AI og GDPR: tjeklisten når en AI svarer dine kunder

Af Anton Schwartz, medstifter af Konverto

Klokken er 14.20 en torsdag, og Lars sidder med sin revisor over et regnskab. Revisoren kigger op fra skærmen: "Du har fået et eller andet AI til at svare dine kunder. Har du en databehandleraftale på det?" Lars ved, at der ligger noget i en mappe fra dengang hjemmesiden blev lavet. Han ved ikke, om det dækker.

Det spørgsmål stopper flere handler end prisen. AI og GDPR lyder som et emne for jurister, men for en almindelig servicevirksomhed er det en håndfuld konkrete ting, der kan stå på én side. Hver påstand nedenfor står på en primærkilde, du selv kan slå op. Vi er ikke advokater, og dette er ikke juridisk rådgivning, men en oversigt over, hvad myndighederne selv skriver, så du ved, hvad du skal spørge om.

AI og GDPR: hvad ændrer sig, når en maskine svarer dine kunder?

Ikke selve reglerne. GDPR handler om behandling af personoplysninger, og det gjorde den også, før der sad en AI i den anden ende. Det der ændrer sig, er tre praktiske ting: der kommer en leverandør mere ind i kæden, der bliver gemt mere tekst om hver kunde, og kunden kan komme i tvivl om, hvem han skriver med. Skil derfor regelsættene fra hinanden, for de bliver blandet sammen i næsten enhver samtale om emnet.

GDPR hører under Datatilsynet, som også anbefaler, at kundens klageret til tilsynet står i din privatlivspolitik (Datatilsynet, oktober 2026). Spam og markedsføring hører under Forbrugerombudsmanden.

Hvem er dataansvarlig, og hvem er databehandler?

Du er dataansvarlig, og leverandøren af systemet er databehandler. Det betyder noget, fordi kravene til de to roller er forskellige.

Datatilsynet definerer det kort: den dataansvarlige bestemmer hvorfor og hvordan personoplysninger bliver brugt, og en databehandler behandler oplysninger på vegne af den dataansvarlige, altså efter dennes instruks (Datatilsynet, oktober 2026). Det er dig, der beslutter, at dine henvendelser skal besvares, og hvad der må skrives til kunden.

Tilsynets eget eksempel passer én til én: et fitnesscenter bruger et medlemssystem, som leverandøren ejer og driver. Fitnesscentret er dataansvarlig, leverandøren er databehandler, fordi ydelsen består i at bruge personoplysninger på fitnesscentrets vegne. Konsekvensen, som tilsynet skriver direkte, er at leverandøren ikke må bruge oplysningerne til egne formål og ikke må benytte underdatabehandlere uden at have fået lov (Datatilsynet, oktober 2026). Spørg derfor, før du vælger: bruger I vores kunders beskeder til at træne noget?

Rollen følger ikke med alt, du deler. Datatilsynet skriver i sit eksempel for håndværkervirksomheder, at du typisk uden videre kan dele kundeoplysninger med din materialeleverandør eller underentreprenør, så længe det er nødvendigt for at opfylde aftalen (Datatilsynet, oktober 2026). Der er modtageren selv dataansvarlig, og der skal ingen aftale på.

Og det er dig, der bliver holdt ansvarlig: Datatilsynet skriver, at det som udgangspunkt er virksomheden, ikke den enkelte ansatte, der stilles til ansvar (Datatilsynet, oktober 2026). Det kan du ikke aftale dig ud af.

Databehandleraftale: den skal på plads, før systemet bliver tændt

Datatilsynets regel er kort: når du anvender en databehandler, skal du have en databehandleraftale. Tilsynet skriver, at leverandørerne af de it-systemer du bruger typisk er databehandlere, og nævner nyhedsbrevssoftware, lønsystemer, CRM-systemer og mailprogrammer (Datatilsynet, oktober 2026). Et svarsystem hører i samme kategori.

Kravene står i GDPR artikel 28, stk. 3: aftalen skal fastsætte behandlingens genstand, varighed, karakter og formål, typerne af oplysninger og kategorierne af personer. Den skal også bestemme, at databehandleren kun behandler efter din dokumenterede instruks, holder sine folk til fortrolighed, gennemfører sikkerhedsforanstaltningerne i artikel 32, bistår dig med rettigheder og sikkerhedsbrud, og sletter eller tilbageleverer oplysningerne ved ophør. Den skal foreligge skriftligt, og elektronisk tæller (stk. 9). Efter stk. 2 må din databehandler ikke bruge en anden uden din godkendelse, og giver du en generel godkendelse, skal du underrettes om ændringer, så du kan gøre indsigelse.

