GDPR og AI: hvad må din digitale svend gøre med kundedata?

GDPR og AI: hvad må din digitale svend gøre med kundedata?

Din digitale svend - uanset om det er en AI-telefonpasning eller et værktøj, der følger op på henvendelser - må kun behandle kundedata, hvis du har et lovligt grundlag og ved, hvor dataene ligger. Det betyder i praksis, at du skal vide, hvilke oplysninger værktøjet gemmer, hvor længe, og om leverandøren er databehandler for dig. Reglerne er ikke nye med AI, men AI gør det lettere at glemme, at der overhovedet behandles persondata, fordi det føles som "bare et opkald" eller "bare en besked".

Mange håndværkere tror, at GDPR kun er noget for store virksomheder med en it-afdeling. Det er en misforståelse, vi også har taget fat på i et tidligere indlæg om AI kun for de store. Så snart du noterer et telefonnummer, en adresse eller en mailadresse i et system, er du dataansvarlig - og det gælder, uanset om du er enkeltmandsfirma eller har ti ansatte.

Hvorfor AI-værktøjer skærper GDPR-spørgsmålet

Et almindeligt regneark eller en papirblok rejser sjældent store GDPR-spørgsmål, fordi data bliver hos dig. Et AI-værktøj er typisk en skytjeneste, og der sker tre ting, du skal have styr på:

• Data flytter sig. Et opkald hos en AI-telefonpasning, en besked i en chatbot eller en kundehenvendelse i et prisberegnersystem bliver ofte behandlet hos en tredjepart, før den lander hos dig.
• Data bliver gemt automatisk. Hvor du selv kunne vælge at slette en seddel, logger de fleste digitale systemer samtaler og henvendelser som standard, ofte uden at du aktivt har taget stilling til det.
• AI kan bruge data til at "lære". Nogle AI-leverandører bruger kundedata til at træne eller forbedre deres modeller. Det skal fremgå tydeligt af vilkårene, og du har ret til at sige nej.

Ingen af de tre ting er forbudte i sig selv. Men du skal kende svaret, før du tager værktøjet i brug - ikke bagefter.

Databehandleraftalen: det papir du ikke må springe over

Når du bruger et AI-værktøj, der håndterer kundernes oplysninger - fx navn, telefonnummer, adresse eller beskrivelse af en opgave - er leverandøren som udgangspunkt databehandler for din virksomhed. Det udløser et krav om en databehandleraftale (DPA). Den skal blandt andet beskrive:

• Hvilke data der behandles, og til hvilket formål.
• Hvor data opbevares (inden for eller uden for EU/EØS).
• Hvor længe data gemmes, og hvordan de slettes.
• Om leverandøren bruger underleverandører, og hvem de er.

Bed om databehandleraftalen, før du opretter en konto, ikke efter. Seriøse leverandører har den klar og tilgængelig, typisk i vilkårene eller på forespørgsel. Hvis en leverandør ikke kan svare på, hvor data ligger, er det et advarselstegn, uanset hvor godt værktøjet ellers virker.

Telefonpasning, chatbot og prisberegner: tre forskellige dataflows

De tre typer AI-værktøj, mange håndværkere støder på, håndterer data forskelligt:

AI-telefonpasning (som fx Telefon-Svend) optager og behandler opkald fra kunder, der ikke ved, de taler med en AI, før de får det at vide. Her skal du sikre, at kunden bliver oplyst om, at samtalen behandles digitalt, og at optagelser ikke gemmes længere end nødvendigt for at løse ærindet.

Chatbot eller AI-agent på hjemmesiden indsamler typisk navn, mail og en opgavebeskrivelse, som vi har beskrevet i chatbot eller AI-agent. Her er det vigtigt, at besøgende kan se en kort oplysning om, at henvendelsen behandles, og hvad den bruges til.

