Lønsedler, kontrakter, interviewnoter og kundekorrespondance kan indeholde følsomme oplysninger. Dokumentmaskering hjælper dig med at fjerne udvalgte oplysninger fra den version, du vil dele eller behandle. Reversibel og permanent maskering tjener forskellige formål; ingen af dem fastslår automatisk, at et resultat er anonymt, eller at en videre anvendelse er lovlig.
Denne guide er det omfattende opslagsværk, vi savnede, da vi byggede Redactic. Den gennemgår, hvad maskering af data egentlig er og ikke er, hvordan GDPR rammesætter det (pseudonymisering efter artikel 4 over for anonymisering efter betragtning 26), de to maskeringstilstande, du kommer til at bruge i praksis, hvilke kategorier af persondata der skal maskeres før al AI-brug, en arbejdsgang i fem trin, der fungerer fra en enkelt pdf til et lønark med flere faner, den reelle GDPR-risiko ved shadow AI i professionelle servicevirksomheder, en tjekliste med otte punkter til valg af maskeringsværktøj og en FAQ med de spørgsmål, kunderne stiller os hver uge.
Du kan læse hele artiklen oppefra og ned, den er skrevet, så man kan skimme den, eller springe til det afsnit, der svarer til dit akutte problem. Hvis din virksomhed allerede har haft samtalen »hvad gør vi med ChatGPT« og tabt den, så start med afsnittet om shadow AI. Hvis bekymringen mest gælder tilsynsmyndighedens inspektioner, så start med GDPR-rammen.
1. Hvad maskering af data er, og hvad det ikke er
Maskering af data (på engelsk redaction) er processen, hvor man identificerer persondata eller andre følsomme oplysninger i et dokument og fjerner dem fra den version, der skal deles, behandles eller opbevares videre. Ordet stammer fra juridisk praksis, hvor passager i retsdokumenter blev overstreget før offentliggørelse; i digitale arbejdsgange dækker det et langt bredere sæt handlinger, fra at erstatte et navn med en pladsholder til permanent at ødelægge et område i et billede med en pixelnøjagtig overstregning.
Man bruger ofte »maskering«, »anonymisering«, »pseudonymisering«, »dækning«, »kryptering« og »sletning« i flæng. De kan ikke bruges i flæng, og forskellen har betydning efter GDPR. Vi vender tilbage til de juridiske nuancer i afsnit 2; hold indtil videre følgende forskelle for øje.
- Maskering (redaction) er det overordnede led: at omdanne et dokument med persondata til en version, der ikke længere indeholder dem (eller ikke indeholder dem på en måde, som angribere eller uvedkommende læsere kan genskabe).
- Dækning (masking) er en teknik: hvert fundet afsnit med persondata erstattes af en pladsholder som
[PERSON_1]eller⟦NAME⟧. Pladsholderen er forståelig for en efterfølgende proces (for eksempel en LLM), men indeholder ingen identifikator. I praksis betyder maskering af persondata et valg mellem denne vej og en permanent overstregning, afhængigt af hvor dokumentet skal hen. - Pseudonymisering er dækning plus en kontrolleret, separat opbevaret kobling tilbage til de oprindelige værdier. GDPR anerkender det udtrykkeligt i artikel 4, nr. 5, og begunstiger det gennem hele teksten, men det gør ikke data »anonyme«.
- Anonymisering er envejs og uigenkaldelig. Efter anonymisering må ingen, heller ikke dig, kunne genidentificere den registrerede. GDPR sætter den standard i betragtning 26, og anonyme data falder helt uden for forordningen.
- Kryptering kan ophæves af enhver, der har nøglen. Krypterede persondata er stadig persondata efter GDPR; kryptering er en sikkerhedsforanstaltning og ikke en maskeringsteknik.
- Sletning fjerner dokumentet; maskering fjerner persondataene fra et dokument, du beholder.