Tre ting gør det nemmere, end det lyder:

1. Du behøver ikke skrive aftalen selv. Artikel 28 stiller krav til indholdet, ikke til hvem der skriver den, så leverandørens egen må bruges. Konverto stiller en databehandleraftale til rådighed på konverto.ai/dpa, og den træder i kraft, når du opretter en konto.
2. Du skal kunne finde den igen. Datatilsynet anbefaler konkret, at du holder overblik over dine databehandleraftaler, f.eks. i en mappe på computeren (Datatilsynet, oktober 2026). Det er den opgave, revisoren spørger til.
3. Underleverandørlisten er en del af aftalen. Det er dér, du kan se, hvilke tjenester der faktisk ser dine kunders beskeder.

Hvilket behandlingsgrundlag gælder, når du svarer på kundens egen henvendelse?

Typisk aftalen eller en interesseafvejning, sjældent samtykke. Og det er ikke en smutvej, det er det Datatilsynet selv anbefaler.

GDPR artikel 6, stk. 1 opregner grundlagene. De tre relevante er samtykke (litra a), at behandlingen er nødvendig for at opfylde en kontrakt, som personen er part i, eller for at træffe foranstaltninger på personens anmodning forud for en kontrakt (litra b), og at den er nødvendig for en legitim interesse, medmindre personens interesser går forud (litra f). Litra b dækker altså også det, der sker på personens anmodning, før aftalen findes, og en kunde, der udfylder din formular og beder om et tilbud, har netop anmodet om noget.

Datatilsynet siger det i hverdagssprog: du skal vælge det grundlag, som passer bedst, og du skal således ikke indhente samtykke, hvis du har et andet lovligt grundlag. Behandlingen af almindelige kundeoplysninger er nødvendig for din varetagelse af kundeforholdet (Datatilsynet, oktober 2026). Dertil kan et samtykke trækkes tilbage til enhver tid, så gør du dit svar afhængigt af det, kan systemet stoppe midt i en kundedialog.

Grænsen ligger et andet sted, og den er skarp. Datatilsynet skriver i samme afsnit, at vil du bruge de samme oplysninger til markedsføring, skal du have samtykke (Datatilsynet, oktober 2026). Svaret på henvendelsen: ikke samtykke. Nyhedsbrevet bagefter: samtykke.

To ting hører til her. Dataminimering: du må ikke håndtere flere oplysninger end dem, du skal bruge (Datatilsynet, oktober 2026), jf. også GDPR artikel 5, stk. 1, litra c. Hvert felt, du fjerner fra formularen, er en oplysning, du ikke skal passe på. Automatiske afgørelser: GDPR artikel 22, stk. 1 giver ret til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, og som har retsvirkning eller betydeligt påvirker personen. Et svar eller en foreslået tid er normalt ikke en sådan afgørelse, men lader du et system afvise kunder, er det et andet spørgsmål.

GDPR og chatbot: hvad skal stå i din privatlivspolitik?

At du bruger et system til at behandle henvendelser, hvem der behandler dem, hvor længe du gemmer dem, og hvilke rettigheder kunden har. Det er den ændring, de fleste mangler.

Datatilsynets liste er kort nok til at tage punkt for punkt: din identitet og dine kontaktoplysninger, hvilke personoplysninger du har, hvorfor du har dem, altså din gode grund og dit lovlige grundlag, hvem de eventuelt deles med, hvor længe de gemmes, og hvilke rettigheder personen har (Datatilsynet, oktober 2026). Tilsynet nævner udtrykkeligt, at "hvem oplysningerne deles med" også dækker en, som håndterer dem på dine vegne. Det er leverandøren af svarsystemet. Får du oplysningerne fra personen selv, skal informationen gives, når du modtager dem, ellers senest inden en måned. GDPR artikel 13, stk. 1 og 2 kræver desuden, at du oplyser om retsgrundlaget, om overførsler til tredjelande, om opbevaringsperioden og om klageretten.

Politikken må gerne ligge i bunden af hjemmesiden, men Datatilsynet anbefaler, at du linker til den, når kunden afgiver oplysninger om sig selv (Datatilsynet, oktober 2026). Det er dét link, der mangler de fleste steder, ikke selve politikken: sæt det på kontaktformularen, ved nyhedsbrevstilmeldingen og i mailsignaturen.

