GDPR og AI-chatbots: Hvad du skal vide før du går live

GDPR og AI er to ord, der giver bekymringsrynker hos mange danske virksomhedsejere. Med rette: det er svært at bevare overblikket over, hvilke regler der gælder, hvilke leverandører man kan bruge, og hvad man konkret skal gøre, før en AI-chatbot går live på ens website.

Det her er en pragmatisk guide. Den gennemgår de syv spørgsmål, du som dataansvarlig skal kunne besvare, og slutter med en tjekliste til dagen, hvor du går live. Den er ikke juridisk rådgivning. Arbejder du med følsomme oplysninger, i en reguleret branche eller i den offentlige sektor, så tjek med en databeskyttelsesrådgiver.

Opdateret 28. september 2026 med mere om underdatabehandlere og overførsler til USA, AI-forordningens krav om gennemsigtighed og en tjekliste før go-live.

Spørgsmål 1: Behandler chatbotten personoplysninger?

Næsten altid ja. En AI-chatbot behandler typisk:

• Selve chatbeskederne, som ofte indeholder personoplysninger: navn, e-mail, en beskrivelse af et problem, et ordrenummer
• Tekniske data som IP-adresse og browsertype
• Tidsstempler og sessionsdata
• Afhængigt af løsningen: cookies eller data gemt i den besøgendes browser

Husk også, at besøgende kan skrive hvad som helst. Selvom din chatbot kun skal svare på åbningstider og levering, vil nogen før eller siden skrive et cpr-nummer eller en helbredsoplysning i feltet.

Som virksomheden bag websitet er du dataansvarlig for de oplysninger, der indsamles via chatbotten. Ansvaret over for de besøgende ligger hos dig, også når en leverandør står for teknikken.

Spørgsmål 2: Hvem er databehandler, og har du en databehandleraftale?

Leverandøren af chatbotten er som regel databehandler. De behandler personoplysninger på dine vegne, og GDPR artikel 28 kræver en skriftlig databehandleraftale (DPA, Data Processing Agreement) mellem dig og leverandøren. Uden den mangler du det grundlag, loven kræver.

Tjek, at databehandleraftalen:

• Beskriver, hvilke oplysninger der behandles, til hvilket formål og hvor længe
• Forpligter leverandøren til kun at handle efter dine instrukser
• Beskriver sikkerhedsforanstaltningerne
• Regulerer sletning eller tilbagelevering, når aftalen ophører
• Oplister underdatabehandlerne og forpligter leverandøren til at give dig besked om ændringer
• Forpligter leverandøren til at hjælpe dig, når en besøgende gør sine rettigheder gældende

De fleste seriøse leverandører har en standardaftale klar. Kan en leverandør ikke fremvise en, er det et faresignal.

Spørgsmål 3: Hvem er underdatabehandlerne, og hvor kører sprogmodellerne?

Det er her, svarene oftest bliver uklare. En AI-chatbot er sjældent ét firma. Svarene skrives af en sprogmodel hos en udbyder, teksten omdannes til søgbare vektorer hos en anden, og så er der crawling, lagring, betaling og e-mails. Hver af dem, der behandler persondata på leverandørens vegne, er en underdatabehandler.

Stil derfor fire spørgsmål til enhver leverandør:

1. Hvor kører sprogmodellerne? Hvilken udbyder skriver svarene, og i hvilket land? Bruges der en reservemodel, når den primære er nede?
2. Hvem er underdatabehandlerne, og hvad gør de? Bed om den fulde liste med rolle og placering. "Vi bruger anerkendte cloudleverandører" er ikke et svar.
3. Hvad er overførselsgrundlaget? Ligger en underdatabehandler uden for EU/EØS, skal der være et gyldigt grundlag for overførslen.
4. Hvordan får du besked om ændringer? Du skal have mulighed for at gøre indsigelse, før en ny underdatabehandler kommer til.

For overførsler til USA er der i praksis to grundlag:

• EU-US Data Privacy Framework (DPF): EU-Kommissionens afgørelse fra 2023 om, at certificerede amerikanske virksomheder har et tilstrækkeligt beskyttelsesniveau. Den gælder kun for virksomheder, der er certificeret. EU-Retten afviste i september 2025 et søgsmål mod ordningen, men dommen er anket til EU-Domstolen. Rammen gælder altså i dag, men den er ikke uangribelig.
• EU's standardkontraktbestemmelser (SCC'er): standardkontrakter godkendt af EU-Kommissionen. De kræver en vurdering af overførslen og eventuelt supplerende foranstaltninger. En leverandør, der har SCC'er som reserve, står stærkere, hvis DPF skulle falde.

For lande som Storbritannien, Schweiz og Japan findes der tilsvarende afgørelser om tilstrækkeligt beskyttelsesniveau.