Vælg permanent maskering, når udvalgte følsomme oplysninger skal væk fra det delte resultat. Vælg reversibel maskering, når en understøttet arbejdsgang har brug for pladsholdere og senere gendannelse. I begge tilfælde skal du vurdere den resterende kontekst og indirekte identifikatorer. Permanent maskering fastslår ikke automatisk anonymisering.
Et andet mønster, vi ser hele tiden, er, at maskering behandles som et engangstrin før deling. I en virksomhed med delte enheder, ugentlig LLM-brug og udlagte underleverandører skal maskeringen ligge inde i arbejdsgangen: ved upload, ved AI-forespørgsel og ved eksport. En månedlig manuel gennemgang af en jurist med en sort tusch rækker ikke.
2. GDPR-rammen: pseudonymisering efter artikel 4, nr. 5, over for anonymisering efter betragtning 26
Tre henvisninger i GDPR styrer enhver meningsfuld samtale om maskering af data i EU.
Artikel 4, nr. 5, i GDPR definerer pseudonymisering som »behandling af personoplysninger på en sådan måde, at personoplysningerne ikke længere kan henføres til en bestemt registreret uden brug af supplerende oplysninger«. De supplerende oplysninger skal »holdes adskilt og være underlagt tekniske og organisatoriske foranstaltninger for at sikre, at personoplysningerne ikke henføres til en identificeret eller identificerbar fysisk person«. Pseudonymiserede data forbliver persondata: GDPR gælder stadig, du har stadig brug for et retsgrundlag, og den registrerede har stadig sine rettigheder til indsigt og sletning.
Betragtning 26 i GDPR trækker grænsen for anonymisering: »Databeskyttelsesprincipperne bør derfor ikke gælde for anonyme oplysninger, dvs. oplysninger, der ikke vedrører en identificeret eller identificerbar fysisk person, eller personoplysninger, der er gjort anonyme på en sådan måde, at den registrerede ikke eller ikke længere er identificerbar.« Anonyme data ligger uden for anvendelsesområdet. Kravet er højt og forstås bedst gennem de tre kriterier i udtalelse 05/2014 fra Artikel 29-gruppen: at udpege en person, at sammenkoble poster og at udlede oplysninger. Hvis et maskeret dokument stadig gør det muligt at udpege en enkelt person, koble poster på tværs af datasæt eller udlede egenskaber hos en bestemt person, har du pseudonymiseret og ikke anonymiseret.
Artikel 25 (databeskyttelse gennem design og som standardindstilling) og artikel 32 (behandlingssikkerhed) fremhæver tilsammen pseudonymisering som en fornuftig teknisk foranstaltning ved risikofyldt behandling. Artikel 32, stk. 1, litra a, nævner den udtrykkeligt. Derfor belønner tilsynsmyndighederne et GDPR-efterlevelsesprogram, der har investeret i ægte pseudonymisering: det er en foranstaltning, som forordningen selv nævner ved navn.
EU's AI-forordning, som overlapper med GDPR på dette område, har været gældende siden 2024, med bestemmelser om højrisikosystemer, der indføres trinvis i 2026 og 2027, og tilføjer et ekstra lag. AI-systemer, der bruges inden for HR (rekruttering, præstationsvurdering, beslutninger om forfremmelse), er klassificeret som højrisiko efter bilag III. De kræver risikostyring, datastyring, teknisk dokumentation, gennemsigtighed, menneskeligt tilsyn, kontrol af nøjagtighed, robusthed og cybersikkerhed samt en konsekvensanalyse for grundlæggende rettigheder. Forordningen kræver ikke pseudonymisering før AI-brug, men i praksis er det den reneste måde at opfylde både dataminimering (artikel 5 i GDPR) og AI-forordningens artikel om datastyring (artikel 10) på. Til AI-brug fungerer efterlevelse af GDPR og AI-forordningen bedst som én samlet driftsmodel, hvor de to regelsæt håndteres sammen.
