AI og GDPR i skolen: sådan gør I det lovligt

Opdateret august 2026 • 10 min læsning • Til skoleledelsen

Den 28. maj 2025 udgav Styrelsen for It og Læring en vejledning om lovlig brug af kunstig intelligens for uddannelsesinstitutionerne. I december 2025 kom en miniguide oven på den, fordi skolerne bad om noget, de kunne bruge i hverdagen. Her er de syv trin, den beskriver, og hvad de betyder på en almindelig skole.

Først: hvem er I i forhold til værktøjet

To spørgsmål skal afklares først, og de kommer fra hver sin lov: hvad skolen er efter databeskyttelsesforordningen, og hvad den er efter AI-forordningen.

Efter databeskyttelsesforordningen er skolen i langt de fleste tilfælde dataansvarlig. I bestemmer, hvorfor og hvordan elevernes oplysninger behandles. Leverandøren af værktøjet er databehandler og arbejder efter jeres instruks.

Efter AI-forordningen er skolen typisk idriftsætter. I vælger værktøjet og tager det i brug, men udvikler det ikke. Leverandøren er udbyder. Skolen kan skifte rolle og blive udbyder, hvis I ændrer systemet væsentligt, for eksempel ved at træne modellen med jeres egne data til andre formål.

Elevens egen telefon: henter en elev selv en AI-app på sit private udstyr uden skolens anvisning, er skolen hverken dataansvarlig eller databehandler. Ansvaret følger med, når skolen anviser værktøjet.

De syv trin

Trinnene bygger på hinanden. Svaret på det ene afgør, hvad det næste handler om, så rækkefølgen er ikke tilfældig.

1. Kortlæg, hvilke AI-løsninger I bruger

Lav en samlet oversigt over alle AI-systemer på skolen, store som små. Et AI-system adskiller sig fra almindelig software ved at kunne lære, ræsonnere eller modellere ud fra data og i et vist omfang tilpasse sig, efter det er sat i drift. Grænsen er sjældent, hvor man regner med: en retstavningsfunktion kan være almindelig software, mens et rettelsesværktøj, ingen har tænkt nærmere over, er et AI-system.

2. Kortlæg jeres rolle

Dataansvarlig eller databehandler, idriftsætter eller udbyder. Svaret afgør, hvilke krav der gælder, og det kan være forskelligt fra system til system.

3. Vurdér lovligheden

Der er to spørgsmål. Er der et lovligt grundlag for at behandle elevernes oplysninger, og findes der en databehandleraftale med leverandøren? Miniguiden siger det rent ud: "Hvis der ikke foreligger en databehandleraftale eller licensaftale, er det vanskeligt at risikovurdere selve løsningen."

4. Vurdér risikoniveauet

Miniguiden nævner fire risici: diskrimination, bias i træningsdata, fejlinformation og manglende gennemsigtighed i, hvordan systemet når frem til sit svar. Om konsekvensanalysen skriver den: "Når I bruger AI, vil der som udgangspunkt næsten altid være krav om at gennemføre en systematisk analyse af de risici, AI-systemet kan medføre." Den analyse hedder en DPIA. Systemer, der bruges til karaktergivning eller til at opdage snyd ved prøver, udløser altid kravet.

5. Oplys eleverne, forældrene og medarbejderne

Det er det trin, der oftest bliver gjort halvt. Oplysningen skal gives direkte til dem, det handler om. Miniguiden skriver, at institutionen aktivt skal oplyse om, hvordan den behandler data, og at "det ikke er nok, blot at lægge dette på en hjemmeside". En opdateret privatlivspolitik dækker en del af oplysningspligten. Resten er den besked, der går direkte til forældrene.

6. Fastsæt politikker og retningslinjer

Ledelsen skal opliste, hvilke AI-løsninger der er godkendt, og hvordan de må bruges. Retningslinjerne skal fastlægge, hvad der ikke må skrives ind i et AI-værktøj, at AI støtter den faglige vurdering frem for at erstatte den, og at svarene skal læses kritisk igennem.

7. Undervis medarbejderne

Miniguiden peger på tre slags forståelse: teknologisk (hvordan virker generativ AI), praktisk (prompting, didaktik, kildekritik) og etisk-juridisk (risici ved personoplysninger og bias). Trin 7 er der, fordi de seks andre ellers bliver til et dokument, ingen følger.

