Spørgsmålet lander på stort set alle lærerværelser i øjeblikket. Eleverne bruger ChatGPT derhjemme, nogle lærere bruger det til forberedelse, og et sted i kommunen sidder en DPO og får det dårligt. Så lad os tage den ordentligt: hvad er egentlig problemet, hvad er ikke problemet, og hvad kan en skole konkret gøre?
Problemet er ikke AI. Det er datastrømmen.
Der står ingen steder i lovgivningen at kunstig intelligens er forbudt i undervisningen. Det, GDPR regulerer, er behandlingen af personoplysninger — og i en skole er personoplysninger overalt: navne, elevtekster, faglige vurderinger, trivselsnoter, og alt det eleverne selv skriver om sig selv og hinanden, når de chatter med en bot.
Når en elev skriver til gratis-versionen af ChatGPT, sker der tre ting, som er svære at forene med skolens ansvar:
- Der er ingen databehandleraftale. Skolen (i praksis kommunen) er dataansvarlig for elevernes oplysninger. GDPR artikel 28 kræver en databehandleraftale, når andre behandler data på skolens vegne. Forbrugerversionen af ChatGPT leveres uden — leverandøren behandler i stedet data til egne formål, på egne vilkår.
- Data forlader skolens kontrol. Oplysningerne kan indgå i leverandørens videre udvikling, og skolen kan hverken dokumentere, begrænse eller slette dem. Dermed kan skolen ikke leve op til sine grundlæggende forpligtelser som dataansvarlig.
- Aldersgrænserne holder ikke. OpenAI's egne vilkår kræver, at brugeren er mindst 13 år, og at der er forældresamtykke op til 18 år. En folkeskoleklasse ligger for en stor dels vedkommende under eller lige omkring den grænse.
Læg mærke til, at intet af det handler om, hvorvidt AI er godt eller skidt pædagogisk. En skole kan mene, at ChatGPT er verdens bedste læringsværktøj, og stadig ikke kunne bruge det lovligt på elevdata i den form.
Chromebook-sagen satte barren
Hvis nogen tror, det her er teori, er det værd at genbesøge den største danske sag om elevdata overhovedet. I 2022 greb Datatilsynet ind over for Helsingør Kommunes brug af Google Workspace og Chromebooks i folkeskolen, og sagen voksede til at omfatte over 50 kommuner. Kernen var ikke, at Google-produkter er farlige — det var, at elevoplysninger blev videregivet til leverandørens egne formål uden hjemmel i loven.
Det tog flere års tilsynssag, ændrede aftaler og tilpasninger fra Googles side, før brikkerne faldt på plads. Og det var vel at mærke produkter, der er bygget til skoler, købt gennem kommunale indkøbsaftaler, med databehandleraftaler i ryggen.
Hvad må man så?
Her er den praktiske skillelinje, som ofte drukner i debatten:
Læreren, uden elevdata: ja
En lærer, der bruger ChatGPT til at udarbejde et undervisningsforløb, generere differentierede opgaver eller få ideer til en årsplan, behandler som udgangspunkt ikke personoplysninger. Det er ikke et GDPR-problem. Det kræver blot almindelig omtanke: ingen elevnavne, ingen elevtekster, ingen vurderinger af konkrete børn ind i prompten.
Eleverne, med persondata: nej
Elever, der logger ind med egne konti og chatter frit, afgiver uundgåeligt personoplysninger — om sig selv, om klassekammerater, om deres faglige niveau. Uden databehandleraftale, uden EU-garantier og uden aldershjemmel er det den konstruktion, der ikke hænger sammen.
Vejen imellem: AI uden persondata
Den interessante løsning ligger i midten: AI-værktøjer, der er designet, så eleverne slet ikke afgiver personoplysninger. Ingen elevkonti hos en amerikansk leverandør, ingen profiler, ingen datadeling — men stadig fuld adgang til at arbejde med sproget og fagligheden. Det er den tilgang, vi har bygget Tankely på: eleverne logger ind med en klassekode og en PIN, ikke med navn eller UNI-Login, og al data bliver i Europa.
Fem spørgsmål, før skolen siger ja til et AI-værktøj
- Er der en databehandleraftale? Uden den er samtalen slut — skolen kan ikke lovligt lade elever bruge værktøjet med persondata.
- Hvor behandles data? EU-behandling gør compliance-arbejdet markant enklere end tredjelandsoverførsler med tilhørende vurderinger.
- Trænes der på elevernes data? Kræv et klart, kontraktligt nej.
- Hvilke persondata kræver værktøjet overhovedet? Det bedste svar er "næsten ingen". Dataminimering er ikke kun et princip i GDPR artikel 5 — det er den nemmeste risiko at fjerne helt.
- Kan læreren se, hvad der foregår? Tilsyn med undervisningen forsvinder ikke, fordi den foregår i en chat. Uden indsigt kan skolen hverken opfylde sit pædagogiske ansvar eller sit dataansvar.
Konklusionen
Er ChatGPT lovligt i folkeskolen? Som lærerens forberedelsesværktøj uden persondata: ja. Som frit elevværktøj i klassen, i den form de fleste kender det: nej — ikke fordi AI er forbudt, men fordi konstruktionen omkring elevernes data ikke holder. Skoler, der gerne vil give eleverne adgang til AI, skal vælge værktøjer, hvor datastrømmen er designet til skoleverdenen fra starten.
Vil du også have styr på, hvad EU's AI-forordning betyder for jer? Så læs AI Act og skoler: hvad gælder — og hvornår?
Kilder: Databeskyttelsesforordningen (GDPR) art. 5, 28 og 44; Datatilsynets afgørelser i Chromebook-sagen (2022–2024, datatilsynet.dk); OpenAI's brugsvilkår (openai.com/policies). Denne artikel er generel vejledning, ikke juridisk rådgivning.