Én myte skal aflives: mange leverandører markedsfører deres værktøj som »GDPR-anonymisering«, når det i virkeligheden er pseudonymisering. Hvis koblingen fra pladsholder tilbage til den oprindelige værdi findes et sted, i dit filsystem, i brugerens browser eller i en tjeneste, vi driver, er data pseudonymiserede og ikke anonyme. Pseudonymisering efter GDPR er en nyttig beskyttelsesforanstaltning, og der er intet galt i at tilbyde den; at kalde den anonymisering er vildledende og udsætter kunden for en efterlevelsesfælde. Redactics maskeringscertifikat skelner udtrykkeligt mellem de to og mærker hvert reversibelt job som pseudonymisering efter artikel 4, nr. 5.
Retspraksis har skærpet grænsen yderligere. I Breyer mod Tyskland (C-582/14, 2016) fastslog EU-Domstolen, at en IP-adresse, som en websiteoperatør gemmer, er en personoplysning, hvis operatøren har rimelige lovlige midler til at få de supplerende identificerende oplysninger fra en tredjepart. Prøven »rimelige midler« er bredere, end mange ingeniører antager: data, som din tjeneste alene ikke kan identificere, kan stadig være persondata, hvis en retskendelse eller en kontraktlig ordning kan levere de manglende dele. For maskering betyder det, at en opdeling i pladsholdere og kobling mellem to organisationer ikke automatisk er anonymisering: hvis en af parterne lovligt kan tvinge den anden til at udlevere koblingen, er data pseudonymiserede for begge. Dommen SRB mod EDPS fra 2023 (T-557/20) forstærkede prøvens kontekstuelle karakter ved at adskille pseudonymiserede data hos en modtager, der ikke kan genidentificere, fra de samme data hos den dataansvarlige, som kan.
Udtalelse 05/2014 fra Artikel 29-gruppen (nu støttet af Det Europæiske Databeskyttelsesråd) gør betragtning 26 anvendelig med tre konkrete angrebsmodeller. At udpege: kan en angriber isolere en post, der svarer til en person? At sammenkoble: kan to poster fra samme datasæt eller på tværs af datasæt kobles til samme person? At udlede: kan værdien af en egenskab udledes af en kombination af de andre? Hvis svaret på en af de tre er ja, er dokumentet pseudonymiseret og ikke anonymiseret. Den praktiske konklusion er, at maskering af navnet i et lønark ikke anonymiserer det, fordi rækken stadig udpeger en medarbejder, og at det virkeligt anonyme tilfælde er sjældnere, end leverandørerne giver indtryk af.
3. De to maskeringstilstande: reversibel (pladsholderkobling) og uigenkaldelig (overstregning)
I produktion bruger du to tilstande hele tiden. At forstå forskellen er forskellen på en arbejdsgang, der består en inspektion, og en, der lækker navne, fordi du valgte det forkerte værktøj til opgaven.
Reversibel maskering erstatter fundne følsomme værdier med pladsholdere og bruger en separat kobling til gendannelse i understøttede arbejdsgange. Beskyt koblingen, og gennemgå den forberedte tekst før hver valgfri AI-opgave. Oversete værdier og oplysninger i konteksten kan stadig identificere personer.
Gendannelseskoblinger kræver beskyttelse og en defineret opbevaringspolitik. Afhængigt af arbejdsgangen kan behandlingen omfatte midlertidig tilstand på serversiden ud over lokal gendannelse. Redactic hævder ikke, at originalindhold eller koblingsdata altid bliver i browseren. Se den gældende databehandleraftale for forpligtelser om opbevaring og sletning.
Permanent maskering fjerner udvalgte følsomme oplysninger fra det eksporterede dokument. For scanninger og billeder kan OCR hjælpe med at finde tekst, der skal gennemgås. Kontroller resultatet for oversete værdier, skjulte oplysninger og indirekte identifikatorer. At ødelægge valgt tekst eller billedområder viser i sig selv ikke, at personer ikke længere kan identificeres ud fra det, der er tilbage.
