GDPR AI guide

GDPR gælder fuldt ud når AI-systemer behandler persondata — og det gør de oftere end man umiddelbart tænker. Kundeanalyse, rekrutteringsværktøjer, chatbots der registrerer brugeradfærd, HR-systemer med automatiserede vurderinger — alt dette berøres af GDPR.

Automatiserede afgørelser og profilering

GDPR artikel 22 regulerer automatiserede individuelle afgørelser — herunder profilering — der har retsvirkning eller tilsvarende betydelig effekt for en person. Hvis jeres AI-system automatisk afviser en låneansøgning, anbefaler en kandidat til afskedigelse eller udelukker en person fra et tilbud, stiller GDPR krav om: retten til menneskelig vurdering, retten til forklaring og retten til at anfægte afgørelsen.

Retsgrundlag for AI-behandling

Alle AI-systemer der behandler persondata, kræver et gyldigt retsgrundlag under GDPR. Samtykke er sjældent det rette valg for B2B-løsninger — det er skrøbeligt og kan trækkes tilbage. Legitim interesse kræver en balancetest. Kontraktopfyldelse og lovkrav er stærkere grundlag i mange virksomhedsscenarier.

DPIA — konsekvensvurdering for risikofulde AI-systemer

Datatilsynet kræver en Data Protection Impact Assessment (DPIA) for AI-systemer der involverer systematisk overvågning, behandling af følsomme kategorier eller profilering i stor skala. En DPIA identificerer og minimerer risici for de registrerede — og er et krav, ikke et tilvalg, for høj-risiko behandling.

EU AI Act og GDPR overlapper her: høj-risiko AI-systemer kræver ofte både en AI-risikovurdering og en DPIA. Vi hjælper jer med at koordinere de to processer effektivt.