-værktøj, hvem der berøres, og hvem der ser hvad.
- Vurdér nødvendighed og proportionalitet.Er AI'en nødvendig? Kan I bruge færre data?
- Find risiciene for personerne.Fejl, forskelsbehandling, læk, overførsel ud af EU, manglende indsigt.
- Beskriv tiltagene.Pseudonymisering, menneskelig afgørelse, adgangsstyring, log, sletning.
- Tal med jeres DPO, hvis I har en.Og spørg Datatilsynet, hvis risikoen stadig er høj.
Det siger loven
- GDPR artikel 35 – konsekvensanalyse
- Krav ved sandsynlig høj risiko; stk. 7 beskriver indholdet.
- GDPR artikel 36 – forudgående høring
- Hvis risikoen fortsat er høj, skal tilsynsmyndigheden høres.
- AI Act artikel 26, stk. 9
- Brug udbyderens oplysninger om højrisiko-AI'en i jeres DPIA.
Spørgsmål og svar
Skal vi lave en DPIA for ChatGPT til mails?
Normalt ikke, hvis der ikke er persondata af betydning, og ingen personer vurderes.
Skal vi lave en DPIA for AI i rekruttering?
Typisk ja. Systematisk vurdering af ansøgere med ny teknologi er et klassisk eksempel.
Har Datatilsynet en liste?
Ja, Datatilsynet har en liste over behandlinger, der altid kræver en DPIA. Tjek den for jeres brug.
Kilder
Skrevet af GoalCubes redaktion. Senest opdateret 11. oktober 2026. GoalCube hjælper jer med at følge AI Act og GDPR. Det er ikke juridisk rådgivning.
Vær blandt de første.
Vi forventer at gå i luften i november 2026. Skriv jer op, så hører I fra os, når I kan komme i gang.