Den fejl, vi oftest ser, er den omvendte: en virksomhed foretager en »anonymisering«, som i virkeligheden er reversibel maskering, deler filen eksternt og lader koblingen ligge på et delt drev, som modtageren på et tidspunkt får adgang til. Resultatet er en genidentificerbar post på en tredjeparts server. Vælg tilstand efter dokumentets destination.
Redactic tilbyder reversibel og permanent maskering til understøttede arbejdsgange. Tilgængelige eksportformater og bevaret layout afhænger af input og den valgte handling. Bekræft resultatet med en repræsentativ fil; gå ikke ud fra, at reversibel maskering bevarer en pdf i originalformatet.
4. Kategorier af persondata, der skal maskeres før AI-brug
Ikke alle persondata vejer lige tungt regulatorisk. GDPR skelner mellem »personoplysninger« (artikel 4, nr. 1), alt der identificerer eller kan identificere en fysisk person, og »særlige kategorier« (artikel 9) som sundhedsdata, biometriske identifikatorer, race eller etnisk oprindelse, politiske anskuelser, religiøs overbevisning, fagforeningsmæssigt tilhørsforhold, seksuel orientering og genetiske data. For særlige kategorier er kravet til behandling betydeligt højere (udtrykkeligt samtykke, grundlæggende interesser, samfundsinteresse på sundhedsområdet med mere), og risikoen for utilsigtet videregivelse på LLM-siden er tilsvarende større.
Følgende tabel er den operative kortliste, vi bruger. Før et dokument sendes til ChatGPT, Claude, Gemini, Mistral eller en anden LLM-leverandør, skal hver post nedenfor enten maskeres med en pladsholder eller overstreges, afhængigt af om arbejdsgangen har brug for reversibilitet.
| Kategori | Eksempler | Hvorfor det har betydning |
|---|---|---|
| Direkte identifikatorer | Fulde navn, e-mail, telefon, postadresse | Det mindste sæt persondata; identificerer uden besvær. |
| Nationale identifikatorer | Italiensk Codice Fiscale, fransk NIR/INSEE, tysk Steuer-ID, spansk DNI/NIE, pasnumre i EU | Landespecifikke identifikatorer kræver passende dækning og menneskelig gennemgang. At et format passer, bekræfter ikke nødvendigvis identifikatoren eller hvem den tilhører. |
| Finansielle | IBAN, SWIFT, betalingskortnumre, bankkonto, skatte-/momsnumre | Risiko nær PCI-DSS og direkte svindelrisiko. |
| Ansættelse | Medarbejdernummer, lønoplysning, ansættelsesdato, løn, præstationsvurdering | Gør identifikation mulig i en lille organisation, selv uden navn. |
| Sundhed (artikel 9) | Diagnoser, medicin, årsager til sygefravær, noter fra bedriftslægen | Særlig kategori; udtrykkeligt samtykke eller et andet grundlag efter artikel 9 kræves. |
| Biometri / id-dokumenter | Id-kortnumre, kørekort, pas, ansigtsfotos | Særlig kategori, hvis de bruges til entydig identifikation. |
| Kvasi-identifikatorer | Fødselsdato + postnummer + køn, præcis rolle + afdeling, usædvanlig stilling | Bruges i koblingsangreb. Sweeneys 87-procentsregel: postnummer + fødselsdato + køn identificerer de fleste voksne i USA. |
| Videregivelser i fritekst | Fratrædelsesinterviews, kundeklager, supportsager | Den sværeste kategori. Glider ofte forbi mønsterbaserede værktøjer og kræver ML-baseret genkendelse af navngivne enheder. |
Automatisk identifikation af persondata kan kombinere mønsterbaserede teknikker og maskinlæring for at finde sandsynligt følsomme oplysninger. Redactic kombinerer automatisk identifikation med dokumentbehandling og menneskelig gennemgang på infrastruktur i Europa, som Redactic kontrollerer. Umaskeret indhold sendes ikke til tredjeparters AI- eller maskinlæringstjenester under identifikation eller maskering. Nøjagtigheden afhænger af dokumentets kvalitet, sprog og kontekst.
