AI og GDPR i Danmark: reglerne, tidslinjen og tjeklisten (2026)

De fleste danske arbejdspladser bruger i dag AI til mails, referater og tekster — men hvad må du egentlig dele med en chatbot? Her får du det praktiske overblik: hvad GDPR kræver, hvornår AI-forordningens regler rammer, hvem der fører tilsyn i Danmark, og en tjekliste du kan bruge i morgen.

GDPR og AI-forordningen: to regelsæt, der gælder samtidig

Det vigtigste at forstå er, at der ikke findes ét "AI-regelsæt", men to lag:

• GDPR (databeskyttelsesforordningen) gælder, så snart der behandles personoplysninger — navne, mails, CPR-numre, elevdata, kundesager. Det har den gjort siden 2018, og AI ændrer ingenting: et AI-værktøj er bare endnu en databehandling, der skal have lovligt grundlag.
• AI-forordningen (EU AI Act) regulerer selve AI-systemet efter risiko: forbudte anvendelser, højrisiko-systemer (fx AI til rekruttering eller kreditvurdering), transparenskrav til chatbots og AI-genereret indhold, og særlige regler for de store, generelle AI-modeller (GPAI).

I praksis: bruger din virksomhed ChatGPT til at skrive svar på kundehenvendelser, er det GDPR, der afgør, hvad du må dele — og AI-forordningen, der afgør, om kunden skal vide, at svaret kommer fra en AI.

Det må du (og må du ikke) med ChatGPT og persondata

Datatilsynet har gjort AI til et af sine fokusområder i 2026, og linjen er klar: reglerne er de samme som altid. Før du deler personoplysninger med et AI-værktøj, skal tre ting være på plads:

• Et lovligt grundlag (GDPR artikel 6) — fx at behandlingen er nødvendig for en aftale eller en legitim interesse. "Det var smart" er ikke et grundlag.
• En databehandleraftale (artikel 28), hvis leverandøren behandler oplysningerne på dine vegne — det får du typisk kun med erhvervs-/API-aftaler, ikke med gratis forbrugerversioner.
• Styr på træningsdata: værktøjet må ikke bruge jeres oplysninger til at træne videre på — eller det skal som minimum kunne slås fra og være dokumenteret.

Tommelfingerreglen: i en gratis forbruger-chatbot bør du aldrig indsætte personoplysninger — hverken kunders, kollegers eller elevers. Anonymisér ("kunden", "eleven i 7.B") eller brug et værktøj, hvor virksomheden har en aftale, der dækker. Samme princip gælder i øvrigt til eksamen, hvor AI-reglerne blev strammet i 2026 — se guiden om AI og eksamen.

AI-forordningens tidslinje — opdateret efter juni 2026

AI-forordningen trådte i kraft 1. august 2024 og indfases i etaper. EU vedtog i juni 2026 en ændringspakke (den såkaldte "digitale omnibus", endeligt godkendt af Europa-Parlamentet 16. juni og Rådet 29. juni 2026), som udskyder dele af tidsplanen. Sådan ser den ud nu:

• 2. februar 2025 — gælder: forbud mod bl.a. social scoring og manipulerende AI (artikel 5) samt krav om AI-kompetencer hos medarbejdere, der arbejder med AI (artikel 4).
• 2. august 2025 — gælder: regler for generelle AI-modeller (GPAI) som GPT- og Claude-modellerne, plus EU's AI-kontor og governance-struktur.
• 2. august 2026 — gælder: transparenskravene i artikel 50: chatbots skal give sig til kende, og AI-genereret eller -manipuleret indhold (fx deepfakes) skal mærkes. Teknisk vandmærkning har dog en overgangsordning til 2. december 2026 for systemer, der allerede var på markedet. Med ændringspakken kom også et nyt forbud mod AI-værktøjer til ikke-samtykkebaserede intimbilleder ("nudifiers").
• 2. december 2027 — udskudt: kravene til selvstændige højrisiko-systemer (bilag III — fx AI til rekruttering, uddannelse og kreditvurdering). Var oprindeligt 2. august 2026.
• 2. august 2028 — udskudt: kravene til AI indbygget i regulerede produkter (bilag I — fx medicinsk udstyr og maskiner).

Udskydelsen ændrer ikke på GDPR: personoplysninger i AI-systemer er reguleret i dag, uanset hvornår højrisiko-kravene lander.

Hvem fører tilsyn i Danmark?

Datatilsynet er fortsat myndigheden for al persondatabehandling — også i AI-systemer. Til AI-forordningens forbud har Danmark udpeget Datatilsynet, Digitaliseringsstyrelsen og Domstolsstyrelsen som ansvarlige myndigheder, mens det fulde sektortilsyn for højrisiko- og transparenskravene i sommeren 2026 endnu ikke var endeligt på plads.

To ting er værd at kende:

• Den regulatoriske AI-sandkasse: Datatilsynet og Digitaliseringsstyrelsen tilbyder gratis ekspertvejledning i GDPR og risikoklassifikation efter AI-forordningen — relevant hvis din virksomhed selv bygger eller indkøber AI-løsninger.
• Vejledninger: Datatilsynet har bl.a. udgivet vejledningen "Offentlige myndigheders brug af kunstig intelligens" og en skabelon til konsekvensanalyser (DPIA) for AI-projekter — begge på datatilsynet.dk.

Tjekliste: 7 punkter før I bruger AI med persondata

• 1. Kortlæg brugen: hvilke AI-værktøjer bruger medarbejderne allerede — også de "uofficielle"?
• 2. Find det lovlige grundlag for hver behandling (GDPR artikel 6) — og dokumentér det.
• 3. Tegn databehandleraftale med AI-leverandøren, eller vælg et værktøj hvor den findes. Ingen aftale = ingen persondata.
• 4. Slå træning fra: sørg for, at jeres data ikke bruges til at træne leverandørens modeller.
• 5. Lav en DPIA (konsekvensanalyse), hvis behandlingen kan indebære høj risiko — fx ved følsomme oplysninger eller mange registrerede. Brug Datatilsynets AI-skabelon.
• 6. Skriv en AI-politik: klare regler for, hvad medarbejdere må indsætte i hvilke værktøjer — og sørg for basal AI-oplæring (det er allerede et krav i artikel 4).
• 7. Forbered mærkning: bruger I chatbots mod kunder eller publicerer AI-genereret indhold, skal transparenskravene være på plads fra 2. august 2026.

Hvad betyder det for dig som privatperson eller studerende?

Som privat bruger er du ikke "den dataansvarlige", når du chatter med en AI — men to ting er værd at huske. For det første: alt, hvad du skriver til en gratis chatbot, kan som udgangspunkt blive brugt til træning, så del ikke andres personoplysninger eller dine egne følsomme data. For det andet: fra 2. august 2026 har du krav på at få at vide, når du taler med en AI, og AI-genereret indhold skal mærkes — det bliver lettere at gennemskue, hvad der er ægte. Er du i tvivl om, hvor godt AI-tekst kan spottes i dag, har vi testet det i guiden om AI-detektion.

Vil du bruge AI på dansk uden at sende data ud af huset i flæng, så vælg værktøjer, hvor du ved, hvem der står bag, og hvordan data håndteres — læs mere i den store guide til ChatGPT på dansk.

Ofte stillede spørgsmål