Må vi sende persondata til en amerikansk AI? Overførsler efter GDPR
Kort svar
Ja, men kun på et grundlag. Er den amerikanske AI-leverandør certificeret under EU-US Data Privacy Framework (Kommissionens afgørelse fra juli 2023), kan overførslen ske på den. Ellers bruges standardkontraktbestemmelser med en vurdering af overførslen. EU-Rettens første instans opretholdt Data Privacy Framework i september 2025, men sagen er anket til EU-Domstolen. Den sikreste vej er at lade de rigtige navne blive i EU: pseudonymisér, før data sendes, og hold nøglen hos jer.
Tre veje
| Vej | Hvad det kræver | Risiko |
|---|---|---|
| Data Privacy Framework | Leverandøren er certificeret | Afhænger af sagen ved EU-Domstolen |
| Standardkontraktbestemmelser | Aftale og vurdering af overførslen | Kræver arbejde og dokumentation |
| Navne bliver i EU | Pseudonymisering i EU før AI'en | Mindst – men stadig persondata for jer |
Sådan holder GoalCube navnene i EU
| Kunde | Sted | Emne | |
|---|---|---|---|
| Sofie Lund | sofie.lund@eksempel.dk | Aarhus | Refusion |
| Mikkel Berg | mikkel.berg@eksempel.dk | Odense | Levering |
| Emma Kristensen | emma.k@eksempel.dk | Roskilde | Reklamation |
| Lukas Schmidt | lukas.schmidt@beispiel.de | Hamburg | Levering |
Henvendelse Hej, jeg hedder Sofie Lund og har returneret ordre 7012345678 for to uger siden, men har ikke fået pengene. Overfør venligst til DK50 0040 0440 1162 43. Mvh Sofie
| Kunde | Sted | Emne | |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | Region Midtjylland | Refusion |
| [PERSON_2] | [EMAIL_2] | Region Syddanmark | Levering |
| [PERSON_3] | [EMAIL_3] | Region Sjælland | Reklamation |
| [PERSON_4] | [EMAIL_4] | Nordtyskland | Levering |
Henvendelse Hej, jeg hedder [PERSON_1] og har returneret ordre [ID_1] for to uger siden, men har ikke fået pengene. Overfør venligst til [IBAN_1]. Mvh [PERSON_1]
Sofie Lund og Oliver Thomsen venter på penge tilbage og bør have svar i dag. Lukas Schmidt har ventet 10 dage på en pakke. Forslag til Sofie Lund: "Kære Sofie Lund, tak for din tålmodighed. Pengene er på vej og står på din konto inden for 5 hverdage."
[PERSON_1] og [PERSON_6] venter på penge tilbage og bør have svar i dag. [PERSON_4] har ventet 10 dage på en pakke. Forslag til [PERSON_1]: "Kære [PERSON_1], tak for din tålmodighed. Pengene er på vej og står på din konto inden for 5 hverdage."
| Kandidat | Født | ID-nummer | Arbejdsgiver | Erfaring |
|---|---|---|---|---|
| Mette Hansen | 1985-03-12 | 120385-1234 | Vestjysk Træ A/S | 12 |
| Lars Nielsen | 1992-11-02 | 021192-5678 | Havnens Logistik ApS | 4 |
| Anna Svensson | 1988-06-21 | 880621-4321 | Skånska Metall AB | 9 |
| Jan de Vries | 1979-01-30 | 123456782 | Rijn Chemie B.V. | 18 |
CV Mette Hansen har arbejdet 12 år med budget og månedsrapportering hos Vestjysk Træ A/S. Hun har indført et nyt ERP-system og leder et team på tre. Kontakt: mette.hansen@eksempel.dk.
| Kandidat | Født | ID-nummer | Arbejdsgiver | Erfaring |
|---|---|---|---|---|
| [PERSON_1] | 40–49 år | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 år | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 år | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 år | [ID_4] | [VIRKSOMHED_4] | 18 |
CV [PERSON_1] har arbejdet 12 år med budget og månedsrapportering hos [VIRKSOMHED_1]. Vedkommende har indført et nyt ERP-system og leder et team på tre. Kontakt: [EMAIL_1].
Mette Hansen og Anna Svensson har mere end 5 års erfaring og bør indkaldes til samtale; spørg Anna Svensson om erfaring med ERP-systemer. Lars Nielsen har 4 års erfaring; kravet er 5. Et menneske træffer afgørelsen.