Databehandleraftalen: hvad der skal stå i den

Aftalen er det, I kan holde leverandøren fast på, hvis noget går galt. Miniguiden nævner tre ting, den klart skal fastlægge:

Dertil kommer det, I selv skal kunne svare på: hvor ligger data geografisk, hvor længe opbevares de, hvad sker der med dem, når aftalen ophører, og hvem hos leverandøren har adgang. Har leverandøren allerede udarbejdet en DPIA og en overførselsanalyse, sparer det jer for en del af arbejdet.

Det praktiske spørgsmål til en leverandør

"Kan I sende jeres databehandleraftale og jeres DPIA?" Kommer der et vedhæftet dokument retur inden for et par dage, har leverandøren styr på det. Bliver I i stedet tilbudt et møde, er dokumenterne sandsynligvis ikke skrevet endnu.

Tre ting, der ikke er tilladt

Nogle anvendelser bliver ikke lovlige af en aftale.

AI, der aflæser elevers følelser via kamera, stemmeanalyse eller biometriske data for at tilpasse undervisningen, er omfattet af forbuddet i AI-forordningens artikel 5. Miniguiden nævner det som et særligt eksempel fra undervisningssektoren.

AI i bedømmelsen af prøvebesvarelser er udelukket, og miniguiden lader ingen tvivl stå: "En skriftlig prøvebesvarelse skal bedømmes udelukkende af de allokerede censorer. Det betyder, at kun censorernes faglige vurdering må danne grundlag for karakteren. AI, som f.eks. automatiserede analyseværktøjer, sprogvurderingssystemer eller generative modeller (som ChatGPT), må ikke anvendes i bedømmelsesprocessen."

Ansigtsgenkendelse til fraværsregistrering. Miniguiden gennemgår det som en case og konkluderer, at løsningen indebærer meget høje risici og sandsynligvis ikke kan indføres lovligt på en uddannelsesinstitution. Som alternativ peger den på digital registrering via elevens eget login.

Når AI giver feedback på elevopgaver

Miniguiden bruger netop dette som sin første case. Ud over databehandleraftalen peger den på en risiko, der er let at overse: databeskyttelsesforordningens artikel 22 kan blive overtrådt, hvis læreren ikke kan dokumentere sin egen afsluttende vurdering og personlige feedback.

Læreren skal altså kunne vise, at AI'en leverede et udkast, og at vurderingen er lærerens egen. Kravet falder sammen med en rimelig beskrivelse af, hvad god feedback er.

Sådan hænger det sammen i praksis: AI foreslår fokuspunkter i elevens tekst. Læreren læser teksten, vælger til og fra, og skriver den tilbagemelding, eleven får. Dokumentationen er selve tilbagemeldingen. Sendes AI'ens forslag videre i uændret form, er der ingen vurdering at dokumentere.

Hvad det betyder på en fri eller privat skole

Vejledningen gælder uddannelsesinstitutionerne bredt, og de syv trin er de samme. Forskellen ligger i, hvem der udfører dem. En kommunal skole kan trække på forvaltningens DPO og på aftaler, kommunen allerede har indgået. På en fri eller privat skole er det skolen selv, der er dataansvarlig, skolen selv, der indgår aftalen med leverandøren, og bestyrelsen, der skal kunne stå på mål for den.

Vejen fra beslutning til handling er kortere. Til gengæld er der ingen forvaltning til at gøre arbejdet, hvis skolen lader det ligge.

Hvor I begynder

Trin 1 kan klares på et personalemøde. Bed alle skrive ned, hvilke AI-værktøjer de bruger i arbejdet, også dem, de bruger i deres egen forberedelse. Listen plejer at blive længere end ventet, og den er nødvendig, før noget af det øvrige kan vurderes.

Trin 2 og 3 er derefter et skrivebordsarbejde, I tager værktøj for værktøj. Trin 5 er det, der trækker længst ud, fordi forældrene skal informeres.

Skal vi tage de syv trin sammen med jer?

På et kompetenceforløb gennemgår vi jeres egen værktøjsliste, jeres roller og jeres aftaler, og I går fra det med en AI-politik, bestyrelsen kan vedtage.

Se kursus i AI til skoler

Kilder

Denne artikel er en gennemgang af offentligt tilgængelig vejledning og er ikke juridisk rådgivning. Er I i tvivl om et konkret system, så spørg jeres databeskyttelsesrådgiver.