Et værktøj, der hjælper andre med databeskyttelse, skal selv være åbent om sin brug af kunstig intelligens. Her beskriver vi præcis, hvordan AI indgår i GDPRdesk, og hvordan vi lever op til GDPR og EU's AI-forordning (forordning 2024/1689).
1. Hvor bruger GDPRdesk AI?
- Databrudsanalyse: AI skriver en forklaring af den vurdering, som den regelbaserede motor allerede har låst.
- Tekstforbedring (valgfri): forslag til mere læsbare formuleringer i privatlivspolitik- og cookiepolitik-guiden. Kun det enkelte tekstafsnit sendes.
- Gennemgang af databehandleraftaler: AI markerer manglende punkter i forhold til art. 28. Filen læses i din browser, og teksten gemmes ikke.
Behandlingsfortegnelse, databrudsprocedure, databehandleraftale-generator, databehandlerregister, indsigtsanmodninger, årshjul, compliance-score og de gratis værktøjer bruger ikke AI. Guiderne er bygget med faste valg og kategorier frem for fritekst, så der ikke indtastes unødige personoplysninger.
2. Model og leverandør
Vi bruger Google Gemini 2.5 Flash via Googles betalte API. Efter Googles vilkår for betalte API-tjenester bruges indtastede data ikke til at træne eller forbedre modellerne. Teksten sendes krypteret (TLS) og kun, når du selv starter en AI-funktion. Vi gemmer ikke data hos Google; resultatet gemmes i din egen sag i GDPRdesk.
3. AI træffer ingen afgørelser
GDPRdesk er bygget i tre lag: (1) du besvarer screeningen, (2) en regelbaseret motor fastlægger klassifikation, risiko og anmeldelsespligt, og (3) AI'en forklarer resultatet. AI'en kan ikke ændre de låste værdier. Samme input giver altid samme resultat. Vurderingen præsenteres som foreløbig, og det er altid dig som dataansvarlig, der beslutter. Der er derfor ikke tale om en automatisk afgørelse efter GDPR art. 22.
4. Dataminimering og Privacy by Design
- Vejledning over analysefelterne om at beskrive hændelser uden personoplysninger.
- Advarsel i realtid i databrudsanalysen og DPA-gennemgangen, hvis teksten ligner et CPR-nummer, en e-mail eller et telefonnummer (GDPR art. 25).
- AI-tekstforbedring i politik-guiderne afvises, hvis afsnittet indeholder CPR-nummer, e-mail eller telefonnummer.
- Kun den tekst, der er nødvendig for den enkelte funktion, sendes til modellen.
- Adgang er begrænset til din organisation via rollebaseret adgangskontrol.
5. EU's AI-forordning (AI Act)
GDPRdesk er idriftsætter af en AI-model til generelle formål, som Google leverer. Platformen er et beslutningsstøtteværktøj og hører ikke under højrisiko-anvendelserne i forordningens bilag III. Vi følger de relevante krav:
- Gennemsigtighed (art. 50): AI-genereret tekst er tydeligt markeret som AI-analyse og foreløbig vurdering.
- AI-kompetence (art. 4): brugere får vejledning om, hvad AI'en kan og ikke kan.
- Menneskeligt tilsyn: ingen AI-output bruges uden brugerens godkendelse.
Vi følger udviklingen i forordningen og Datatilsynets vejledninger og opdaterer denne side, hvis vores brug af AI ændres.
Vil I selv have styr på AI i virksomheden? Læs regler for AI og ChatGPT i SMV'er – GDPR-styring vs. AI-governance.
6. Ofte stillede spørgsmål
Bliver vores data brugt til at træne AI-modeller?
Nej. GDPRdesk bruger Googles betalte Gemini API, hvor indtastede data ikke bruges til at træne eller forbedre Googles modeller. Teksten bruges kun til at generere svaret til dig.
Træffer AI'en afgørelsen om, hvorvidt et databrud skal anmeldes?
Nej. Klassifikation, risikoniveau og anmeldelsespligt efter art. 33 og 34 fastlægges af en regelbaseret motor. Samme svar giver altid samme resultat. AI'en skriver kun forklaringen, og du godkender altid selv vurderingen.
Hvordan klassificeres GDPRdesk efter EU's AI-forordning?
GDPRdesk er et beslutningsstøtteværktøj og falder ikke under de højrisiko-kategorier i AI-forordningens bilag III. Vi følger gennemsigtighedskravene: det er tydeligt markeret, hvornår tekst er AI-genereret, og at vurderingen er foreløbig.
Må jeg skrive personoplysninger i analysefelterne?
Det frarådes. Beskriv hændelsen generisk, fx "Medarbejder A". GDPRdesk viser en advarsel, hvis teksten ligner et CPR-nummer, en e-mail eller et telefonnummer, før den sendes til analyse.
Bruger GDPRdesks guider til dokumenter AI?
Kun som valgfri tekstforbedring i privatlivspolitik- og cookiepolitik-guiden. Behandlingsfortegnelse, databrudsprocedure og databehandleraftale-generatoren er regelbaserede skabeloner uden AI. Tekstforbedringen afvises, hvis afsnittet indeholder CPR-nummer, e-mail eller telefonnummer.
Gemmes en uploadet databehandleraftale, når AI gennemgår den?
Nej. Filen læses i din browser, kun teksten sendes krypteret til gennemgang, og den gemmes ikke. Indsæt kun selve aftaleteksten – ikke bilag med medarbejderlister eller andre personoplysninger.
7. Kontakt
Spørgsmål om vores brug af AI kan rettes til AMOX (CVR 21059196) på kontakt@gdprdesk.dk. Se også vores privatlivspolitik.