ChatGPT og GDPR: må du lægge kundedata ind?
7. oktober 2026 · Jonas Adamsen, DSAI
Du må gerne bruge ChatGPT til kundedata, hvis du har en plan med databehandleraftale, det vil sige Business, Enterprise eller API, og kun lægger det ind, der er nødvendigt. I en gratis, Plus- eller Pro-konto er det dig selv, der aftaler vilkårene som privatperson, og data kan bruges til træning, medmindre du slår det fra. Det samme mønster gælder for Claude.
Er ChatGPT lovligt efter GDPR?
Ja, ChatGPT kan bruges lovligt, men det afhænger af planen og af, hvad du lægger ind. GDPR forbyder ikke AI. Den kræver, at du har styr på, hvem der behandler data for dig, og på hvilke vilkår.
Når en virksomhed lægger kundedata i et værktøj, er virksomheden dataansvarlig, og leverandøren er databehandler. Så skal der være en databehandleraftale. OpenAI tilbyder den på ChatGPT Business, Enterprise og API. For kunder i EU indgås den med OpenAI Ireland Ltd.
Bruger OpenAI mine data til at træne ChatGPT?
På Business, Enterprise og API: nej, ikke som standard. OpenAI træner kun på de data, hvis du selv vælger det til.
På Free, Plus og Pro bestemmer du selv. Indstillingen hedder «Improve the model for everyone» under Settings og Data Controls. Den er slået til, indtil du slår den fra. Midlertidige chats bliver aldrig brugt til træning og slettes efter 30 dage.
Hvilken ChatGPT-plan skal en virksomhed vælge for GDPR?
Mindst Business, hvis der kommer persondata om kunder eller medarbejdere ind. Forskellen mellem planerne, pr. 7. oktober 2026:
- Free, Go, Plus og Pro: forbrugervilkår, ingen databehandleraftale, træning slået til som standard.
- Business (hed ChatGPT Team indtil 29. august 2025): databehandleraftale, ingen træning som standard, admin styrer apps og forbindelser.
- Enterprise og Edu: det samme plus mulighed for at gemme data i Europa og styre, hvor længe data opbevares.
- API: databehandleraftale, ingen træning, data slettes efter 30 dage. Den vej bruger vi, når vi bygger noget, der kører i baggrunden.
Bliver mine data i EU?
Kun på Enterprise, Edu og API, og kun hvis du har valgt det. OpenAI lancerede dataopbevaring i Europa 5. februar 2025 for nye Enterprise- og Edu-workspaces og nye API-projekter. ChatGPT Business er ikke omfattet.
For de fleste små virksomheder betyder det, at data behandles uden for EU med de standardkontrakter, databehandleraftalen indeholder. Det er lovligt, men det skal stå i jeres egen oversigt over databehandlere.
Hvad med Claude og GDPR?
Claude følger samme mønster. På Team, Enterprise og API er databehandleraftalen automatisk en del af Anthropics kommercielle vilkår, og data bliver ikke brugt til træning.
På Free, Pro og Max vælger du selv, om dine samtaler må bruges til træning. Siger du ja, gemmer Anthropic dem i fem år. Siger du nej, i 30 dage. Det gælder også Claude Code, når det kører på en privat konto.
Hvad må du aldrig lægge ind?
Selv med den rigtige plan er reglen: kun det, opgaven kræver. Det her lægger vi aldrig ind i en chat:
- Helbredsoplysninger, CPR-numre og oplysninger om strafbare forhold.
- Hele kundekartoteker, når opgaven kun kræver ét navn.
- Login, API-nøgler og adgangskoder.
- Noget, en kunde har bedt os holde fortroligt.
Fik OpenAI ikke en GDPR-bøde?
Jo, men den er annulleret. Det italienske datatilsyn gav i 2024 OpenAI en bøde på 15 mio. euro. En domstol i Rom annullerede den 18. marts 2026, fordi sagen hører under det irske datatilsyn, efter at OpenAI har fået sit EU-sæde i Dublin. Retten tog ikke stilling til selve overtrædelserne.
Datatilsynet i Danmark har ingen særskilt vejledning om ChatGPT. Digitaliseringsstyrelsen har en guide til virksomheder om ansvarlig brug af generativ AI, som er et godt sted at starte.
Hvordan bruger du ChatGPT til kundedata uden at gå galt i byen?
- Vælg Business, Enterprise eller API, og tjek, at databehandleraftalen er accepteret.
- Skriv OpenAI eller Anthropic ind i jeres liste over databehandlere.
- Fortæl medarbejderne, hvad der aldrig må lægges ind.
- Slå de apps og forbindelser fra, I ikke bruger. Hver forbindelse er en ny vej ind til data.
- Opdatér jeres privatlivspolitik, så kunderne kan se, at I bruger AI-værktøjer til behandling af deres henvendelser.
Kilder
- OpenAI, privatlivspolitik for EØS: https://openai.com/policies/eu-privacy-policy/
- OpenAI, databehandleraftale: https://openai.com/policies/data-processing-addendum/
- OpenAI, data fra virksomhedskunder: https://openai.com/business-data/
- OpenAI, Data Controls FAQ: https://help.openai.com/en/articles/7730893-data-controls-faq
- OpenAI, dataopbevaring i Europa: https://openai.com/index/introducing-data-residency-in-europe/
- OpenAI, ChatGPT Business release notes (omdøbning 29. august 2025): https://help.openai.com/en/articles/11391654-chatgpt-business-release-notes
- Anthropic, databehandleraftale: https://www.anthropic.com/legal/data-processing-addendum
- Anthropic, ændrede forbrugervilkår: https://www.anthropic.com/news/updates-to-our-consumer-terms
- Garante per la protezione dei dati personali, afgørelse og note om annullering: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10085432
- Datatilsynet om kunstig intelligens: https://www.datatilsynet.dk/regler-og-vejledning/kunstig-intelligens
- Digitaliseringsstyrelsen, guides til brug af AI: https://digst.dk/kunstig-intelligens/guides-til-brug-af-kunstig-intelligens
- Alle kilder er læst 7. oktober 2026. Artiklen er ikke juridisk rådgivning.
Spørgsmål
Er ChatGPT GDPR-compliant?
ChatGPT Business, Enterprise og API kan bruges i overensstemmelse med GDPR, fordi OpenAI tilbyder en databehandleraftale og ikke træner på data som standard. Ansvaret for, hvad der lægges ind, ligger hos virksomheden.
Må jeg bruge ChatGPT Plus i min virksomhed?
Til opgaver uden persondata, ja. Til kundedata nej, for Plus har ingen databehandleraftale og træner som standard på dine samtaler.
Er ChatGPT Business og ChatGPT Team det samme?
Ja. OpenAI omdøbte Team til Business 29. august 2025. Kun navnet ændrede sig.
Gemmer ChatGPT data i EU?
Kun på Enterprise, Edu og API, når det er valgt ved oprettelsen. Business har ikke dataopbevaring i Europa pr. 7. oktober 2026.
