Øyvind Eidissen
Ane Rode
Oskar Engman
Paal-André Storesund
Virksomheder efterspørger klarhed om brug af Copilot og OpenAI: hvilket behandlingsgrundlag kan dække træning og drift, hvilke dokumentationskrav gælder, og om DPF‑certificering løser overførsler.
Behandlingsgrundlag for scraping og LLM-træning
EDPB’s taskforce har i en midlertidig rapport åbnet for, at legitim interesse kan anvendes til webscraping af tredjepartsdata, hvis strenge garantier implementeres. Samtidig er der ikke taget endelig stilling til korrekt hjemmel.
Praktisk kræver det dokumenteret interesseafvejning, målbegrænsning og robuste sletnings‑ og opt‑out‑mekanismer. Overførsler skal vurderes særskilt, uanset DPF‑certificering hos leverandøren.
Rettigheder, nøjagtighed og information til brugere
NOYB’s sag mod OpenAI om fejlbehæftede udsagn sætter fokus på GDPR’s berigtigelsesret og dokumenterede proces for håndtering af unøjagtigheder.
EDPB anerkender, at LLM’er kan hallucinere, og at brugere skal informeres klart om risici og begrænsninger. Kontrakter bør præcisere rollefordeling, ansvar for oplysningspligt, og krav til logning og korrigering.