Her er en tekst, du kan tilpasse. Skriv kun det, der er rigtigt hos dig:

Når du skriver til os via mail, kontaktformular, sms eller sociale medier, behandler vi dit navn, dine kontaktoplysninger og indholdet af din henvendelse, så vi kan besvare den, vurdere opgaven og aftale et tidspunkt. Vi bruger et it-system med kunstig intelligens til at læse og besvare henvendelser, og leverandøren behandler oplysningerne som databehandler efter vores instruks. Retsgrundlaget er artikel 6, stk. 1, litra b i databeskyttelsesforordningen, når behandlingen er nødvendig for at indgå eller opfylde en aftale med dig, og ellers litra f om vores legitime interesse i at besvare henvendelser. Vi gemmer henvendelsen, så længe den er nødvendig for sagen. Du har ret til indsigt, berigtigelse, sletning, begrænsning, indsigelse og dataportabilitet, og du kan klage til Datatilsynet.

Spørger kunden direkte, skal du mere end henvise til politikken. GDPR artikel 15, stk. 1 giver ret til at få bekræftet, om du behandler oplysninger om personen, og i så fald adgang til dem plus formål, kategorier, modtagere, opbevaringsperiode og klageret. Stk. 3 går videre: den dataansvarlige udleverer en kopi, elektronisk hvis anmodningen kom den vej. En hel beskedtråd er sådanne oplysninger, så find ud af, hvordan du trækker alt om én kunde ud af systemet, før du får spørgsmålet.

GDPR og kundedata: hvor længe må du gemme en henvendelse?

Så længe du har brug for den, og ikke længere. Det lyder som et ikke-svar, men sådan er reglen bygget.

Princippet står i GDPR artikel 5, stk. 1, litra e: oplysninger må ikke opbevares i et længere tidsrum end nødvendigt. Datatilsynet oversætter: du skal slette, når du ikke længere har behov for oplysningerne, og reglerne indeholder ikke faste grænser. Du har et vist råderum, fordi du kender din virksomhed bedst, og du skal i langt de fleste tilfælde ikke være nervøs for, at tilsynet er uenig i en frist, du har fastsat (Datatilsynet, oktober 2026).

Tre pejlemærker:

• Bogføringsloven slår GDPR, hvor den gælder. Regnskabsmateriale skal opbevares i 5 år fra udgangen af det regnskabsår, det vedrører (Datatilsynet, oktober 2026). Fakturaen bliver altså liggende, selv om kunden beder om sletning.
• To år uden køb som udgangspunkt. Tilsynet skriver, at når en kunde i en længere periode, f.eks. 2 år, ikke har købt noget, skal du slette det du har, men kalder selv de 2 år vejledende (Datatilsynet, oktober 2026).
• En verserende tvist forlænger. Er der uenighed om et køb, kan oplysningerne opbevares, så længe tvisten verserer (Datatilsynet, oktober 2026).

Det vigtige er ikke tallet, men at der er en rutine. Datatilsynet skriver, at så længe du har rutiner, der sikrer løbende sletning, har du ikke pligt til at gennemgå samtlige dokumenter (Datatilsynet, oktober 2026). Spørg derfor din leverandør om de faktiske frister, og skriv dem ind. Konvertos databehandleraftale på konverto.ai/dpa oplyser dem direkte: leads slettes efter 24 måneders inaktivitet, sms-logs efter 12 måneder og e-mailkorrespondance efter 5 år. Det er dig som dataansvarlig, der skal vurdere, om de passer.

Og data forlader EU oftere, end man tror. GDPR artikel 44 fastslår, at overførsel til et tredjeland kun må finde sted, hvis kapitlets betingelser er opfyldt. Grundlaget kan være Kommissionens afgørelse om et tilstrækkeligt beskyttelsesniveau (artikel 45) eller fornødne garantier, typisk standardkontraktbestemmelser (artikel 46, stk. 2). Sprogmodeller, mailudbydere og sms-tjenester er oftest amerikanske, så i praksis sker der en overførsel i næsten alle svarsystemer, og artikel 13, stk. 1, litra f kræver, at du oplyser om den og om garantierne. Konverto lister underdatabehandlerne med lokation og overførselsgrundlag på konverto.ai/privacy.

Optagelse af telefonsamtaler: en anden og strengere situation

Optager du telefonsamtaler med kunder, er du ude i noget andet end et skrevet svar.

