Den, der tager en sprogmodel i brug til at behandle personoplysninger, bør efter EDPB have undersøgt, om modellen blev til ved en ulovlig behandling, og undersøgelsen skal være grundigere, jo større risikoen i jeres brug er. Ved en åben model er der ingen sælger at spørge, så oplysningerne skal findes i modelkortet, i udgiverens dokumentation og i det resumé af træningsindholdet, som AI-forordningen kræver af udbydere af modeller til almen brug.
Spørgsmålet lyder abstrakt, men det kommer fra Det Europæiske Databeskyttelsesråd (EDPB) og er rettet mod den virksomhed, der bruger modellen. Artiklen viser, hvad EDPB siger, hvor I finder svarene, og hvad I skriver ned.
Det, EDPB siger
EDPB udgav i december 2024 en udtalelse om databeskyttelse i forbindelse med AI-modeller, udtalelse 28/2024. Et af scenarierne beskriver den situation, hvor modellen er udviklet af én og bruges af en anden.
Ifølge punkt 129 bør tilsynsmyndighederne se på, om den virksomhed, der tager modellen i brug, har lavet en passende vurdering som led i sin ansvarlighed efter databeskyttelsesforordningens regler om lovlighed og behandlingsgrundlag. Vurderingen skal sikre, at modellen ikke er udviklet ved ulovlig behandling af personoplysninger. EDPB nævner som eksempler kilden til data, og om modellen er resultat af en overtrædelse, som en myndighed eller en domstol har fastslået.
Punkt 130 tilføjer, at virksomheden fx bør overveje, om data stammer fra et brud på persondatasikkerheden, og at vurderingens omfang afhænger af risikoen ved den behandling, modellen skal bruges til. Punkt 131 siger, at en EU-overensstemmelseserklæring efter AI-forordningen ikke i sig selv er en afgørende konstatering af, at databeskyttelsesreglerne er overholdt, men at den kan indgå.
Udtalelsen er EDPB’s fortolkning og har ikke lovkraft. Den viser, hvad tilsynene vil se efter. Det er en forenklet gengivelse, og jeres DPO laver den konkrete vurdering.
Hvorfor åbne modeller er særlige
Køber I en sprogmodel som tjeneste, kan I spørge leverandøren, og svaret kan stå i en aftale. Ved en model, I henter, er der ingen sælger. Udgiveren har lagt vægtene frem, men har ingen aftale med jer og har i de licenser, vi har læst, fraskrevet sig ansvar.
Vurderingen af oprindelsen bliver derfor et opslag, I selv laver. Det samme gælder, når en europæisk udbyder kører en åben model for jer. En udbyder af modeller som tjeneste svarer selv på spørgsmålet om træningsdata ved at henvise til modelkortene i det offentlige modelarkiv. Det er altså stadig udgiverens oplysninger, I skal læse.
Her finder I oplysningerne
Der er tre steder at kigge.
Modelkortet. Arkivernes egen vejledning siger, at modelkortet bør beskrive de datasæt, der er brugt, sammen med tiltænkt brug, begrænsninger og evalueringer. Nogle modelkort gør det grundigt, andre nævner næsten intet. Det, der mangler, er også en oplysning.
Resuméet af træningsindholdet. AI-forordningen kræver, at udbydere af modeller til almen brug offentliggør en sammenfatning af træningsindholdet ud fra en skabelon fra Kommissionen. Kravet gælder også modeller under åbne licenser. Skabelonen spørger til, hvor data kommer fra, fx offentlige og købte datasæt, indsamling fra nettet med de vigtigste domænenavne, data fra brugere og syntetisk fremstillede data. Den beder også om oplysninger om behandlingen af data, fx om forbehold mod tekst- og datamining er respekteret. Resuméet skal ligge på udbyderens websted og følge modellen i offentlige distributionskanaler. Det er skrevet bredt og uden tekniske detaljer. Alligevel er det det eneste lovpligtige, offentlige dokument om træningsdata, en almindelig køber kan læse. Om bestemte udbydere har offentliggjort deres, er ikke undersøgt til dette site.
Offentlige afgørelser. EDPB nævner afgørelser fra myndigheder og domstole. Søg efter udgiverens og modellens navn hos de europæiske datatilsyn. Det tager kort tid og hører med til vurderingen.
Vurderingen i praksis
Vurderingen skal stå i forhold til risikoen. En model, der hjælper med at skrive tekster ud fra jeres egne dokumenter, kræver mindre end en model, der skal behandle oplysninger om kunder eller medarbejdere. Begynd med at beskrive brugen. Brug derefter de tre kilder. Skriv ned, hvad I fandt, hvad der manglede, og hvad I konkluderede.
Konklusionen kan godt være, at oplysningerne er sparsomme, men at brugen er så lav risiko, at modellen kan bruges. Den kan også være, at brugen kræver mere, end udgiveren oplyser, og at en anden model passer bedre. Det vigtige er, at vurderingen er lavet og dateret, før modellen tages i brug.
Behandlingsgrundlag, konsekvensanalyse og databehandleraftale er DPO’ens opgaver; se fem spørgsmål om AI og persondata. Her er det valget af model, der er emnet.
Hvad det kræver, og hvad det koster at lade være
En vurdering af en model til en opgave med lav risiko tager nogle timer for en, der kan læse modelkort og resuméer, plus DPO’ens gennemsyn. Ved højere risiko tager den længere, og den kan ende med, at en anden model vælges. Posterne er timer til læsning, DPO’ens tid og en fast plads i modelregistret, så vurderingen ses igen ved ny version.
Lader I være, har I intet at vise, hvis et tilsyn eller en kunde spørger. Og hvis det senere viser sig, at modellen er udviklet ved en behandling, en myndighed har kendt ulovlig, står I med en model i drift og en vurdering, der aldrig blev lavet.
Det skal I lade være med
- At antage, at åbne vægte betyder åbne data · vægtene siger intet om data, og beskrivelsen afhænger af udgiveren.
- At springe vurderingen over, fordi ingen sælger svarer · EDPB lægger den hos den, der tager modellen i brug.
- At lave samme vurdering for alle opgaver · omfanget følger risikoen i brugen.
Det skal valget kunne vise
- ☐ En beskrivelse af brugen og risikoen for personoplysninger.
- ☐ Hvad modelkortet og resuméet af træningsindholdet oplyser, med dato.
- ☐ En søgning efter afgørelser om udgiveren eller modellen.
- ☐ En kort, dateret konklusion med DPO’ens kommentar.
Kilder
- EDPB, Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models, pkt. 129 til 132, https://www.edpb.europa.eu/system/files/2024-12/edpb_opinion_202428_ai-models_en.pdf, læst 8. november 2026.
- Kommissionen, forklarende meddelelse og skabelon til den offentlige sammenfatning af træningsindhold, C(2025) 8311 af 5. december 2025, dansk udgave, https://ec.europa.eu/newsroom/dae/redirection/document/126312, læst 8. november 2026.
- Hugging Face, Model Cards, https://huggingface.co/docs/hub/model-cards, læst 8. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg den åbne model, I bruger mest, og find modelkortet og resuméet af træningsindholdet.
Læs også: Åbne vægte er ikke det samme som open source · Det, Datatilsynet har sagt, og det, der mangler
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
