De fleste AI-tjenester bygger på modeller, som en anden virksomhed har udviklet, og mange sender dele af jeres forespørgsler videre til flere led. For at vide, hvem der behandler jeres data, skal I derfor læse hele kæden: tjenesten, modellen, den, der kører modellen, og de ekstra funktioner som websøgning, tale og oversættelse.
En dansk tjeneste kan bruge en fransk model, der kører i et amerikansk ejet datacenter. En amerikansk assistent kan bruge en anden amerikansk virksomheds modeller som underleverandør. Kæden er sjældent tegnet på leverandørens forside. Den står i underleverandørlister, databehandleraftaler og dokumentation.
Kæden har flere led, end man tror
Udbydernes dokumentation viser pr. 8/11 2026 disse mønstre:
- Assistenten bruger en anden virksomheds model. En stor kontorassistent bruger modeller fra to forskellige AI-virksomheder. Modellerne fra den ene er ifølge leverandøren undtaget fra dens grænse for EU-data og slået fra som standard i EU, EFTA og Storbritannien.
- Websøgning går et andet sted hen. Når samme assistent søger på nettet, går forespørgslen til en søgemaskine, hvor leverandøren ifølge egen dokumentation er selvstændig dataansvarlig efter sine almindelige tjenestevilkår.
- Én assistent, mange modeludbydere. En kodeassistent sender forespørgsler til modeller hos seks forskellige udbydere og platforme med forskellige aftaler om opbevaring pr. udbyder.
- Forretningssystemet bruger eksterne modeller. En stor leverandør af forretningssystemer skriver, at dens generative AI kan bruge eksterne grundmodeller gennem lag, leverandøren selv styrer.
- Tale har sin egen underleverandør. En europæisk oversættelsestjeneste bruger en anden virksomhed til stemmer i de sprog, hvor den ikke har sin egen.
- Andres åbne modeller på egne servere. To europæiske udbydere kører åbne modeller, som andre har udviklet, på infrastruktur, de selv styrer.
Sådan bygges AI-tjenester, og mønstrene er i sig selv ingen fejl. De betyder dog, at et svar om én tjeneste kan dække flere selskaber og flere lande.
Sådan læser I kæden
Tegn kæden for hver tjeneste som en række led. For hvert led skriver I selskab, land, rolle og den kilde, oplysningen kommer fra.
- Tjenesten. Hvem er aftalepart, og hvem leverer brugerfladen?
- Modellen. Hvilken model eller hvilke modeller bruges, og hvem har udviklet dem?
- Driften af modellen. Kører tjenesten modellen selv, eller kalder den modeludvikleren eller en platform?
- Lagring. Hvor gemmes samtaler, filer og logs, og hos hvem?
- Ekstra funktioner. Websøgning, tale til tekst, oplæsning, billedgenkendelse, oversættelse og forbindelser til andre systemer. Hver kan have sin egen underleverandør.
- Undtagelser. Hvilke led eller modeller er undtaget fra løfter om placering eller fra databehandleraftalen?
Det sjette punkt er det vigtigste. Når en leverandør lover behandling i EU, skal I se, om løftet dækker alle led, eller om enkelte modeller eller funktioner står uden for.
Hvor I finder oplysningerne
Kæden står sjældent ét sted. Underleverandørlisten nævner typisk selskaber og formål, men ikke altid hvilke funktioner der bruger dem. Modeloversigten nævner modellerne, men ikke altid hvor de kører. Databehandleraftalen dækker kun de led, hvor leverandøren behandler data på jeres vegne.
Flere leverandører har deres lister på sider, der kun kan læses i en browser, og nogle har dem bag et login. Hvis I ikke kan finde kæden, så spørg leverandøren skriftligt og bed om en tegning med led og lande.
Hvordan kæden af underdatabehandlere læses generelt i en exit-plan, er beskrevet på digital-suveraenitet.dk. Her er det kæden bag én AI-tjeneste, før I vælger den.
Hvad kæden betyder for valget
Når kæden er tegnet, kan I se tre ting. Hvilke led der behandler jeres data uden for det område, I har krævet. Hvilke funktioner der kan slås fra, så kæden bliver kortere. Og hvilke led der kan ændre sig, uden at tjenesten skifter navn, fx når en ny model tages i brug.
Det sidste er vigtigt. En tjeneste kan skifte model eller tilføje en underleverandør med et varsel, og så ændrer kæden sig. Hvordan I reagerer, når listen ændres, står i artiklen om skift af underleverandør.
Hvad det kræver, og hvad det koster at lade være
Kæden for én tjeneste kan tegnes på en halv eller en hel arbejdsdag. For en tjeneste med mange funktioner kan det tage længere, og svaret fra leverandøren kan tage uger. Tegningen skal opdateres, når leverandøren meddeler ændringer.
Lader I være, kender I kun det første led. Websøgning, tale eller en enkelt model kan sende jeres data til et selskab og et land, I ikke har vurderet. Det opdages, når en kunde spørger, eller når en ændring i underleverandørlisten pludselig ser alvorlig ud. Så skal funktioner slås fra eller tjenesten vurderes forfra.
Det skal I lade være med
- At stoppe ved første led · modellen og de ekstra funktioner kan have andre selskaber bag.
- At gå ud fra, at aftalen med leverandøren dækker alle led · nogle led behandles efter andre vilkår.
- At lade alle funktioner stå slået til · hver funktion kan forlænge kæden.
Det skal valget kunne vise
- ☐ Kæden tegnet med selskab, land og rolle for hvert led.
- ☐ Hvilke led der er undtaget fra løfter om placering.
- ☐ Hvilke funktioner der er slået fra for at korte kæden.
- ☐ Kilde og dato for hvert led.
Kilder
- Dokumentation om databeskyttelse og underleverandører for en stor kontorassistent, en kodeassistent, en leverandør af forretningssystemer, en europæisk oversættelsestjeneste og to europæiske udbydere af åbne modeller, læst 8. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg den AI-tjeneste, der har adgang til flest af jeres data, og tegn kæden med de seks led.
Læs også: AI kommer ind gennem de systemer, I allerede har · Spørgeark til enhver AI-leverandør
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