Datatilsynet gør det klart, at der ikke findes særlige regler om optagelse af telefonsamtaler i databeskyttelsesforordningen og databeskyttelsesloven, så de generelle regler gælder. Men oveni ligger straffelovens § 263, der forbyder hemmelig aflytning eller optagelse af samtaler mellem andre. Konsekvensen, som tilsynet skriver den: man må kun optage samtaler, man selv deltager i, eller hvor man har samtykke fra mindst én deltager. Er en optagelse i strid med straffeloven, er den heller ikke lovlig efter databeskyttelsesreglerne (Datatilsynet, oktober 2026).

Derefter afhænger det af formålet, og Datatilsynets vejledning fra april 2024 deler det i to. For at dokumentere kan du optage uden samtykke, men kun hvis behovet reelt ikke kan opfyldes på anden vis, f.eks. ved et telefonnotat eller efterfølgende korrespondance, og du skal kunne godtgøre behovet over for Datatilsynet. For en servicevirksomhed, der alligevel sender et skriftligt tilbud, er den begrundelse svær at løfte. For at uddanne medarbejdere kan grundlaget være samtykke eller en interesseafvejning, og uden samtykke er det en forudsætning, at kunden før eller under opkaldet kan frabede sig optagelsen (Datatilsynet, april 2024).

Fire ting skal være på plads, uanset formålet:

1. Oplys det i opkaldet. Du skal oplyse om optagelsen, formålet og retsgrundlaget. Datatilsynet anbefaler, at de vigtigste oplysninger gives i selve speaket, og resten bag et direkte link, og skriver udtrykkeligt, at den generelle privatlivspolitik typisk ikke er nok. Du skal altså have en egen side om telefonoptagelse.
2. Et samtykke på telefonen er et tastetryk. Det skal være en aktiv og utvetydig handling, og tavshed er ikke nok.
3. Sæt en slettefrist. Datatilsynet anbefaler en generel frist på f.eks. 3 måneder.
4. Du skal kunne udlevere optagelsen. Den optagede har ret til indsigt og kan til enhver tid gøre indsigelse mod opbevaringen (Datatilsynet, april 2024).

Konverto besvarer de skrevne henvendelser: mail, sms, kontaktformular, hjemmeside-chat og beskeder på Facebook og Instagram. Vi tager ikke telefonen. Overvejer du en telefonløsning med optagelse, så se mulighederne i Telefonpasning pris, og tag listen ovenfor med til leverandøren.

Markedsføringslovens § 10: regelsættet der tit forveksles med GDPR

GDPR afgør, om du må behandle oplysningerne. Markedsføringsloven afgør, om du må sende beskeden. De to er uafhængige, og du kan godt opfylde den ene og overtræde den anden.

Forbrugerombudsmanden placerer reglen: reglerne om spam findes i markedsføringslovens § 10. Det er forbudt at sende henvendelser med henblik på markedsføring uden modtagerens samtykke, og formålet er markedsføring, hvis beskeden skal sælge en vare eller ydelse eller øge kendskabet til en virksomhed eller et produkt (Forbrugerombudsmanden, oktober 2026).

Fire præciseringer med konsekvenser for et svarsystem:

• "Elektronisk post" er bredere end mail. Begrebet dækker digital post, mails og sms'er, men også chatbeskeder og notifikationer på sociale medier samt push-beskeder fra mobilapps. Din Messenger-besked er altså omfattet som en mail.
• Et svar på kundens eget spørgsmål er en servicemeddelelse. Den er ikke spam, men må ikke indeholde oplysninger, der omtaler andre produkter, eller som skal øge kendskabet til virksomheden. Hæng altså ikke et tilbud på en anden ydelse i samme besked.
• Du kan ikke hente samtykket i en mail. Det skal være hentet først, f.eks. via en hjemmeside eller en blanket. Det må ikke ligge i handelsbetingelserne, og et forhåndsafkrydset felt er ikke gyldigt. Forbuddet gælder uanset modtager, så også mellem virksomheder.
• Undtagelsen for eksisterende kunder er snæver. Alle tre betingelser skal være opfyldt: kunden blev klart oplyst om reklamebrugen og kunne sige nej, henvendelsen må kun handle om samme produktkategori som det købte, og hver besked skal kunne afmeldes let og gratis (Forbrugerombudsmanden, oktober 2026).

