GDPR og AI: hvad må din digitale svend bruge kundedata til?

Kort svar: AI-værktøjer som en digital telefonpasser eller et tilbudsværktøj må gerne behandle kundedata, men kun hvis du har et lovligt grundlag, en databehandleraftale med leverandøren og styr på, hvor dataene ligger, og hvor længe de gemmes. Det er stadig dig som virksomhedsejer, der er dataansvarlig, selv om det er en AI, der tager imod opkaldet eller skriver tilbuddet. Ansvaret flytter ikke, bare fordi opgaven bliver automatiseret.

Mange håndværkere har en sund skepsis over for GDPR, fordi det lyder som juristsnak. Men i praksis handler det om nogle få konkrete ting, du kan tjekke på en halv time. Her er dem, der faktisk betyder noget, når du tager AI i brug i din forretning.

Hvem er dataansvarlig, når en AI svarer telefonen?

Når en kunde ringer, og en AI-løsning som Telefon-Svend tager opkaldet og noterer navn, adresse og opgavebeskrivelse, er det stadig din virksomhed, der er dataansvarlig. Leverandøren af AI-værktøjet er databehandler. Det betyder, at du bestemmer, hvad dataene må bruges til, og at leverandøren kun må gøre det, I har aftalt.

Det vigtigste dokument i det forhold er databehandleraftalen (ofte kaldet DPA). Den skal beskrive:

• Hvilke data der behandles (navn, telefonnummer, adresse, opgavetype)
• Hvad de bruges til (booking, opfølgning, tilbud)
• Hvor længe de opbevares
• Om data flyttes uden for EU, og i givet fald hvordan det er sikret

Spørg altid leverandøren direkte: "Har I en databehandleraftale, jeg kan få?" Kan de ikke svare klart, er det et advarselstegn, uanset hvor smart værktøjet ellers virker.

Hvad er et lovligt grundlag for at gemme kundedata?

Du skal have en grund til at gemme data, og den grund skal stå mål med, hvad du rent faktisk gør med dem. For de fleste håndværkervirksomheder er det ligetil:

• Kontraktopfyldelse: Du skal bruge navn, adresse og telefonnummer for at udføre opgaven og sende faktura.
• Legitim interesse: Du må gerne gemme kontaktdata en periode for at følge op på et tilbud, kunden ikke har svaret på.

Det, du skal holde øje med, er opbevaringstiden. Data fra en kunde, der aldrig blev til en opgave, skal ikke ligge i systemet i årevis "for en sikkerheds skyld". Sæt en fast rutine, fx at ubesvarede leads slettes eller anonymiseres efter en periode, du selv har fastsat og kan forklare.

Må AI'en bruge mine kundedata til at træne sig selv?

Det er her, mange håndværkere bliver nervøse, og med god grund. Hvis en AI-leverandør bruger dine kunders data til at træne en generel model, der også sælges til andre, er det en helt anden behandling end at bruge data til at løse din opgave.

Tjek derfor specifikt:

• Bruges mine kunders oplysninger til at træne modellen på tværs af kunder?
• Deles data med tredjepart, fx annonceplatforme?
• Kan jeg slå datadeling fra, eller er det en del af aftalen, jeg ikke kan ændre?

En seriøs leverandør kan svare klart og skriftligt på de spørgsmål. Er svaret vagt, eller står det ikke i aftalen, så antag det værste, og spørg igen, til du har et konkret svar.

Hvad med sms-opfølgning og automatiske beskeder?

Automatisk opfølgning via sms eller mail er et af de steder, hvor AI giver mest værdi lige nu, fordi det fanger leads, du ellers ville have glemt. Men det er også et sted, hvor GDPR og markedsføringsloven mødes.

Send aldrig markedsføring (nyhedsbreve, tilbud om andre ydelser) til en kunde, der kun har bedt om et tilbud på én opgave, uden at vedkommende har sagt ja til det. Opfølgning på en konkret, igangværende forespørgsel er noget andet end markedsføring, og det er typisk fint, så længe det er relevant for den opgave, kunden selv har bedt om.

Hold beskeden til sagen: "Hej, har du haft tid til at kigge på tilbuddet fra tirsdag?" er opfølgning. "Hej, vi har også gode tilbud på tagrensning" til en kunde, der bad om et badeværelse, er noget andet og kræver et samtykke.

Tre ting du bør tjekke, inden du tager et AI-værktøj i brug

1. Find databehandleraftalen. Ligger den ikke klart tilgængelig på leverandørens hjemmeside, eller kan den sendes med det samme, så spørg direkte.
2. Spørg, hvor data ligger. EU-servere er at foretrække. Ligger data uden for EU, skal der være en lovlig overførselsmekanisme på plads.
3. Sæt en sletterutine. Beslut selv, hvor længe ubesvarede leads og gamle tilbud skal ligge, og hold dig til det.

Det er ikke mere kompliceret end det for de fleste mindre håndværkervirksomheder. Du skal ikke ansætte en GDPR-konsulent for at bruge en digital svend - du skal bare stille de rigtige spørgsmål, før du skriver under.

Er AI mindre sikkert end et almindeligt CRM eller regneark?

Faktisk ofte det modsatte. Et Excel-ark med kundenumre, der ligger på en bærbar uden kodeord, er et langt større GDPR-problem end et AI-værktøj med en ordentlig databehandleraftale og adgangsstyring. Risikoen ved AI ligger ikke i teknologien selv, men i om du har tjekket aftalegrundlaget, inden du tog det i brug. Du kan læse mere om, hvordan AI generelt fungerer i en håndværkervirksomhed, i vores gennemgang af AI i håndværksbranchen: ærlig status 2026.

Ofte stillede spørgsmål

Skal jeg have en databehandleraftale med alle mine AI-leverandører?

Ja. Enhver leverandør, der behandler persondata på dine vegne, fx navne og telefonnumre fra en telefonpasningsløsning, skal have en databehandleraftale med dig.

Må en digital svend gemme optagelser af telefonopkald?

Kun hvis det er klart beskrevet i databehandleraftalen, og kunden er informeret om det, typisk ved en kort besked i starten af opkaldet. Tjek altid opbevaringstiden for optagelser.

Hvor længe må jeg gemme data fra et tilbud, der aldrig blev til noget?

Der findes ikke én fast grænse, men du skal kunne begrunde opbevaringstiden. Mange virksomheder sætter en grænse på 6-12 måneder for ubesvarede tilbud og sletter eller anonymiserer derefter.

Gælder GDPR, selv om jeg kun er enkeltmandsvirksomhed?

Ja. GDPR gælder uanset virksomhedsstørrelse, så snart du behandler persondata om kunder, også hvis du er den eneste ansatte.

Kan jeg bruge ChatGPT til kundekorrespondance uden at bryde GDPR?

Ja, hvis du ikke indsætter følsomme eller unødvendige personoplysninger i dine prompter, og du er opmærksom på, hvordan leverandøren bruger de data, du taster ind. Hold det til navn og opgavebeskrivelse, og undgå cpr-numre og detaljerede personoplysninger.

AI kan frigøre tid til flere fakturerbare timer, men det kræver, at grundlaget er i orden. Vil du se, hvordan en AI-løsning håndterer kundedata ordentligt fra start, kan du se nærmere på Telefon-Svend eller afprøve Tilbudsgenerator gratis på de første 5 tilbud, uden kort.

Denne artikel er skrevet med AI-værktøjer og kvalitetstjekket af Carl og Martin. Har du spørgsmål til indholdet, så skriv til cs@tilbudsgenerator.dk.