AI Ordbog
Databehandleraftale (DPA)
Den aftale, GDPR kræver, når en leverandør behandler personoplysninger for jer, fx i et AI-værktøj.
Skrevet og redigeret af Kristian Primdal · Sidst opdateret 23. oktober 2026Indhold
Hvad er en databehandleraftale?
En databehandleraftale er en aftale mellem jer og en leverandør, der behandler personoplysninger for jer. På engelsk hedder den Data Processing Agreement eller Data Processing Addendum, forkortet DPA. Kravet står i GDPR artikel 28.
I er dataansvarlig. I bestemmer, hvorfor og hvordan data bruges. Leverandøren er databehandler. Den behandler data på jeres vegne og efter jeres instruks.
Hvornår skal I have en?
Når en ekstern leverandør behandler personoplysninger for jer. Med AI sker det ofte:
- Folk sætter mails fra kunder ind i ChatGPT eller Copilot.
- Et værktøj laver referater af møder med navne og emner.
- En AI-agent læser fakturaer eller CV’er.
De store leverandører har en standardaftale til deres erhvervsplaner. Microsoft har sit Data Protection Addendum. OpenAI og Anthropic har hver deres DPA til erhvervskunder.
Hvad skal aftalen indeholde?
Artikel 28 kræver bl.a., at leverandøren:
- Kun bruger data, som I har bedt om, og har skrevet ned.
- Sikrer, at de ansatte har tavshedspligt.
- Passer godt på data, så de ikke slipper ud.
- Kun bruger underdatabehandlere, I har godkendt.
- Hjælper jer, når en person vil se eller have slettet sine data.
- Sletter data eller giver jer dem tilbage, når aftalen slutter.
- Lader jer tjekke, at den holder aftalen.
Datatilsynet har en skabelon til aftalen på dansk og engelsk.
Hvad du tjekker hos en AI-leverandør
- Træning. Står der, at jeres data ikke bruges til at træne modeller?
- Opbevaring. Hvor længe gemmes prompts og svar? Se også data retention.
- Placering. Hvor ligger data, og hvem er underdatabehandlere?
- Plan. Gælder aftalen den plan, I faktisk bruger?
Et tænkt eksempel: Et advokatkontor med 35 ansatte vil bruge Claude til at læse kontrakter. Kontoret vælger en Team-plan, gemmer Anthropics DPA og listen over underdatabehandlere. Det skriver i sin AI-politik, at private konti ikke må bruges til klientdata.
Det skal du passe på
En databehandleraftale gør ikke brugen lovlig i sig selv. Der skal stadig være et grundlag for at behandle oplysningerne. Og ved høj risiko skal der laves en konsekvensanalyse. Teksten her er ikke juridisk rådgivning.
Kilder
Kilderne er set 23. oktober 2026.
FAQ
Skal vi have en databehandleraftale med OpenAI, Microsoft eller Anthropic?
Ja, hvis I lægger personoplysninger ind i deres værktøjer. De store leverandører har en standardaftale til deres erhvervsplaner. Den er typisk en del af vilkårene, som I accepterer, når I opretter kontoen.
Hvad skal en databehandleraftale indeholde?
Artikel 28 kræver bl.a., at leverandøren kun bruger data, som I har bedt om. Data skal holdes hemmelige og sikre. Den må kun bruge underleverandører, I har godkendt. Når aftalen slutter, skal data slettes eller gives tilbage.
Har private AI-konti en databehandleraftale?
Normalt ikke. Private planer som ChatGPT Plus og Claude Pro har forbrugervilkår. Leverandøren er så selv dataansvarlig. Derfor bør firmadata med personoplysninger ikke ligge i private konti.