Jesper Bengtson
Datatilsynet fraråder borgere at indtaste CPR-numre, helbredsoplysninger og data om børn i AI-værktøjer som ChatGPT.
Flere og flere borgere bruger generative AI-værktøjer til at udforme klager, henvendelser og spørgsmål til offentlige myndigheder. Men der er oplysninger, man slet ikke bør skrive i en chatbot, slår Datatilsynet fast.
I en melding fra september 2025 opfordrer tilsynet borgere til at undgå at indtaste fortrolige og følsomme personoplysninger i AI-værktøjer, når de forbereder en henvendelse. Konkret peger Datatilsynet på helbredsoplysninger, CPR-numre og oplysninger om ens børn som eksempler, der ikke hører hjemme i prompten.
Begrundelsen er, at oplysningerne ikke kun bruges til at levere en tjeneste til brugeren, men også kan anvendes til udbyderens egne formål.
Svært at få oplysninger tilbage igen
Når følsomme oplysninger først er sendt ind i et AI-værktøj, kan de ende som en del af det datasæt, systemet trækker på, og dukke op i svar til andre brugere. Datatilsynet beskriver det som praktisk umuligt eller meget besværligt at få kontrol over, hvad oplysningerne senere bruges til.
Helbredsoplysninger er ifølge Datatilsynets definition oplysninger, der vedrører en fysisk persons fysiske eller mentale helbred, herunder oplysninger om levering af sundhedsydelser. Det dækker både diagnoser, medicin og notater fra sundhedsvæsenet. Oplysninger om børn er en særskilt kategori, der nyder skærpet beskyttelse under databeskyttelsesforordningen.
Datatilsynet henviser til Digitaliseringsstyrelsens guide på sikkerdigital.dk for borgere, der vil bruge AI-værktøjer på en sikker måde.
Nye klagerettigheder fra 2. august 2026
Fra 2. august 2026 kan borgere klage direkte til Datatilsynet over to konkrete former for forbudt AI-praksis under EU’s AI-forordning. Det handler om AI-systemer, der vurderer risikoen for, at en person vil begå en strafbar handling på baggrund af profilering eller personlighedstræk, og om AI-systemer, der bruger biometrisk kategorisering til at udlede følsomme oplysninger som race, politisk anskuelse, fagforeningsmedlemskab, religion eller seksuel orientering.
Datatilsynet blev udpeget som markedsovervågningsmyndighed for netop de to bestemmelser den 2. august 2025. Men selve klageadgangen og pligten til at indberette alvorlige hændelser trådte først i kraft et år senere. Indtil da kunne tilsynet besvare forespørgsler og rejse sager af egen drift.
Tilsynsrollen omfatter alene de to forbudsbestemmelser i AI-forordningens artikel 5. Klager over, hvordan en chatbot som ChatGPT behandler personoplysninger, behandles fortsat efter databeskyttelsesforordningen.
AI i pleje og sundhed på tilsynets 2026-liste
I de særlige fokusområder for 2026 peger Datatilsynet blandt andet på kunstig intelligens til overvågning og kontrol af borgere i pleje samt sundhedssektorens brug af beslutningsstøttende AI ved patientbehandling. Tilsynet nævner også måle- og overvågningsenheder til patientbehandling i hjemmet, hvor borgernes ret til privatliv kan komme under et betydeligt pres.
For borgeren selv er rådet enkelt: Behold CPR-nummer, journaloplysninger og oplysninger om familiemedlemmer uden for prompten. Skal en chatbot hjælpe med at skrive en klage eller en ansøgning, kan de konkrete personoplysninger føjes til, når den endelige tekst er klar og sendes direkte til myndigheden.
