GDPR og AI-headshots til virksomheder: Sådan gør I det lovligt

Før I ruller AI-headshots ud til LinkedIn, intranet og Jobindex, skal HR og legal have en leverandørtjekliste — ikke et advokatnotat. Spørg hvor medarbejdernes billeder ligger, hvor længe modeller lever, hvem underleverandørerne er, hvordan sletning virker, hvilken hjemmel I bruger til medarbejderfotos, og om en admin kan invitere og låse baggrunde. Headshots.dk er et dansk selskab med EU-hostede databaser, AES256 og modeller, der slettes efter 30 dage. Det her er praktisk indkøbssprog. Det er ikke juridisk rådgivning.

Onsdagens værktøjssammenligning rangerede generatorer. Den her side er tillidspasset til virksomheder: de spørgsmål, I stiller os og alle andre, før første invitation går ud. Skriv til hey@headshots.dk, hvis legal vil have produktfakta på mail.

Hvad skal HR og legal tjekke, før I ruller AI-headshots ud?

I skal have svar på datalokation, opbevaringstid, underleverandører, sletning, hjemmel til medarbejderfotos og team-admin, før første selfie uploades. En dansk leverandør med EU-databaser og 30-dages modelsletning er nemmere at dokumentere end et amerikansk eller singaporiansk værktøj, der kun skriver GDPR i footeren. Behandl det som indkøb. Jeres legal vælger hjemlen. Det gør vi ikke.

Headshots.dk skriver GDPR på siden: krypterede billeder, europæiske servere, slet når som helst, kommerciel licens, låste matching-baggrunde og admin-invitationer. Over 180 virksomheder har kørt samme motor. Teampris fra forsiden er 297 kr pr. person, 15 % rabat ved 15 personer. Det er produkttekst. Det er ikke jeres konsekvensanalyse.

Hvilke spørgsmål skal I stille enhver AI-headshot-leverandør?

Stil de samme syv spørgsmål til alle — også til Headshots.dk, og også til amerikanske eller singaporianske værktøjer, der markedsfører GDPR i 2026. Spørg hvor primær storage ligger, om app-servere eller failover forlader EU, hvornår modeller og uploads slettes, hvem underleverandørerne er, hvordan en medarbejder kan slette, og om en admin kan invitere og låse baggrunde. Skriv svarene ind i sagen. En privacy-sætning er ikke hele filen.

1. Hvor ligger primær storage, og forlader app-servere eller backups EU?
2. Hvor længe gemmes uploads, genererede billeder og trænede modeller?
3. Hvem er underleverandørerne, og er de SOC 2- eller ISO 27001-certificerede?
4. Kan medarbejder og admin slette uploads og genererede fotos når som helst?
5. Hvordan understøtter I den hjemmel, vores legal vælger til medarbejderfotos?
6. Kan en admin invitere kolleger og låse matching-baggrunde?
7. Hvordan håndterer I gennemsigtighed efter EU AI Act artikel 50 for AI-billeder?

Hvor ligger medarbejdernes billeder faktisk?

Bed om databasens region, ikke et slogan. Headshots.dk hoster databaser i EU og krypterer med AES256. Udbyderne til billederne er SOC 2- og ISO 27001-certificerede — det er forsidens FAQ, ikke et certifikat til Headshots selv. Ifølge 2026-leverandørmarketing lagrer visse amerikanske værktøjer primært i Frankfurt med US-processering; visse singaporianske selskaber lagrer fotos i Vesteuropa med app-servere i USA. Spørg. Auditér ikke en marketing-side.

To navne, der ofte dukker op — som 2026-leverandørmarketing, ikke som noget vi har auditeret: BetterPic (amerikansk selskab, primær lagring i Frankfurt, noget US-processering) og HeadshotPro (singaporiansk selskab, foto-lagring i Vesteuropa, app-servere og failover i USA). HR skal stadig bede om det aktuelle regionkort. Marketingsider flytter sig.

Hvor længe lever modellerne, og kan I slette?

Bed om tre ure: uploads, færdige portrætter og den trænede model. Hos Headshots.dk slettes AI-modeller automatisk efter 30 dage, og brugeren kan slette både uploads og genererede billeder når som helst. Det matcher den offentlige FAQ. Sletter en leverandør kun “på anmodning”, så skriv SLA’en. Træner de en grundmodel på medarbejderansigter, er risikoen en anden end en sessionsmodel, der forsvinder på 30 dage.

