GDPR og AI
Er ChatGPT GDPR-sikkert? Må dine medarbejdere bruge ChatGPT, Copilot og Claude?
Opdateret · Kasper og Peder, Vaext
Er ChatGPT GDPR-sikkert? Det afhænger af kontoen. Dine medarbejdere kan godt bruge ChatGPT, Copilot og Claude på arbejdet, men persondata og fortrolige kundedata hører kun hjemme i en erhvervsversion med en databehandleraftale – ikke i en gratis eller privat konto. Lav en kort AI-politik, der siger hvilke værktøjer, og hvad der aldrig må ind.
Du har sikkert allerede folk, der bruger det. Spørgsmålet er bare, med hvilken konto.
Artiklen er generel information, ikke juridisk rådgivning. Vilkårene hos OpenAI, Microsoft og Anthropic ændrer sig, så tjek altid leverandørens egne sider, før I beslutter jer.
Er ChatGPT, Copilot eller Claude GDPR-sikkert?
Ingen af dem er GDPR-sikre eller usikre i sig selv. Det afgørende er, hvilken konto I bruger, og hvad I lægger ind. Erhvervsversionerne tilbyder vilkår, hvor leverandøren som udgangspunkt ikke træner på jeres data, og hvor der kan indgås databehandleraftale. Private og gratis konti er ikke beregnet til firmaets persondata.
| Privat eller gratis konto | Erhvervskonto | |
|---|---|---|
| ChatGPT | Ikke til firmaets persondata | ChatGPT Business eller Enterprise med erhvervsvilkår og databehandleraftale |
| Microsoft Copilot | Forbrugerversionen er ikke til firmadata | Microsoft 365 Copilot under virksomhedens Microsoft-aftale |
| Claude | Ikke til firmaets persondata. Du kan selv slå brug af dine samtaler til træning fra | Claude Team eller Enterprise med kommercielle vilkår og databehandleraftale |
Det, der går igen: Firmadata i en firmakonto. Private konti til private ting.
Kilder: OpenAI om erhvervsdata, Anthropics databehandleraftale og Microsoft om Copilot og data. De generelle GDPR-regler finder du hos Datatilsynet.
Må medarbejdere bruge ChatGPT på arbejde?
Ja, når virksomheden har besluttet det og sagt, hvordan. Det er ikke forbudt at bruge ChatGPT på arbejdet. Men det er dit ansvar som arbejdsgiver, at persondata ikke ender i en privat konto. Den nemmeste vej er en firmakonto til dem, der bruger det, og en kort AI-politik, der siger hvilke værktøjer, og hvad der aldrig må lægges ind.
Det sker typisk i dag:
- En sælger kopierer en kundemail ind i sin private ChatGPT for at få et svar formuleret.
- En projektleder lægger et referat med navne og telefonnumre ind for at få en opgaveliste.
- Bogholderen beder om hjælp til at forklare en lønseddel.
Alle tre er nyttige. Ingen af dem hører hjemme i en privat konto.
Det må aldrig lægges ind i en privat AI-konto
- Personnumre og helbredsoplysninger
- Lønoplysninger og personalesager
- Kundelister med kontaktoplysninger
- Fortrolige kontrakter, priser og tilbud
- Optagelser af møder uden samtykke
Og i en erhvervskonto: Kun det, der er nødvendigt for opgaven.
Fem ting, I skal have styr på efter GDPR
| Nr. | Det skal I have | Spørg jer selv |
|---|---|---|
| 1 | Behandlingsgrundlag | Må vi bruge de her persondata til det her formål? |
| 2 | Databehandleraftale med leverandøren | Har vi en, og hvor ligger den? |
| 3 | Overblik over, hvor data behandles | Forlader data EU, og på hvilket grundlag? |
| 4 | Dataminimering | Lægger vi kun det ind, der skal bruges? |
| 5 | Information og samtykke | Ved kunder og medarbejdere, at mødet bliver optaget? |
Må jeg optage mine kundemøder?
Ja, når dem, du optager, ved det og har sagt ja. På vores MasterClass Dit møde skriver sit eget referat får du en tjekliste til optagelse og et færdigt samtykkeafsnit til kunder og medarbejdere med hjem.
Sådan gør vi det hos Vaext
Løsningerne bygges i jeres egne systemer, så jeres kunde- og virksomhedsdata bliver, hvor de allerede ligger – de flyttes ikke over til Vaext. Behandling af persondata følger GDPR, og hvor det er nødvendigt, indgår vi en databehandleraftale.
Når vi kobler AI-agenter på jeres systemer, sætter vi forbindelserne op med de rettigheder, I bestemmer: hvad AI'en må se, og hvad den må gøre. Har I en IT-leverandør, gennemgår vi det gerne sammen med dem. Vi går gerne jeres it-sikkerhedskrav igennem på det første møde.
På MasterClass gennemgår vi, hvad du bør holde ude, fx personnumre og helbredsoplysninger. Vi viser dig, hvor du slår brug af dine samtaler til træning af Claude fra, og du læser altid igennem, før noget bliver sendt.
Skal vi have en AI-politik?
Ja. Den behøver ikke være lang – en side er nok. Og AI-forordningens artikel 4 kræver, at virksomheder, der bruger AI, gør noget for at styrke medarbejdernes AI-færdigheder. Se skabelon og forklaring af artikel 4.
Overvejer I, hvilket værktøj I skal vælge? Læs Claude eller ChatGPT til virksomheden.
Spørgsmål og svar
Er ChatGPT GDPR-sikkert?
Det afhænger af kontoen. ChatGPT Business og Enterprise tilbyder erhvervsvilkår, hvor data som udgangspunkt ikke bruges til træning, og hvor der kan indgås databehandleraftale. En gratis eller privat konto er ikke beregnet til virksomhedens persondata. Uanset konto bør I kun lægge det ind, der er nødvendigt.
Er Copilot GDPR-sikkert?
Microsoft 365 Copilot i en erhvervslicens kører under virksomhedens aftale med Microsoft og er beregnet til firmadata. Den gratis forbrugerversion af Copilot er ikke. Tjek, at I er logget ind med firmakontoen, og at jeres Microsoft-aftale dækker brugen.
Er Claude GDPR-compliant?
Anthropic tilbyder erhvervsplaner som Claude Team og Enterprise med kommercielle vilkår og databehandleraftale. På alle konti kan du se og ændre, om dine samtaler bruges til træning. Til persondata bør virksomheder bruge en erhvervsplan.
Må medarbejdere bruge ChatGPT på arbejde?
Ja, når virksomheden har besluttet det og sagt, hvordan. Giv dem, der bruger det, en firmakonto, og lav en kort AI-politik, der siger, hvilke værktøjer der må bruges, og hvilke data – fx personnumre, helbreds- og lønoplysninger – der aldrig må lægges ind.
Må jeg optage mine kundemøder til et AI-referat?
Ja, når dem, du optager, ved det og har sagt ja. Optagelsen indeholder persondata, så brug en erhvervskonto og slet optagelsen, når den ikke skal bruges mere.
Flytter Vaext vores data?
Nej. Løsningerne bygges i jeres egne systemer, og data bliver, hvor de ligger. Hvor det er nødvendigt, indgår vi en databehandleraftale. Se også hvordan Vaext håndterer GDPR.