OCR gør tekst i understøttede scanninger og billeder tilgængelig for identifikation og gennemgang. Lav opløsning, rotation, håndskrift og komplekse layouts kan påvirke resultatet. Kontroller hver relevant side og det eksporterede dokument; OCR-understøttelse garanterer ikke, at hver følsom værdi findes.
Rapporter, der for en stor dels vedkommende består af sundhedsoplysninger, kræver den samme omhu, og Redactic viser, hvordan psykologer kan maskere psykologiske udtalelser og sagkyndige rapporter, før de deles med advokater, skoler eller retten.
5. Arbejdsgangen i fem trin, der skalerer
En gentagelig maskeringsproces kombinerer valg af dokument, automatisk identifikation, menneskelig gennemgang, udførelse og kontrol af resultatet. De følgende fem trin er et praktisk udgangspunkt; tilpas dem til din organisations krav til datahåndtering og godkendelse.
- Upload. Vælg et understøttet dokument, og bekræft, at du har ret til at behandle det. I standard-SaaS uploades originaldokumentet til Redactic til behandling i Europa. Identifikation og maskering sender ikke umaskeret indhold til tredjeparters AI-inferenstjenester.
- Identificer. Find sandsynlige navne, kontaktoplysninger, finansielle oplysninger og relevante nationale identifikatorer. Til scanninger og billeder kan tekstgenkendelse hjælpe med at finde oplysninger. Behandl fund som forslag, der skal gennemgås.
- Gennemgå. Gå de fundne værdier igennem, ret forkerte fund, og led efter følsomme oplysninger, der er overset. Vær særligt opmærksom på kontekstuelle identifikatorer, dårlige scanninger, tabeller og inkonsekvent stavning.
- Udfør. Vælg permanent maskering eller reversibel maskering til den tiltænkte destination. Beskyt gendannelseskoblinger, når de bruges. Kontroller dokumentegenskaber og skjulte oplysninger ved siden af den synlige tekst; formatspecifikke begrænsninger har betydning.
- Del eller gendan. Gennemgå det eksporterede resultat, før du deler det. Hvis du vælger en valgfri AI-arbejdsgang, så gennemgå først det forberedte indhold og leverandørens vilkår. Gendan kun værdier i en understøttet arbejdsgang med en passende beskyttet kobling. Før registre over handlinger, der passer til dine revisionskrav.
Et maskeringscertifikat kan supplere dine registre over handlinger med hashværdier for dokumenter og oversigter over maskeringen. Det beviser ikke, at hver følsom værdi er fundet, fastslår ikke anonymisering og beviser ikke uafhængigt, at ingen kopi af et dokument er blevet gemt. Sammenhold felterne i det faktiske certifikat med dine revisionskrav.
Et lønteam kan for eksempel gennemgå et regneark med flere faner for medarbejdernavne, skatteidentifikatorer, bankoplysninger og følsomme noter. Teamet bekræfter fundene, retter oversete værdier og vælger reversibel eller permanent maskering efter behov. Før deling kontrolleres den eksporterede projektmappe, herunder formler, numeriske celler, skjulte ark, kommentarer og egenskaber. Eksemplet illustrerer en arbejdsgang og er ingen målt garanti for nøjagtighed eller behandlingstid.
6. Shadow AI: hvorfor tankeløs brug af ChatGPT bryder GDPR
Den samtale, vi oftest har med kunder, begynder sådan her: »Vi forbød ChatGPT til følsomme data. Så opdagede vi, at alle indsætter ting alligevel, fra private konti, på telefonen, efter arbejdstid.« Det er shadow AI: brug af offentlige LLM-tjenester med følsomme data, uden IT-afdelingens indsigt, ofte i bedste mening. Det er den dominerende AI-risiko i professionelle servicevirksomheder i 2026.
