Jesper Langemark

Regeringen foreslår en datadelingslov, der udpeger Digitaliseringsstyrelsen som eneansvarlig myndighed for Data Act og indfører bøder som sanktionsform. Forslaget skal give hjemmel til dansk håndhævelse af regler om bl.a. cloudskifte og fair adgang til data.

Data Act pålægger cloududbydere at muliggøre skifte med højst to måneders varsel. Det udfordrer faste SaaS-abonnementer: forudbetalte beløb kan blive refusionspligtige, og bod ved førtidigt ophør skal være proportional og afspejle nettotab. Udbydere bør tilpasse vilkår nu.

AI-genereret kode er kun ophavsretligt beskyttet, hvis der foreligger et reelt menneskeligt, kreativt bidrag. For software skabt af ansatte tilkommer rettighederne typisk arbejdsgiveren, mens freelancere bevarer dem uden aftalt overdragelse. Se centrale greb, der styrker beskyttelsen.

Fra 2026 skal AI-genereret kode markeres i et maskinlæsbart format efter AI Act art. 50. Kommissionen anser kode som tekst, og ansvaret for mærkning ligger hos udbydere. Maskinlæsbarhed og grænsen for menneskelig bearbejdning er endnu uafklaret, men retningslinjer er på vej.

EU’s reguleringspakke presser AI-kontrakter til at adressere forklarbarhed, dataansvar og probabilistisk output. Artiklen skitserer nøglevilkår for udvikling og outsourcing, herunder IP og leverandøransvar, og vurderer værdien og begrænsningerne i EU’s modelklausuler for offentlige indkøb.

AI-forordningens artikel 4 forpligter udbydere og idriftsættere til at sikre et tilstrækkeligt niveau af AI‑færdigheder på tværs af værdikæden. Kravet er risikobaseret, men gælder alle systemer. Digitaliseringsstyrelsen anbefaler målrettet træning; ingen direkte sanktion, men klare compliance‑gevinster.

Engelsk High Court fastslår, at et generelt ansvarsloft i en IT-kontrakt var et samlet loft og ikke pr. krav, og at "forventede besparelser" kan sidestilles med mistet fortjeneste og dermed være udelukket som indirekte tab. Dommen er vejledende for danske aftaler.

Data Act udvider brugeradgang til IoT-data, men ændrer ikke GDPR’s forrang ved personoplysninger. Virksomheder skal afklare roller, sikre behandlingsgrundlag og designe produkter med standardadgang, samtidig med at privacy by design og default opretholdes i hele datalivscyklussen.

EU’s AI-forordning får politisk grønt lys med nye forbud mod bl.a. biometrisk kategorisering, ansigtsscraping og følelsesgenkendelse. GPAI og højrisiko AI mødes af skærpede dokumentations- og risikokrav, markante bøder og mulighed for markedsforbud. Virksomheder bør forberede compliance nu.

Data Act indfører krav, der gør det lettere og billigere at skifte cloud-udbyder. Kunder får ret til kort opsigelsesvarsel, teknisk ækvivalent migrering og – efter en overgangsperiode – vederlagsfri assistance. Udbydere bør allerede nu tilpasse løsninger og vilkår.

Datatilsynet præciserer rammerne for myndigheders brug af AI: klart behandlingsgrundlag, dataminimering og formålsbegrænsning, menneskelig kontrol ved automatiserede afgørelser samt løbende monitorering i drift. GDPR art. 6 og supplerende hjemmel styrer hele livscyklussen.

Data Act udvider brugeradgangen til IoT-data og indskrænker samtidig databasebeskyttelsen. Forretningshemmeligheder kan kræves udleveret under aftalte sikkerhedsforanstaltninger, mens en snæver vetoret kun gælder ved risiko for alvorligt økonomisk tab. Kontrakter og kontrol bør styrkes.

Europa-Parlamentet har godkendt Data Act, som skal åbne adgangen til data fra forbundne produkter og tilknyttede tjenester. Producenter og cloud-udbydere skal give brugere indsigt og mulighed for deling. Reglerne ventes at gælde fra midten af 2025, og kræver nye processer, grænseflader og aftaler.

LIBE-udvalget anbefaler, at EU-Kommissionen afstår fra en tilstrækkelighedsafgørelse for USA under Data Privacy Framework. Uafklarede spørgsmål om proportionalitet, uafhængig kontrol og amerikansk rets grundlag øger risikoen for domstolsprøvelse og fornyet usikkerhed om dataoverførsler.

EDPB udstikker 13 anbefalinger til offentlige myndigheders brug af cloud: gennemskuelig rollefordeling, risikovurdering og DPIA, stærk kontrol med underdatabehandlere samt kortlægning af tredjelandsoverførsler. Rapporten giver dog ingen nye løsninger på transfer-udfordringer.