Data skal sorteres, før AI-tjenesten vælges, fordi sorteringen afgør, hvilke tjenester og driftsformer der overhovedet kan komme på tale. En enkel sortering i fem klasser er nok for de fleste: offentlige oplysninger, interne oplysninger, fortrolige forretningsoplysninger, persondata og oplysninger under særlige krav.
Mange virksomheder har allerede en dataklassificering fra sikkerhedsarbejdet. Den kan bruges, men den er sjældent skrevet med AI-tjenester for øje. Sorteringen her har ét formål: at bestemme, hvad indkøbet skal kunne, før nogen sammenligner tjenester. Sorteringen er sitets egen metode. Om en bestemt datatype må behandles et bestemt sted, er en konkret vurdering, som DPO eller jurist skal lave.
Fem klasser
Klasse 1: offentlige oplysninger. Det, der står på jeres hjemmeside, i offentlige rapporter, i produktblade eller i love og vejledninger. Ingen skade, hvis det ses af andre.
Klasse 2: interne oplysninger. Interne vejledninger, mødereferater uden følsomme punkter, procesbeskrivelser og udkast. Ubehageligt, hvis det slipper ud, men uden større skade.
Klasse 3: fortrolige forretningsoplysninger. Priser, tilbud, kalkulationer, kildekode, strategi, kundelister og forhandlingsoplæg. De er ikke persondata og falder derfor tit uden for det, DPO’en kigger på, men tabet kan være stort.
Klasse 4: persondata. Oplysninger om kunder, medarbejdere og samarbejdspartnere. Her gælder databeskyttelsesreglerne, og valget af tjeneste skal kunne forklares over for de registrerede og Datatilsynet.
Klasse 5: oplysninger under særlige krav. Følsomme persondata, oplysninger under tavshedspligt, data, som kundeaftaler kræver behandlet på en bestemt måde, og oplysninger, der er omfattet af særlige regler i jeres branche.
Fra klasse til driftsform
Sorteringen bliver først nyttig, når hver klasse kobles til de driftsformer, den må bruge. Koblingen er jeres egen beslutning. Her er et udgangspunkt, I kan rette til.
Klasse 1 og 2 kan som udgangspunkt bruges i en købt erhvervstjeneste med træning slået fra. Personlige konti bør heller ikke bruges her, fordi vilkårene er andre.
Klasse 3 kræver en aftale for erhvervskunder med en klausul om fortrolighed, fravalgt træning og kort opbevaring af prompter og svar. Om drift i EU er et krav, afhænger af, hvor følsomme oplysningerne er, og hvem I frygter skal se dem. For de mest følsomme kan en model via europæisk API eller egen drift være svaret.
Klasse 4 kræver det samme som klasse 3 plus det, databeskyttelsesreglerne stiller op: databehandleraftale, styr på underleverandører og en vurdering af overførsler uden for EU. Hvad databehandleraftalen med en AI-leverandør skal rumme, står på dpo-as-a-service.dk.
Klasse 5 kræver en konkret vurdering for hver opgave. Ofte ender det med drift i EU hos en udbyder, der ikke selv kan se data, med egen drift, eller med at opgaven ikke løses med AI. Det er et svar, der skal kunne stå.
Sorteringen styrer indkøbet
Det særlige ved sorteringen her er, at den bruges til at bestemme indkøbet. Når klasserne er koblet til driftsformer, kan I se, hvilke tjenester I har brug for. Har I kun klasse 1 og 2 i jeres opgaver, er en almindelig erhvervstjeneste nok. Har I klasse 3 eller 4 i en opgave, skal netop den opgave have en løsning med stærkere aftale eller anden drift.
Det gør det også muligt at undgå at købe for meget. En virksomhed, der vil have egen drift til alt, fordi én opgave rummer klasse 5, betaler for kontrol, som de fleste opgaver ikke har brug for. Sorteringen viser, hvor kontrollen skal sidde.
Hvilke regler medarbejderne skal følge, når de bruger generativ AI, er et sikkerhedsspørgsmål, som uddybes på ciso-as-a-service.dk. Her bestemmer sorteringen, hvad der købes.
Gør det enkelt for brugerne
En sortering, kun IT kan forstå, virker ikke. Brugerne skal kunne se, hvilken tjeneste de må bruge til hvad. Et skema med to kolonner er ofte nok: “Det må du bruge assistenten til” og “Det skal i den anden løsning eller slet ikke i AI”. Eksempler fra jeres egen hverdag hjælper mere end definitioner.
Sorteringen skal også tage højde for, at data blandes. Et mødereferat kan være klasse 2, indtil nogen skriver en kundes navn og en pris ind. Reglen bør derfor sige, at den højeste klasse i et dokument bestemmer.
Hvad det kræver, og hvad det koster at lade være
En første sortering tager en til to arbejdsdage for en IT-ansvarlig sammen med den, der kender forretningens data, og en DPO, hvis I har en. Har I en klassifikation i forvejen, er det mindre arbejde. Koblingen til driftsformer og en vejledning til brugerne tager endnu en dag.
Lader I være, bliver sorteringen lavet af hver enkelt medarbejder, hver gang de indsætter noget i en tjeneste. Nogle er for forsigtige og får intet ud af AI. Andre lægger kontrakter og kundedata i den nærmeste tjeneste. Prisen er tabt gevinst på den ene side og tab af kontrol over oplysninger på den anden.
Det skal I lade være med
- At lade persondata være eneste kriterium · priser, tilbud og kildekode kan være lige så følsomme.
- At give egen drift til alt på grund af én opgave · kontrollen skal sidde, hvor data kræver den.
- At skrive sorteringen, så kun IT forstår den · brugerne træffer valget hver dag.
Det skal valget kunne vise
- ☐ De fem klasser med eksempler fra jeres egne data.
- ☐ Hvilke driftsformer og aftaler hver klasse kræver.
- ☐ Hvilke opgaver der rummer hvilke klasser.
- ☐ En kort vejledning til brugerne med eksempler.
Senest gennemgået: november 2026.
Næste skridt
Tag jeres fem vigtigste AI-opgaver, og skriv den højeste klasse ud for hver. Den klasse afgør, hvilken løsning opgaven skal have.
Læs også: Købt tjeneste, europæisk API, lejet GPU eller egen drift · Skal vores AI være europæisk?
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