Shadow AI bryder GDPR på tre konkrete måder. For det første bliver LLM-leverandøren databehandler uden databehandleraftale. Artikel 28 kræver en sådan aftale, og artikel 28, stk. 3, angiver de otte klausuler, den skal indeholde, før al behandling på den dataansvarliges vegne. En bruger, der indsætter klientnavne i en privat ChatGPT-konto, skaber behandling uden aftale, uden notering i fortegnelsen over behandlingsaktiviteter (artikel 30), uden vurdering efter artikel 28 og uden dokumenteret kæde af underdatabehandlere. For det andet kan input, afhængigt af leverandørens standardindstillinger på forbrugerniveau, bruges til at træne den næste model, en uigenkaldelig videregivelse, som sletning (artikel 17) ikke kan ophæve. For det tredje krydser data EU's grænse til et datacenter i USA, uden at den dataansvarlige har foretaget nogen vurdering af overførslen efter Schrems II.
Redactics identifikation og maskering af dokumenter kører på infrastruktur i Europa, som Redactic kontrollerer, uden tredjeparters AI- eller maskinlæringsinferens på umaskeret indhold. Valgfrie AI-arbejdsgange er adskilte: fundne følsomme værdier fjernes eller erstattes, før det forberedte indhold sendes til den valgte leverandør. Gennemgå dokumentteksten, ekstra instruktioner og chatbeskeder; oversete værdier og kontekstuelle detaljer kan stadig identificere personer. Leverandør, region, opbevaring og træningsvilkår afhænger af den valgte arbejdsgang og den gældende aftale.
Det er ingen teoretisk bekymring. Samsung forbød ChatGPT og andre generative AI-værktøjer i maj 2023, efter at medarbejdere efter sigende havde indtastet virksomhedsoplysninger, herunder kildekode, i chatbotten. Italiens Garante spærrede midlertidigt ChatGPT den 30. marts 2023 på grund af artikel 6 (retsgrundlag), artikel 13 (oplysningspligt) og manglende alderskontrol; tjenesten blev genåbnet den 28. april 2023, først efter at OpenAI havde indført en alderspærre, en mulighed for at fravælge og en udtrykkelig information. Garante afgjorde derefter sagen den 20. december 2024 med en bøde på 15 millioner euro. Parallelt indledte den spanske AEPD en undersøgelse i april 2023, og Det Europæiske Databeskyttelsesråd nedsatte i april 2023 en særlig ChatGPT-arbejdsgruppe, som offentliggjorde foreløbige konklusioner i maj 2024. Cyberhavens undersøgelse fra 2023, som Cleansum citerer, fandt, at 11 % af virksomheders ChatGPT-prompter indeholdt følsomme data som lønregistre, kildekode og kundeoplysninger, uploadet indefra firewalls. AI-forordningen tilføjer fra august 2025 forpligtelser for AI til almene formål, som yderligere begrænser, hvordan forbrugertjenester med LLM kan bruges i regulerede sammenhænge. Et troværdigt svar på ChatGPT-privatliv er nu den operative forudsætning for AI-indførelse i din virksomhed.
En godkendt AI-arbejdsgang bør være praktisk for medarbejderne at bruge og understøttet af tydelige håndteringsregler. Redactic tilbyder valgfrie AI-arbejdsgange ved siden af dokumentmaskering, med dækning af fundne følsomme værdier. Vi fremsætter her ikke noget sammenlignende udsagn om hastighed: behandlingstid og gennemgangsindsats afhænger af filen, opgaven og arbejdsgangen.