En prisberegner på egen hjemmeside, hvor kunden selv taster kvadratmeter eller opgavetype ind, indsamler ofte kontaktoplysninger som en del af selve henvendelsen. Her ligger ansvaret stadig hos dig som virksomhed, selvom det tekniske arbejde foregår hos leverandøren.

Fælles for alle tre er, at du skal kunne svare, hvis en kunde spørger "hvad gør I med mine oplysninger?". Det korte, ærlige svar er langt bedre end slet intet svar.

Hvad skal du selv tjekke, før du tager et AI-værktøj i brug?

En kort tjekliste, du kan gå igennem på fem minutter:

1. Hvor ligger data? Spørg leverandøren direkte, om data behandles inden for EU/EØS.
2. Er der en databehandleraftale? Bed om at se den, og gem den sammen med dine andre forretningsdokumenter.
3. Hvor længe gemmes data? Find ud af, om der er automatisk sletning, eller om du selv skal rydde op.
4. Bruges data til at træne AI-modeller? Det skal stå klart i vilkårene, og du bør kunne fravælge det.
5. Er kunderne oplyst? En linje i bunden af hjemmesiden eller en kort besked ved AI-telefonopkald er ofte nok, men den skal være der.

Dette er ikke juridisk rådgivning, men et praktisk udgangspunkt. Står du med en konkret situation, der føles usikker, er det altid værd at få et kort tjek hos en rådgiver, der kender persondataretten.

GDPR er ikke en bremse på AI, men en forudsætning

Det nemmeste er at tænke, at GDPR gør AI besværligt. I praksis er det omvendt: en leverandør, der tager GDPR seriøst, har som regel også styr på sikkerhed, drift og dataopbevaring generelt. Det er et godt tegn, ikke en hindring. Du kan læse mere om, hvor AI faktisk er moden i håndværksbranchen i dag, i vores gennemgang af AI i håndværksbranchen: ærlig status 2026.

Tjek derfor databehandleraftalen som en fast del af at vælge et værktøj, på linje med at tjekke prisen eller funktionerne. Det tager kort tid og sparer dig for ubehagelige spørgsmål senere.

Ofte stillede spørgsmål

Skal jeg have en databehandleraftale med alle AI-leverandører?

Ja, hvis leverandøren behandler persondata på dine vegne, fx kundenavne, telefonnumre eller adresser, skal der være en databehandleraftale. Det gælder uanset virksomhedens størrelse.

Må en AI-telefonpasning optage kundesamtaler?

Ja, men kunden skal oplyses om, at samtalen behandles digitalt, og optagelser må kun gemmes, så længe det er nødvendigt for formålet.

Er jeg som enkeltmandsfirma også dataansvarlig?

Ja. Så snart du indsamler eller behandler oplysninger om kunder, fx i et tilbudssystem eller en kontaktformular, er du dataansvarlig uanset virksomhedens størrelse.

Må en AI-leverandør bruge mine kundedata til at træne deres model?

Kun hvis det fremgår tydeligt af vilkårene, og du som regel har mulighed for at fravælge det. Spørg altid direkte, hvis det ikke står klart.

Hvor finder jeg ud af, om et AI-værktøj gemmer data i EU?

Spørg leverandøren direkte, eller tjek det i databehandleraftalen under punktet om opbevaringssted og eventuelle underleverandører.

Kom i gang med ro i maven

Vil du vide, hvor AI-telefonpasning faktisk kan tage noget af arbejdet fra dig uden at gå på kompromis med kundernes data, så se, hvordan Telefon-Svend håndterer opkald og henvendelser. Og vil du afprøve, hvordan AI kan bygge dine tilbud uden at røre unødigt ved følsomme kundedata, kan du se Tilbudsgenerator og komme i gang med de første fem tilbud gratis.

Denne artikel er skrevet med hjælp fra AI og kvalitetstjekket af Carl & Martin. Har du spørgsmål til indholdet, kan du skrive til cs@tilbudsgenerator.dk.