Et konkret eksempel: Asktopus' underdatabehandlere

Sådan ser listen ud hos os, taget fra vores privatlivspolitik:

Overførsler til USA sker under DPF eller, hvor det er relevant, EU's standardkontraktbestemmelser. Vi giver kunderne besked, før vi tilføjer eller udskifter en underdatabehandler, der behandler besøgsdata.

Det betyder også, at vi ikke lover, at data aldrig forlader EU. For at kunne svare sendes den besøgendes spørgsmål og de relevante uddrag af dit indhold til sprogmodeller i USA. Det samme gælder for mange AI-chatbots. Lover en leverandør "kun EU", så spørg, hvilken sprogmodel der skriver svarene, og hvor den kører.

Spørgsmål 4: Hvad er retsgrundlaget for behandlingen?

Du skal kunne pege på et af de seks retsgrundlag i GDPR artikel 6:

• Samtykke: Den besøgende siger udtrykkeligt ja. Det skal være frivilligt og specifikt, og et generelt cookie-banner er ikke nok.
• Opfyldelse af kontrakt: Hvis chatten er nødvendig for at levere en aftalt ydelse.
• Legitim interesse: Det mest brugte grundlag for kundeservice. Kræver en skriftlig interesseafvejning.
• Retlig forpligtelse: Sjældent relevant for chatbots.
• Vitale interesser: Næsten aldrig relevant.
• Opgave i samfundets interesse: Relevant for kommuner og offentlige myndigheder.

For en almindelig virksomheds website er legitim interesse ofte det rette grundlag for selve chatten. Samtykke kan blive nødvendigt, hvis du bruger samtaledata til markedsføring eller analyse ud over driften.

Spørgsmål 5: Hvor længe opbevares data?

GDPR kræver, at du kun opbevarer data, så længe det er nødvendigt. Loven nævner ikke et fast antal dage. Det afgørende er, at perioden passer til formålet, at den står i din privatlivspolitik, og at data rent faktisk bliver slettet. For chatsamtaler er 90 dage et fornuftigt udgangspunkt: længe nok til at læse samtalerne, finde huller i dit indhold over et kvartal og følge op på henvendelser, men ikke længere.

Spørg leverandøren:

• Hvor længe gemmes samtaler som standard, og kan det gøres kortere?
• Sker sletningen automatisk, eller skal du selv huske det?
• Hvad gælder for backups og logfiler?
• Hvad sker der med data, når du opsiger aftalen?

Har du brug for at gemme noget længere, fx fordi en samtale førte til en aftale, så flyt det over i dit eget system, hvor det følger dine øvrige regler for opbevaring.

Spørgsmål 6: Hvordan håndterer du de registreredes rettigheder?

Besøgende har efter GDPR ret til:

• Indsigt: at se, hvilke oplysninger du har om dem
• Berigtigelse: at få urigtige oplysninger rettet
• Sletning (retten til at blive glemt)
• Begrænsning af behandlingen
• Dataportabilitet: at få deres data udleveret i et struktureret format
• Indsigelse mod behandlingen

Rettighederne gælder også for chatdata. Som databehandler skal leverandøren hjælpe dig med at efterleve dem, så spørg, hvordan det foregår i praksis: Kan du selv finde og slette en bestemt samtale, eller skal du kontakte leverandøren?

Glem ikke kopierne. Sender chatbotten samtaler videre til et menneske via e-mail, Slack eller dit CRM-system, ligger oplysningerne nu også i dine egne systemer og skal med, når du besvarer en anmodning. En kort opbevaringsperiode hos leverandøren gør opgaven mindre.

Spørgsmål 7: Hvordan informerer du de besøgende?

De besøgende skal have at vide, hvad der sker med deres oplysninger, før de går i gang. Det sker typisk tre steder:

• Privatlivspolitikken: Beskriv, at du bruger en AI-chatbot, hvilke oplysninger der indsamles, formål, retsgrundlag, opbevaringsperiode, hvem der modtager oplysningerne (leverandøren og dennes underdatabehandlere), og om der sker overførsler uden for EU/EØS.
• Cookie-banneret: Kun relevant, hvis chatbotten sætter cookies eller gemmer data i browseren. Spørg leverandøren. Asktopus-widgeten sætter ingen cookies og gemmer ikke noget i den besøgendes browser.
• I selve chatten: En kort tekst i velkomstbeskeden, der henviser til privatlivspolitikken.

Siden 2. august 2026 gælder AI-forordningens gennemsigtighedsregler (artikel 50). Mennesker, der taler med en AI, skal have det at vide fra første interaktion, medmindre det er åbenlyst. Pligten ligger primært hos udbyderen af AI-systemet, men det er dit site, og det er dine besøgende. Det enkleste er at skrive det i velkomstbeskeden, fx: "Hej, jeg er en AI-assistent og svarer ud fra indholdet på vores site."