Som indkøbsspørgsmål handler LLM-databeskyttelse om tre konkrete svar. (1) Har leverandøren et EU-endpoint med datalagring i EU og en tydelig liste over underdatabehandlere? (2) Er dine input undtaget fra modeltræning som standard, med en underskrevet databehandleraftale om dette? (3) Er opbevaringstiden nul eller strengt begrænset, med et revisionsspor, du kan genskabe? Alt svagere end ja på alle tre skubber efterlevelsesbyrden tilbage på din virksomhed og på juristen, revisoren eller HR-chefen, der hverken har tid eller uddannelse til at bære den. Standardindstillingerne for privatliv på forbrugerniveau i ChatGPT består ikke prøven; virksomhedsniveauerne gør, men kræver både omhyggeligt indkøb og et maskeringslag foran for at kunne forsvares.
Når du vurderer shadow AI-risikoen for din egen virksomhed, bør du behandle de statistikker, der cirkulerer, med forsigtighed: vores gennemgang af de mest gentagne shadow AI-statistikker sporer hvert tal til primærkilden og viser flere, der ikke måler det, de plejer at blive citeret for.
For at bruge AI uden at udlevere navne og identifikatorer kan Redactic forberede dine dokumenter til AI: de fundne værdier bliver til pladsholdere, og de rigtige navne kommer tilbage i din browser, når svaret ankommer.
7. Valg af maskeringsværktøj: en vurderingstjekliste med 8 punkter
Hvis du køber software til dokumentmaskering, med eller uden AI-baseret identifikation, eller afvejer et internt bygget værktøj mod et færdigt produkt, er følgende tjekliste den, vi bruger sammen med kommende kunder. Giv hvert punkt 0-2 point (nej / delvist / ja), og vægt punkterne om privatliv dobbelt. Hvis du lander under 18 af højst 32, har du en efterlevelsesrisiko; under 12 har du også en produktivitetsrisiko.
- Arkitektur uden spor. Behandler tjenesten dokumentet i hukommelsen og kasserer det med det samme? Er input krypteret i hvile i det midlertidige lager, med kort TTL, og skrives de aldrig til en vedvarende log? Hvorfor det har betydning: en gemt kopi er stadig en personoplysning; maskeringsprocessen bliver i sig selv en separat behandling, hvis input overlever forespørgslen.
- Flersproget identifikation af persondata. Håndterer modellen italiensk Codice Fiscale, fransk NIR, tysk Steuer-ID, spansk DNI/NIE, polsk PESEL med flere, eller kun engelske navne og amerikanske SSN? Hvorfor det har betydning: engelskcentrerede detektorer overser 30-50 % af de nationale identifikatorer i EU-dokumenter.
- OCR til scanninger. Kan værktøjet maskere en indscannet pdf eller et fotograferet id-kort med pixelnøjagtig overstregning? Hvorfor det har betydning: de tilfælde, der skræmmer din databeskyttelsesrådgiver mest, gamle kontrakter og fotograferede dokumenter, er netop dem, hvor et rent tekstværktøj ikke kan hjælpe.
- Understøttelse af to tilstande. Kan værktøjet ud fra samme upload give både reversibelt (pladsholder) og uigenkaldeligt (overstregning) resultat? Hvorfor det har betydning: værktøjer med kun én tilstand tvinger dig til at vedligeholde to processer.
- Manuel gennemgang. Lader brugerfladen et menneske godkende eller afvise hvert fundet afsnit, før maskeringen udføres? Hvorfor det har betydning: identifikation med fuld dækning som mål er den rigtige standard, men giver forkerte fund, der har brug for en hurtig gennemgangsvej.
- Fjernelse af metadata. Fjerner værktøjet også dokumentegenskaber (forfatter, senest ændret af, XMP, EXIF)? Hvorfor det har betydning: den hyppigste lækage i produktion er en ren brødtekst med forfatterens navn i pdf-egenskaberne.
- Revisionscertifikat. Opretter værktøjet for hvert job en kryptografisk post over det, der er behandlet, med hashværdier og antal pr. kategori men uden indhold? Hvorfor det har betydning: certifikatet er det, du viser tilsynsmyndigheden, forsikringsselskabet og klienten.