Hvad betyder EU AI Act artikel 50 for en team-udrulning fra 2. august 2026?

Artikel 50 i EU’s AI-forordning begyndte at gælde 2. august 2026. Det er gennemsigtighed for visse AI-systemer og for noget AI-genereret indhold — ikke et stempel om, at en headshot-leverandør er “AI Act-certificeret”. Spørg enhver leverandør, hvordan de markerer AI-billeder, og hvad I som deployer skal oplyse på LinkedIn eller intranet. Vi påstår ikke, at Headshots er fuldt vurderet efter artikel 50 ud over produktsiderne.

Sæt spørgsmålet på tjeklisten. Legal mapper, hvem der er provider, og hvem der er deployer. Et intranet-portræt er ikke samme sag som en offentlig deepfake. Vi finder ikke på det modsatte. Læs artikel 50-teksten, ikke et blogresumé, hvis I skal dokumentere pligten.

Hvordan svarer Headshots.dk på tjeklisten?

Headshots.dk svarer med et dansk selskab, EU-hostede databaser, AES256, SOC 2- og ISO 27001-udbydere, 30-dages modelsletning, sletning når som helst, kommerciel licens og team-admin, der låser matching-baggrunde og sender invitationer. Support er hey@headshots.dk i Danmark. Siden rammer GDPR-sproget — “slet dine billeder når som helst”. Over 180 virksomheder. Teampris fra forsiden: 297 kr pr. person, 15 % rabat ved 15 personer. Det er produktsagen. Det er ikke jeres DPIA.

Datatilsynet har en revideret vejledning om databeskyttelse i ansættelsesforhold. Læs den hos tilsynet. Citér den ikke via den her artikel. Hjemmel til medarbejderfotos er jeres vurdering — samtykke i et ansættelsesforhold er ofte skrøbeligt. Vi opfinder ikke citater fra Datatilsynet.

Ofte stillede spørgsmål

Her er de fem spørgsmål, HR og legal stiller, før en dansk team-udrulning: om det her er advokatråd, hvor data ligger, hvad der slettes, hvad artikel 50 betyder, og hvad teams koster. Svarene bruger de samme produktfakta som tabellen, så I kan citere dem uden at læse hele guiden. Ingen af svarene erstatter jeres egen legal.

Er det her juridisk rådgivning? Nej. Det er en praktisk leverandørtjekliste til HR. Jeres legal vælger hjemmel og skriver DPIA. Datatilsynet vejleder om ansættelsesforhold — læs dem, ikke os, som facit.

Ligger medarbejdernes billeder i EU hos Headshots.dk? Databaserne er EU-hostede. Kryptering er AES256. Udbydere til billederne er SOC 2 og ISO 27001. Det er forsidens FAQ. Bed stadig om den aktuelle region, hvis legal kræver det på skrift.

Kan medarbejdere slette uploads og genererede billeder? Ja. Brugeren kan slette uploads og genererede fotos når som helst. AI-modeller slettes automatisk efter 30 dage. Det er produktsidernes sletning — ikke en evig arkivaftale.

Hvad skal vi spørge om artikel 50? Spørg, hvordan leverandøren markerer eller oplyser AI-genererede billeder, og hvad I som deployer skal skrive på LinkedIn, intranet eller site. Artikel 50 gjaldt fra 2. august 2026. Vi overclaim’er ikke Headshots ud over produktsiderne.

Hvad koster Headshots til teams, og hvor starter vi? 297 kr pr. person. 15 personer = 15 % rabat. Låste baggrunde, admin-invitationer, kommerciel licens, ca. 15 minutter efter ca. 10 selfies. Over 180 virksomheder. Skriv til hey@headshots.dk.

Klar til at rulle ud til teamet?

Når fem eller flere kolleger skal have samme baggrund på intranet og LinkedIn, start på Headshots til teams. Admin inviterer. I låser stilen. Pakken er 96 headshots pr. person, klar på ca. 15 minutter efter ca. 10 selfies. Under fem personer er enkeltpakker som regel enklere. Spørgsmål om datalokation og sletning går til hey@headshots.dk — et dansk team, ikke en chatbot i en anden tidszone.