Og opdatér privatlivspolitikken, når chatbotten går live. Det er den detalje, der oftest bliver glemt.

Tjekliste før du går live

1. Databehandleraftalen med leverandøren er på plads.
2. Du har listen over underdatabehandlere med placering og overførselsgrundlag, og du ved, hvordan du får besked om ændringer.
3. Retsgrundlaget er valgt og dokumenteret. Ved legitim interesse: en kort, skriftlig interesseafvejning.
4. Chatbotten er tilføjet din fortegnelse over behandlingsaktiviteter.
5. Privatlivspolitikken beskriver chatbotten: formål, retsgrundlag, opbevaring, modtagere og eventuelle overførsler.
6. Chatten siger tydeligt, at det er en AI, og velkomstbeskeden henviser til privatlivspolitikken.
7. Opbevaringsperioden er kendt og passer til dit formål.
8. Du ved, hvad du gør, når en besøgende beder om indsigt eller sletning, inklusive de kopier, der er sendt videre til e-mail, Slack eller CRM.
9. Følsomme emner er begrænset: blokér emner, chatbotten ikke skal svare på (fx helbred, jura eller investering), og bed aldrig besøgende om cpr-nummer i chatten.
10. Cookies er afklaret. Sætter chatbotten cookies, er de dækket af dit cookie-banner.
11. En navngiven person læser samtalerne jævnligt i de første uger.

Står du stadig og skal vælge løsning, så læs vores guide til chatbot til hjemmeside.

Hvad gør Asktopus?

Asktopus udvikles af Uneven Bits ApS i København. Sådan håndterer vi de punkter, guiden gennemgår:

• Roller: Vi er databehandler for chatdata fra dine besøgende, og du er dataansvarlig.
• Databehandleraftale: Den er en del af vores vilkår, og du kan læse den her. Har du brug for et underskrevet eksemplar, så kontakt os.
• Opbevaring: Indholdet af chatsamtaler slettes automatisk 90 dage efter samtalen. Vi beholder kun en registrering af, at samtalen fandt sted (tidspunkt og antal beskeder), og sikkerhedskopier opbevares i op til 30 dage.
• Underdatabehandlere: Listen står ovenfor og i vores privatlivspolitik. Du får besked, før vi tilføjer eller udskifter en underdatabehandler, der behandler besøgsdata.
• AI-mærkning: Widgeten fortæller altid de besøgende på deres eget sprog, at de chatter med en AI, der kan tage fejl.
• Ingen cookies: Widgeten sætter ingen cookies og gemmer ikke noget i den besøgendes browser.
• Beskyttelse: Du kan blokere emner, assistenten ikke skal svare på, og indbygget beskyttelse mod prompt injection er altid slået til.
• Ingen videresalg: Vi sælger aldrig data videre.

For kommuner og offentlige institutioner gennemgår vi gerne databehandleraftalen sammen med jeres databeskyttelsesrådgiver.

Ofte stillede spørgsmål

Er det lovligt at bruge en AI-chatbot med amerikanske sprogmodeller?

Som udgangspunkt ja, hvis overførslen har et gyldigt grundlag, typisk EU-US Data Privacy Framework for certificerede virksomheder eller EU's standardkontraktbestemmelser, og hvis det står i databehandleraftalen og din privatlivspolitik. Offentlige myndigheder og virksomheder, der behandler følsomme oplysninger, bør lave en grundigere vurdering med deres databeskyttelsesrådgiver.

Skal besøgende give samtykke, før de kan chatte?

Som regel ikke til selve chatten, hvor legitim interesse ofte er det rette grundlag. Samtykke bliver relevant, hvis chatbotten sætter cookies, der ikke er nødvendige, eller hvis du vil bruge samtalerne til markedsføring.

Skal besøgende vide, at de taler med en AI?

Ja. Efter AI-forordningen skal det fremgå fra første interaktion, medmindre det er åbenlyst. Viser din widget det ikke selv, er det enkleste at skrive det i velkomstbeskeden.

Hvad hvis en besøgende skriver følsomme oplysninger i chatten?

Det kan du ikke forhindre helt, men du kan begrænse det. Bed aldrig om følsomme oplysninger i chatten, blokér emner, chatbotten ikke skal håndtere, og hold opbevaringsperioden kort. Arbejder du i et område med særlig risiko, fx sundhed, så lad velkomstbeskeden bede besøgende om ikke at dele den slags.

---

Vil du se, hvordan det fungerer i praksis, kan du prøve Asktopus gratis i 14 dage uden betalingskort. Planerne finder du på prissiden.