Datatilsynet
Den myndighed, der vurderer om jeres AI bruger kundedata lovligt.
Indhold
Datatilsynet er Danmarks uafhængige tilsynsmyndighed for databeskyttelse. Myndigheden fører tilsyn med GDPR og databeskyttelsesloven, udsteder vejledninger, modtager og behandler klager og kan indstille sager til bøde. Fra 2. august 2025 får Datatilsynet også ansvar for håndhævelse af visse forbud i AI-forordningen, og sammen med Digitaliseringsstyrelsen driver det en regulatorisk AI-sandkasse.
Sådan virker Datatilsynet i praksis
Datatilsynet går ikke ind og bygger jeres systemer; det vurderer om den måde I behandler personoplysninger på, lever op til loven. I praksis kan det betyde en vejledning, et tilsynsbesøg, en afgørelse i en klagesag eller en indstilling om bøde til politiet. Når Datatilsynet udgiver en AI-vejledning eller en skabelon til konsekvensanalyse, er det praktiske skabeloner og tjeklister, I kan bruge direkte i jeres projektplaner.
Tænk på Datatilsynet som brandmyndigheden for persondata: de ser efter, om der er tilstrækkelige forebyggende foranstaltninger. Ikke for at skabe bureaukrati, men for at mindske risikoen for kunderne og for virksomheden.
Hvorfor Datatilsynet er relevant for din virksomhed
Du støder på Datatilsynet, når I bruger kundedata i AI: træner modeller på kundelister, analyserer sundhedsdata, benytter biometrisk identificering eller implementerer beslutningsstøtte, der kan påvirke folks rettigheder. Datatilsynets vejledninger er gratis og fungerer ofte som en praktisk facitliste: gør I som vejledningen anbefaler, reducerer I risikoen for krav, klager og senere bøder. Fra august 2025 skal I også være opmærksomme på reglerne i AI-forordningen, fordi Datatilsynet håndhæver to af forbuddene og regler om fjernbiometrisk identifikation.
Eksempel: Datatilsynet og en databeskyttelsesansvarlig i en rådgivervirksomhed
En databeskyttelsesansvarlig i en rådgivervirksomhed arbejder en mandag morgen to uger før lancering af et internt chatværktøj, som skal give advokater hurtige resumeer af sagsmapper. Systemet skal bruge kundeoplysninger og scannede PDF'er fra arkivet. Under en hurtig gennemgang konstaterer DPA, at der mangler en konsekvensanalyse (DPIA) og klare adgangsrestriktioner. Projektet standses en uge, fordi 30 mapper skal gennemgås og anonymiseres, og leverandøren må lave ændringer i logningen. Resultatet er, at lanceringen udskydes, men virksomheden får en dokumenteret DPIA, som kan bruges ved et eventuelt tilsyn. Læringen blev, at en tidlig kontakt til Datatilsynets vejledninger og brug af deres skabelon til konsekvensanalyse ville have sparet en uge og mange interne diskussioner.
Datatilsynet er ikke det samme som AI-forordningen
Datatilsynet er en national myndighed, AI-forordningen (EU AI Act) er en EU-lov. Fra 2. august 2025 håndhæver Datatilsynet visse dele af forordningen i Danmark, men selve forordningen er det lovstof, I skal følge. Når I læser Datatilsynets AI-vejledning, læser I myndighedens fortolkning og praktiske anbefalinger til, hvordan forordningen og GDPR bør anvendes i danske virksomheder.
Hvad du skal være opmærksom på
Brug Datatilsynets vejledninger og den skabelon til konsekvensanalyse, når I planlægger AI-projekter med persondata. Dokumentation er afgørende: logge, roller, formålsbeskrivelser og risikovurderinger. Ved biometrisk fjernidentifikation og ved anvendelse af forbudte metoder skal I være ekstra varsomme, fordi Datatilsynet får særligt håndhævelsesansvar. Tjek løbende Datatilsynets publikationer og overvej at konsultere en databeskyttelsesrådgiver, hvis jeres AI påvirker grundlæggende rettigheder. For overordnede oplysninger og vejledninger, se Datatilsynet og information om den regulatoriske sandkasse hos Digitaliseringsstyrelsen.
Vil I arbejde videre med datatilsynet på jeres egne opgaver, er det dét, en AI-workshop går ud på.
Ofte stillede spørgsmål om Datatilsynet
Er Datatilsynet det samme som AI-forordningen?
Nej. AI-forordningen er en EU-lovtekst, mens Datatilsynet er den danske myndighed, som håndhæver GDPR og fra 2. august 2025 også visse dele af AI-forordningen i Danmark.
Koster Datatilsynets vejledning noget?
Nej. Datatilsynets vejledninger og skabeloner er offentligt tilgængelige og gratis. De er tænkt som praktiske redskaber til at hjælpe virksomheder med at overholde reglerne.
Hvornår skal vi lave en konsekvensanalyse (DPIA) for AI?
I skal lave en DPIA når jeres AI-projekt sandsynligvis medfører høj risiko for personers rettigheder, for eksempel ved behandling af særlige kategorier data, systematisk overvågning eller brug af biometrisk fjernidentifikation. Brug Datatilsynets skabelon til at komme i gang.
Kan vi bruge ChatGPT uden at kontakte Datatilsynet?
I kan bruge værktøjer som ChatGPT, men I skal selv sikre, at persondata håndteres lovligt. Hvis I behandler kundedata i løsningen, bør I følge Datatilsynets vejledninger og vurdere, om en DPIA eller andre sikkerhedsforanstaltninger er nødvendige.
AI-rådgiver og underviser, grundlægger af AI Hero i Herning. Har bygget digitalt i over 20 år og hjælper danske virksomheder med at få AI i drift. Læs mere om Brian.