Forbrugerombudsmanden oplyser, at virksomheder kan straffes med bøde for at overtræde spamforbuddet. Der står ikke et beløb på siden, og vi gætter ikke på et. Konsekvensen er enkel: hold de automatiske beskeder til det, kunden selv har skrevet om. Samme grænse er gennemgået i Svartid på henvendelser.

AI-forordningen: kunden skal kunne se, at der sidder en maskine

AI-forordningen, forordning (EU) 2024/1689, finder anvendelse fra 2. august 2026 efter forordningens artikel 113, og den bestemmelse, der rammer et svarsystem, er artikel 50.

Ordlyden fordeler ansvaret anderledes, end folk forventer. Artikel 50, stk. 1 siger, at udbydere skal sikre, at AI-systemer, der er tilsigtet at interagere direkte med fysiske personer, udformes så personerne oplyses om, at de interagerer med et AI-system. Undtagelsen er, hvis det er indlysende ud fra en rimeligt velinformeret, opmærksom og forsigtig persons synspunkt.

Udbyder er efter artikel 3, nr. 3 den, der udvikler systemet og bringer det i omsætning under eget navn. Du, der bruger det i din virksomhed, er idriftsætter efter nr. 4. Designpligten ligger altså hos leverandøren, ikke hos dig. Tre konsekvenser:

1. Det er leverandørens opgave at bygge oplysningen ind. Din opgave er at bede om at se den: hvor står det i den første mail eller sms, og kan jeg slå det fra? Svaret på det sidste bør være nej.
2. Timingen er fastlagt. Artikel 50, stk. 5 kræver, at oplysningerne gives klart og synligt senest ved den første interaktion. En linje nede i en footer lever ikke op til det.
3. Det indlysende er ikke et fripas. Er beskederne skrevet, så de ligner virksomheden selv, er det netop ikke indlysende for kunden.

Artikel 50, stk. 2 lægger en pligt mere på udbydere af systemer, der genererer syntetisk lyd-, billed-, video- eller tekstindhold: outputtet skal mærkes i et maskinlæsbart format, så det kan spores som kunstigt genereret. Også leverandørens opgave, men et rimeligt spørgsmål at stille. Og stk. 6 siger udtrykkeligt, at bestemmelsen ikke berører andre gennemsigtighedsforpligtelser i EU-ret eller national ret: oplysningen om AI erstatter ikke GDPR artikel 13. Du skal have begge.

Sådan gør du i praksis

Her er tjeklisten. Tag den i rækkefølge, og læg den i mappen ved siden af databehandleraftalen.

1. Skriv ned, hvilke kanaler henvendelser kommer ind på. Resten afhænger af den.
2. Afgør hvilke leverandører der er databehandlere. Består ydelsen i at bruge personoplysninger på din instruks, skal der en databehandleraftale på.
3. Hent aftalen hjem for hver af dem, og gem dem på ét sted. Tjek at den nævner genstand, varighed, formål, instruks, fortrolighed, sikkerhed, underleverandører, bistand til rettigheder og sletning ved ophør.
4. Læs underleverandørlisten, og noter hvem der ligger uden for EU og på hvilket grundlag.
5. Vælg dit behandlingsgrundlag for selve svaret. Normalt opfyldelse af aftale eller legitim interesse. Ikke samtykke.
6. Opdater privatlivspolitikken med de seks punkter: hvem du er, hvilke oplysninger, hvorfor og på hvilket grundlag, hvem de deles med, hvor længe de gemmes, og kundens rettigheder. Link til den alle de steder, hvor kunden afgiver oplysninger.
7. Få de faktiske slettefrister fra leverandøren, og skriv dem ind. Tjek at sletningen sker automatisk.
8. Tjek at AI-oplysningen står i den første besked, kunden får, og at den ikke kan slås fra.
9. Hold de automatiske beskeder til det, kunden selv skrev om, og prøv én gang, hvordan du svarer på en anmodning om indsigt eller sletning.
10. Optager du telefonsamtaler, så tag afsnittet ovenfor som en separat liste: formål, oplysning i opkaldet, egen side om optagelse, slettefrist og indsigt.

Listen gælder, uanset hvilket system du bruger. Det er den, du kan give din revisor, og den samme, du kan holde op mod en leverandør, før du skriver under.

Vil du se, hvordan et svarsystem håndterer en henvendelse fra den kommer ind til der står en besigtigelse i kalenderen, kan du følge forløbet på Sådan arbejder Konverto.