AI Ordbog
Konsekvensanalyse (DPIA)
En analyse efter GDPR, der skal laves før I bruger persondata på en måde med høj risiko, fx med AI.
Skrevet og redigeret af Kristian Primdal · Sidst opdateret 23. oktober 2026Indhold
Hvad er en konsekvensanalyse?
En konsekvensanalyse er en vurdering af, hvordan en behandling af persondata kan skade de personer, det handler om. Den hedder DPIA på engelsk, Data Protection Impact Assessment. Kravet står i GDPR artikel 35.
Analysen skal laves, før behandlingen går i gang. Den skal laves, når behandlingen sandsynligvis giver en høj risiko for personernes rettigheder.
Hvornår kræver AI en DPIA?
GDPR nævner tre typiske tilfælde:
- Profiler, der har betydning. Fx når AI vurderer ansøgere, lån eller hvor godt en ansat klarer sig.
- Mange følsomme data. Fx om helbred, fagforening eller straf.
- Fast overvågning af steder, hvor alle kan komme, i stort omfang.
Datatilsynet har en liste over behandlinger, der altid kræver en analyse. Ny teknologi som AI tæller også med i vurderingen.
Hvad indeholder den?
Artikel 35 kræver mindst fire ting:
- Hvad I vil gøre med data, og hvorfor.
- Om det er nødvendigt, og om det står mål med formålet.
- Hvad risikoen er for de personer, det gælder.
- De tiltag, der skal mindske risikoen.
Er risikoen stadig høj efter tiltagene, skal I spørge Datatilsynet, før I går i gang.
Datatilsynet har en skabelon til konsekvensanalyse ved AI. Den kom i maj 2024.
Et eksempel
Et tænkt eksempel: En kæde med 150 ansatte vil bruge AI til at sortere ansøgninger. AI’en giver hver ansøger en score. Det er profilering, som påvirker, hvem der kommer til samtale. Kæden laver en DPIA. Den viser en risiko for skæv behandling af ansøgere med huller i CV’et. Tiltaget bliver, at en person læser alle ansøgninger med lav score, før de bliver afvist.
DPIA og AI-forordningen
AI-forordningen har et lignende krav for nogle brugere af højrisiko-AI. Det kaldes en vurdering af konsekvenser for grundlæggende rettigheder. Den gælder især offentlige myndigheder og visse finansielle tjenester. Den kan bygge oven på en DPIA, men erstatter den ikke. Teksten her er ikke juridisk rådgivning.
Kilder
Kilderne er set 23. oktober 2026.
FAQ
Hvornår skal man lave en konsekvensanalyse ved brug af AI?
Når brugen af persondata kan give høj risiko for de personer, det gælder. Det kan fx være profiler, der har betydning for folk, mange følsomme data eller fast overvågning. Datatilsynet har en liste over behandlinger, der altid kræver en.
Skal vi lave en DPIA for at bruge ChatGPT eller Copilot?
Ikke nødvendigvis til almindelige skriveopgaver. Men hvis værktøjet bruges til at vurdere personer, fx ansøgere eller medarbejdere, eller på følsomme oplysninger, er der god grund til at lave en. Er I i tvivl, så lav den.
Findes der en skabelon?
Ja. Datatilsynet har en skabelon til konsekvensanalyse ved AI som regneark. Den ligger på tilsynets side om kunstig intelligens.