[PERSON_1] og [PERSON_3] har mere end 5 års erfaring og bør indkaldes til samtale; spørg [PERSON_3] om erfaring med ERP-systemer. [PERSON_2] har 4 års erfaring; kravet er 5. Et menneske træffer afgørelsen.
| Leverandør | Kontakt | Konto | Udløber |
|---|---|---|---|
| Nordsø Komponent A/S | Henrik Vestergaard | DK89 2000 1234 5678 90 | 2027-01-31 |
| Baltic Cloud OÜ | Kadri Tamm | EE38 2200 2210 2014 5685 | 2026-12-31 |
| Rhein Präzision GmbH | Julia Becker | DE89 3704 0044 0532 0130 00 | 2028-06-30 |
| Vejle Emballage ApS | Karina Holm | DK15 7044 0001 2345 67 | 2027-03-31 |
Vilkår Nordsø Komponent leverer specialkomponenter til Projekt Fjordlys. Prisen reguleres årligt med nettoprisindeks plus 3 %. Ansvar begrænset til 10 % af årlig kontraktværdi. Kontakt Henrik Vestergaard ved ændringer.
| Leverandør | Kontakt | Konto | Udløber |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Vilkår [VIRKSOMHED_1] leverer specialkomponenter til [PROJEKT_1]. Prisen reguleres årligt med nettoprisindeks plus 3 %. Ansvar begrænset til 10 % af årlig kontraktværdi. Kontakt [PERSON_1] ved ændringer.
Nordsø Komponent A/S forlænges automatisk, hvis den ikke er opsagt senest 31. oktober. Den er vigtig for et internt projekt, så genforhandl prisen i stedet for at opsige. Vejle Emballage ApS forlænges også automatisk; fristen er 31. december.
[VIRKSOMHED_1] forlænges automatisk, hvis den ikke er opsagt senest 31. oktober. Den er vigtig for et internt projekt, så genforhandl prisen i stedet for at opsige. [VIRKSOMHED_4] forlænges også automatisk; fristen er 31. december.
Fiktive data. Til venstre det, der bliver i EU; til højre det, AI'en i USA ser.
AI'en i USA ser [PERSON_1], ikke Mette Hansen. Nøglen ligger hos GoalCube i EU, og navnene sættes kun ind i svaret hos jer.
Sådan gør I
- Find ud af, hvor data behandles.Se leverandørens aftale og jeres plan.
- Tjek grundlaget.Data Privacy Framework-certificering eller standardkontraktbestemmelser.
- Send så lidt som muligt.Navne, e-mails og ID-numre er sjældent nødvendige.
- Hold nøglen i EU.Med pseudonymisering i EU forlader de rigtige navne ikke EU.
- Hav en plan B.Hvis Data Privacy Framework falder, skal I kunne fortsætte.
Det siger loven
- GDPR artikel 44–49 – overførsel til tredjelande
- Overførsel kun med tilstrækkelighedsafgørelse, passende garantier eller undtagelser.
- Afgørelse (EU) 2023/1795 – EU-US Data Privacy Framework
- Tilstrækkelighedsafgørelse for certificerede amerikanske virksomheder fra 10. juli 2023.
- Afgørelse (EU) 2021/914 – standardkontraktbestemmelser
- Standardbestemmelser for overførsel til tredjelande.
Spørgsmål og svar
Er Data Privacy Framework stadig gyldig?
Ja, pr. oktober 2026. EU-Retten afviste en klage i september 2025, men afgørelsen er anket til EU-Domstolen (sag C-703/25 P). Følg med, og hav en plan B.
Er det en overførsel, hvis AI'en kun ser pseudonymer?
Pseudonymiserede data er stadig persondata for jer, så reglerne gælder. Men risikoen for personerne er langt mindre, når de rigtige navne og nøglen bliver i EU.
Hvad med Microsofts EU Data Boundary?
Den holder de fleste data i EU, men tjek undtagelser som flex routing for Copilot.
Kilder
- Afgørelse (EU) 2023/1795 på EUR-Lex
- Data Privacy Framework: liste over certificerede virksomheder
- Datatilsynet: overførsel til tredjelande
Skrevet af GoalCubes redaktion. Senest opdateret 11. oktober 2026. GoalCube hjælper jer med at følge AI Act og GDPR. Det er ikke juridisk rådgivning.
Vær blandt de første.
Vi forventer at gå i luften i november 2026. Skriv jer op, så hører I fra os, når I kan komme i gang.