En AI-tjeneste, der behandler jeres oplysninger, auditeres som enhver anden databehandler, med tre ekstra spørgsmål. Bruger leverandøren jeres data til andet end at levere tjenesten, fx til at forbedre sin model? Kan I få de logfiler, I selv kan have pligt til at gemme? Og hvilke underleverandører står bag, herunder den, der leverer selve modellen? Svarene skal kunne belægges med aftaletekst og dokumentation, og ikke alene med et udfyldt spørgeark.
Artiklen handler om kontrol med bevis. Den gennemgår ikke, hvordan en AI-tjeneste vælges.
Grundlaget er det samme som for andre databehandlere
Behandler tjenesten personoplysninger på jeres vegne, gælder databeskyttelsesforordningens artikel 28 fuldt ud. Aftalen skal fastsætte instruks, fortrolighed, sikkerhed, regler om underdatabehandlere, bistand, sletning eller tilbagelevering ved ophør, og at leverandøren stiller oplysninger til rådighed og giver mulighed for revision. Det gælder, uanset hvor ny teknologien er.
Det første auditpunkt er derfor, om der er en databehandleraftale, og om den dækker den måde, tjenesten faktisk bruges på hos jer.
Brug af data til egne formål
Datatilsynets vejledning om cloud fra marts 2022 behandler en situation, der er central for AI-tjenester: leverandørens brug af kundernes oplysninger til egne formål, fx forbedring af systemets funktionalitet. Vejledningen lægger op til, at kunden læser vilkårene. Tilsynets vurdering har tre led. Uden tilladelse er leverandørens egen brug et sikkerhedsbrud set fra kundens side, og leverandøren hæfter da selv. Har vilkårene et bredt forbehold for egen brug, ser Datatilsynet leverandøren som dataansvarlig for hele datamængden. Og skal oplysningerne videregives til leverandørens formål, kræver det et retligt grundlag hos jer.
Vejledningen er skrevet om cloud generelt. Anvendelsen på AI-tjenester er vores.
For auditten giver det tre konkrete opgaver:
- Find de vilkår, der handler om brug af kundedata, også i underliggende politikker, aftalen henviser til.
- Bed leverandøren bekræfte skriftligt, om jeres data bruges til træning eller forbedring, og om det kan fravælges.
- Kontrollér, hvilken indstilling der faktisk er valgt i jeres konto.
Logning, når tjenesten er et højrisiko-AI-system
AI-forordningen, forordning (EU) 2024/1689, stiller i artikel 26 krav til dem, der tager et højrisiko-AI-system i brug. De skal bl.a. bruge systemet efter brugsanvisningen, sikre menneskeligt tilsyn, overvåge driften og opbevare de logfiler, systemet automatisk genererer, i det omfang logfilerne er under deres kontrol, i mindst seks måneder.
Artikel 26 gælder kun højrisiko-AI-systemer. En almindelig AI-tjeneste, fx til tekstbehandling eller opsummering, er ikke nødvendigvis omfattet. Om et system er højrisiko, afgøres efter forordningens egne regler og er ikke behandlet her.
Datoerne er ændret. Forordningen finder generelt anvendelse fra 2. august 2026. Ved forordning (EU) 2026/1744 af 8. juli 2026 er anvendelsen af kapitel III, afdeling 1, 2 og 3, hvor artikel 26 står, ændret til 2. december 2027 for højrisikosystemer efter artikel 6, stk. 2, og bilag III, og til 2. august 2028 for højrisikosystemer efter artikel 6, stk. 1, og bilag I. Datoerne er kontrolleret i den konsoliderede tekst på EUR-Lex 12. november 2026.
For auditten betyder det, at en kunde, der bruger et højrisikosystem, allerede nu kan spørge, hvordan logfilerne bliver tilgængelige, og hvem der har kontrollen over dem. Er logfilerne hos leverandøren, skal aftalen sikre, at I kan få dem. Afprøvningen i kan I få loggen, når det gælder? kan bruges her.
Underleverandører og modellen bag
Mange AI-tjenester er bygget oven på en model fra en anden udbyder og kører på en tredje udbyders platform. Efter artikel 28 må leverandøren kun bruge underdatabehandlere med jeres godkendelse, og den forbliver ansvarlig for dem.
Bed om den fuldstændige liste, herunder udbyderen af modellen, og om oplysning om, hvor data behandles, og hvorfra de kan tilgås. Spørg også, om jeres data sendes videre til modeludbyderen, og på hvilke vilkår. Svaret afgør, om de vilkår, I har kontrolleret hos jeres leverandør, også gælder et led længere nede. Kontrollen af kæden er beskrevet under underleverandører.
Hvad der ikke er dækket her
Kontrolpunkterne ovenfor bygger på tre kilder: artikel 28, Datatilsynets cloudvejledning og AI-forordningens artikel 26. Der er ikke fundet en dansk myndighedsvejledning, der beskriver audit af AI-tjenester som leverandørtype. Punkterne er derfor praksis, afledt af de tre kilder, og listen er ikke udtømmende.
Hvad det kræver, og hvad det koster at lade være
Det kræver en gennemlæsning af vilkår og databehandleraftale med de tre spørgsmål for øje, en skriftlig bekræftelse fra leverandøren og et kig i jeres egne indstillinger. For et højrisikosystem kræver det også en plan for logfilerne.
Uden kontrol kan jeres oplysninger indgå i leverandørens egen udvikling uden, at I ved det. Efter Datatilsynets opfattelse kan det ændre leverandørens rolle og jeres ansvar.
Det skal I lade være med
- At nøjes med leverandørens svar i et spørgeark · find vilkårene, og kontrollér indstillingen.
- At skrive, at en almindelig AI-tjeneste er omfattet af artikel 26 · den gælder højrisikosystemer.
- At overse modeludbyderen · den er et led i kæden.
Det skal auditten kunne vise
- ☐ Databehandleraftale, der dækker den faktiske brug af tjenesten.
- ☐ Vilkår om brug af kundedata og leverandørens skriftlige bekræftelse.
- ☐ Den valgte indstilling for træning eller forbedring i jeres konto.
- ☐ Fuldstændig liste over underdatabehandlere, herunder modeludbyderen, og behandlingssteder.
- ☐ For højrisikosystemer: hvor logfilerne ligger, og hvordan I får dem.
Kilder
- Europa-Parlamentets og Rådets forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28, læst 12. november 2026.
- Datatilsynet, Vejledning om cloud, marts 2022, afsnit 3.2.1, særligt ad pkt. a og eksempel 5, læst 12. november 2026.
- Europa-Parlamentets og Rådets forordning (EU) 2024/1689 (AI-forordningen), konsolideret udgave, artikel 26 og 113, læst 12. november 2026.
- Europa-Parlamentets og Rådets forordning (EU) 2026/1744 af 8. juli 2026, ændringen af artikel 113, stk. 3, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find vilkårene for brug af kundedata hos jeres AI-leverandør, og kontrollér indstillingen i jeres egen konto.
Læs også: Underleverandører · Audit af en udenlandsk leverandør
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
