Datatilsynet har ingen vejledning til private virksomheder om valg af sprogmodel eller AI-tjeneste, som vi har kunnet finde. Tilsynets side om kunstig intelligens handler om den regulatoriske sandkasse, om offentlige myndigheders brug og om en skabelon til konsekvensanalyse, og den nævner hverken sprogmodeller som tjenester, cloud eller valg af leverandør.
Det betyder ikke, at tilsynet intet har sagt, der kan bruges. Det betyder, at I må samle det fra flere steder og selv tage stilling til resten. Denne artikel er et opslag: hvad der findes, hvor det står, og hvad der mangler. Reglerne om persondata og AI i bredden står på dpo-as-a-service.dk.
Det, der står på tilsynets side om AI
Da vi læste siden Kunstig intelligens 8. november 2026, fandt vi:
- den regulatoriske sandkasse for AI, som Datatilsynet driver sammen med Digitaliseringsstyrelsen,
- et arrangement fra 2024,
- vejledningen “Offentlige myndigheders brug af kunstig intelligens: Inden I går i gang”,
- en skabelon til konsekvensanalyse ved AI,
- en kortlægning af den offentlige sektors brug af AI,
- en podcast.
Sandkassen har udgivet slutrapporter, senest 30. juni 2026. De handler om konkrete projekter og ikke om valget af en tjeneste.
Det, en privat virksomhed kan bruge
Vejledningen til myndigheder. Den er skrevet til offentlige myndigheder, og forbeholdet skal med, når en privat bruger den. Afsnittene om, hvad en konsekvensanalyse skal dække, kan alligevel give en privat virksomhed et udgangspunkt.
Skabelonen til konsekvensanalyse ved AI. Den kan bruges af alle. En konsekvensanalyse efter GDPR art. 35 er en vurdering af risici for de personer, hvis oplysninger behandles. Om I skal lave én, afhænger af behandlingen. Hvordan skabelonen bruges i praksis, gennemgår dpo-as-a-service.dk.
Siden om cloud. Tilsynets vejledning om cloud er fra marts 2022 og nævner ikke AI. Efter vores læsning er en AI-tjeneste leveret over nettet alligevel en cloudtjeneste i vejledningens forstand. Siden står 8. november 2026 stadig med en bemærkning om, at vejledningen vil blive opdateret efter den nye afgørelse om USA. Siden kræver af den dataansvarlige, at hele rækken af leverandører og underleverandører er kendt, og at enhver behandling i et tredjeland, også en se-adgang, er en overførsel. Det sidste er vigtigt for AI-tjenester med support uden for EU. Datatilsynets cloudside set fra infrastrukturen er gennemgået på europaeisk-cloud.dk.
Fokusområderne for 2026. Tilsynet har meldt AI i sundhed og pleje ud som et fokusområde for 2026. Det viser, hvor tilsynet kigger. Hvad det forventer af valget af tjeneste, står der intet om.
Det, der mangler
Vi har ikke fundet vejledning fra Datatilsynet til private om:
- valg mellem sprogmodeller eller AI-tjenester,
- træning på kundens data og standardvalg i AI-tjenester,
- hvor længe prompter og svar må gemmes hos en leverandør,
- egen drift af en åben model og forholdet til GDPR,
- vurdering af, om en model er udviklet lovligt.
At vi ikke har fundet det, betyder ikke, at det ikke findes, eller at det ikke kommer. Se siden igen, før I lægger jer fast.
Det, I kan bruge i stedet
Der hvor Datatilsynet ikke har skrevet noget, er der andre kilder.
Det Europæiske Databeskyttelsesråd, EDPB, vedtog i december 2024 en udtalelse om AI-modeller, 28/2024. Ifølge udtalelsen bør tilsynet se på, om den, der begynder at bruge en model, har taget stilling til, hvorvidt modellen blev til ved ulovlig behandling. Hvor grundigt, afhænger af risikoen. Den del hører til artiklen om hvad I ved om modellens træningsdata.
AI-forordningen giver adgang til et offentligt resumé af træningsdata for modeller til almen brug. Det er beskrevet i regler for modeller til almen brug.
Resten er jeres egen vurdering: GDPR’s almindelige regler om behandlingsgrundlag, databehandleraftale, overførsel og sletning, holdt op mod den konkrete tjeneste.
Hvad det kræver, og hvad det koster at lade være
At samle det, der findes, tager en DPO eller jurist en dag: læs siden om AI og siden om cloud, hent skabelonen, og notér med dato, hvad der ikke er fundet. Det notat kan genbruges ved hvert valg af AI-tjeneste og opdateres, når tilsynet udgiver noget nyt.
Lader I være, er risikoen, at valget bygger på en antagelse om, at Datatilsynet har godkendt eller afvist bestemte tjenester. Det har tilsynet ikke i det, vi har læst. Uden notatet bliver det svært at vise en kunde eller en revisor, hvad valget hvilede på.
Det skal I lade være med
- At skrive, at Datatilsynet har godkendt en AI-tjeneste · tilsynet godkender ikke tjenester.
- At bruge vejledningen til myndigheder uden forbehold · den er skrevet til det offentlige.
- At læse et manglende svar som et ja · “ikke fundet” gælder kun den dag, I så efter.
Det skal valget kunne vise
- ☐ Hvilke af Datatilsynets sider og skabeloner I har brugt, med dato.
- ☐ En note om, hvad tilsynet ikke har skrevet om, med dato.
- ☐ Hvordan I har vurderet overførsel, også ved support uden for EU.
- ☐ Hvem der har lavet vurderingen, og hvornår den ses igen.
Kilder
- Datatilsynet, Kunstig intelligens, https://www.datatilsynet.dk/regler-og-vejledning/kunstig-intelligens, læst 8. november 2026.
- Datatilsynet, Cloud, https://www.datatilsynet.dk/regler-og-vejledning/cloud, læst 8. november 2026.
- Datatilsynet, nye slutrapporter fra AI-sandkassen, 30. juni 2026, https://www.datatilsynet.dk/presse-og-nyheder/nyhedsarkiv/2026/jun/nye-slutrapporter-fra-ai-sandkassen, læst november 2026.
- EDPB, Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models, https://www.edpb.europa.eu/system/files/2024-12/edpb_opinion_202428_ai-models_en.pdf, læst 8. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv et kort notat med dato over, hvad Datatilsynet har sagt, som er relevant for jeres AI-tjenester.
Læs også: Dansk tilsyn med AI: L 3 · AI-forordningen: det, den ændrer ved valget af leverandør
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
