Bruger du AI i tilbudsarbejdet? Det bør du vide om dine data

Kunstig intelligens er blevet en naturlig del af tilbudsarbejdet for mange. Men når du uploader et tidligere tilbud med priskalkuler og forretningsfølsomme procesbeskrivelser, er det rimeligt at spørge: hvor bliver dine data egentlig af? Her svarer vi roligt på det, viser hvilke regler der faktisk gælder lige nu, og hvad du bør tjekke, før du stoler på et værktøj.

Hvad du faktisk deler

Det er værd at skelne mellem to slags dokumenter. Udbudsmaterialet fra den ordregivende myndighed er offentligt, og det er sjældent noget problem at lægge det ind i et værktøj.

Dit eget materiale er en anden sag. Priskalkuler og marginer, metodik og procesbeskrivelser du har brugt år på at bygge op, interne vurderinger af din egen kapacitet, og som regel også personoplysninger: navne, stillinger og CV'er på de folk, du tilbyder.

Bruger du et AI-værktøj, sender du de oplysninger ud af huset. Det behøver ikke at være farligt. Men det er værd at vide, hvor de ender, hvor længe de bliver liggende, og hvad leverandøren har lov til at gøre med dem.

To regelsæt, ikke et

Her er det let at blande to ting sammen, som hænger sammen, men ikke gælder på samme måde.

Databeskyttelsesreglerne (GDPR) gælder allerede, i hele EØS. Behandler værktøjet personoplysninger, gælder de fuldt ud. Forordningen giver plads til visse nationale tilpasninger, men grundkravene er de samme. Det gør vurderingen lettere for dig, der sælger i flere lande: du kan stille de samme spørgsmål til en leverandør, uanset om du afgiver tilbud i Danmark, Sverige eller Tyskland.

AI-forordningen gælder allerede. EU's regelsæt for kunstig intelligens begyndte at blive håndhævet den 2. august 2026, samtidig med at nye gennemsigtighedskrav trådte i kraft. De handler blandt andet om, at brugere skal have at vide, når de taler med en AI og ikke et menneske, og at AI-genereret indhold skal mærkes. De tungeste krav, dem der gælder såkaldte højrisikosystemer, er udskudt til den 2. december 2027 og den 2. august 2028.

Norge, som vi skriver fra, er en undtagelse. Der er forordningen endnu ikke indarbejdet i EØS-aftalen, og den nationale lov er ikke vedtaget. Det illustrerer en pointe, der gælder alle: hvilket regelsæt der rammer dig, afhænger af, hvor du og din leverandør hører til.

Spørgsmålene du bør stille leverandøren

Før du tager et værktøj i brug, stil nogle enkle spørgsmål. De er ikke tekniske, og du behøver ikke at være ekspert for at vurdere svarene.

• Hvor lagres og behandles data? Inden for EØS, eller andre steder? Lagring uden for EØS er ikke ulovligt i sig selv, men det kræver sit eget retsgrundlag. Bed leverandøren om at oplyse hvilket.
• Bruges data til at træne modellen? Eller holdes de adskilt og bruges kun for dig? Det skal stå i aftalen, ikke kun i en markedsføringstekst.
• Hvem har adgang, og hvor længe bliver data liggende? Spørg konkret om sletning og om underleverandører.
• Findes der en databehandleraftale? Behandler leverandøren personoplysninger på dine vegne, er en skriftlig aftale et krav efter databeskyttelsesforordningens artikel 28, stk. 3. Det er ikke en formalitet, du kan springe over.
• Kan de dokumentere deres sikkerhedsarbejde? For eksempel gennem en certificering som ISO 27001, eller et åbent overblik over underleverandører og sikkerhedsforanstaltninger.

Gode leverandører svarer tydeligt på det her og har svarene klar. Er svarene vage eller svære at få fat på, er det i sig selv et signal.

Lidt om lagring uden for EØS

Mange AI-værktøjer er amerikanske. Overførsel af personoplysninger til USA sker i dag hovedsagelig under EU's såkaldte tilstrækkelighedsafgørelse, EU-US Data Privacy Framework. Den er stadig gyldig. EU's Ret afviste et søgsmål mod den i september 2025, men afgørelsen er appelleret, og Det Europæiske Databeskyttelsesråd bad i juli 2026 Europa-Kommissionen om at vurdere på ny, om grundlaget holder.

Vores vurdering er, at det her ikke er noget, du behøver at ligge søvnløs over. Men det er en god grund til at vide, hvor din leverandør står, og til at spørge, hvad planen er, hvis rammerne ændrer sig.

Sådan ser indkøberen på det

Det her er ikke kun din problemstilling. Offentlige indkøbere får nu ret detaljeret vejledning om det samme. Eksemplet nedenfor er hentet fra Norge, som vi skriver fra.

DFØ, den norske myndighed for offentlig forvaltning og økonomistyring, skriver i sin vejledning om sikkerhed og informationsbehandling ved brug af AI, at virksomheder skal klassificere information, før den sendes ind i en AI-tjeneste. Åben og intern information kan i mange tilfælde behandles i kommercielle cloudtjenester, følsom information kræver en særskilt vurdering, og klassificeret information skal slet ikke lægges ind i kommercielle AI-tjenester. Oplysninger omfattet af tavshedspligt hører til samme kategori. Vejledningen siger også, at data som udgangspunkt skal behandles inden for EØS, og at virksomheden aktivt skal tjekke, at tjenesten faktisk er sat op sådan.

Som vi læser det, er det værd at bemærke for dig som leverandør. Kunden på den anden side af bordet bliver bedt om at tænke præcis de samme spørgsmål igennem, som du bør stille din egen leverandør. Så kan det være en fordel at have svarene klar, før nogen spørger. Indkøbere i andre lande arbejder efter tilsvarende principper, men den konkrete vejledning varierer, og national praksis er forskellig.

Hvad du bør gøre

• Lav en enkel intern spilleregel. Hvad må lægges ind i hvilke værktøjer? Det er urimeligt at bede den enkelte tilbudsskriver om at tage den vurdering alene hver gang.
• Tjek, om der findes en databehandleraftale for de værktøjer, I allerede bruger. Ofte er svaret nej, ganske enkelt fordi ingen har spurgt.
• Hold dokumentationen samlet. Certificeringer, rutiner og aftaler bør ligge et sted, klar til at hentes frem.
• Spørg leverandøren direkte. Du har krav på et forståeligt svar, og du behøver ikke at acceptere et, der ikke er det.

Afslutningsvis

Du behøver ikke at være ekspert i datasikkerhed for at træffe gode valg i offentlige indkøb. Det er nok at vide, hvilke regler der faktisk gælder, stille de rigtige spørgsmål og vælge værktøjer, der svarer tydeligt på dem.

Hos Cobrief har vi lagt vores egen dokumentation åbent frem i et Trust Center, så du kan tjekke os på de samme punkter, som vi beder dig tjekke andre på. Tag gerne en snak med os om, hvordan du kan bruge AI i tilbudsarbejdet med god samvittighed.