- Efterlevelsesprofil. Datalagring i EU, DPA inkluderet ved oprettelse, register over underdatabehandlere, click-wrap-samtykke med kryptografisk øjebliksbillede, rolleadskillelse (dit værktøj handler som databehandler, ikke som ansvarlig). Hvorfor det har betydning: det afgør, om værktøjet passer ind i dit eksisterende GDPR-program eller skaber nye behandlinger, som du skal styre.
Værktøjer, der leveres som Chrome-udvidelser, kan være elegante, men får dårlig karakter på (1) og (8): der står sjældent en rigtig DPA bag en gratis udvidelse. Open source som Presidio eller Piiranha får god karakter på (2), men det operative fodaftryk (ingen spor, OCR, revision, certifikat), som er størstedelen af arbejdet, ligger hos dig. Kommercielle hostede værktøjer varierer; spørgsmålet at stille er: »vis mig certifikatet fra et eksempeljob og listen over underdatabehandlere.«
At bygge eller købe bør tage højde for dokumenthåndtering, menneskelig gennemgang, validering af resultater, opbevaringskontrol, adgangsstyring, aftaledokumentation og løbende support. En prototype til identifikation er kun en del af en vedligeholdt tjeneste. Sammenlign den samlede driftsindsats med din organisations krav ved hjælp af repræsentative dokumenter.
Redactic kombinerer automatisk identifikation, dokumentbehandling og menneskelig gennemgang for at hjælpe med at finde følsomme oplysninger, også i understøttede indscannede dokumenter. Gennemgå fundne værdier, før du udfører permanent eller reversibel maskering. Dækningen afhænger af dokumentets kvalitet, sprog og kontekst; automatisering kan overse oplysninger. Prøv repræsentative filer og eksporterede resultater, før du indfører en arbejdsgang. Læs mere: DPA
Vigtige begrænsninger: eksportformater og bevaret layout afhænger af den valgte arbejdsgang. Scanninger, delvise navne, alternative stavemåder og kontekstuelle identifikatorer kan føre til oversete eller inkonsekvente fund. Kontroller disse tilfælde og den endelige eksporterede fil. Til reversibel gendannelse kan en kobling være nødvendig, og den bør beskyttes separat.
8. Ofte stillede spørgsmål
Hvad er forskellen på maskering af data og anonymisering af data?
Maskering fjerner udvalgte oplysninger fra et resultat. Reversibel maskering erstatter fundne værdier og bruger en kobling til gendannelse. Permanent maskering gør ikke automatisk resten af dokumentet anonymt: oplysninger i konteksten kan stadig identificere personer. Vurder identificerbarheden separat, før du behandler et resultat som anonymt.
Er pseudonymisering det samme som kryptering?
Nej. Kryptering kan ophæves af enhver, der har nøglen, og er en sikkerhedsforanstaltning; pseudonymisering erstatter identificerende værdier med pladsholdere og holder den omvendte kobling under strengere adgangskontrol. GDPR anerkender udtrykkeligt pseudonymisering i artikel 4, nr. 5, og artikel 32, stk. 1, litra a; krypterede persondata er stadig persondata.
Kan jeg bruge ChatGPT sikkert med maskerede dokumenter i overensstemmelse med GDPR?
Maskering kan mindske de persondata, der deles med en AI-leverandør, men gør ikke i sig selv en anvendelse lovlig. Gennemgå det forberedte indhold, herunder ekstra instruktioner, bekræft leverandørens vilkår og vurder formål, retsgrundlag og resterende kontekst. I Redactic SaaS uploades dokumenter til Redactic til behandling, før en separat valgt, valgfri AI-opgave udføres.
Virker automatisk identifikation af persondata på indscannede pdf-filer?
OCR kan hjælpe med at finde tekst i indscannede pdf-filer og billeder. Redactic understøtter arbejdsgange, der omfatter scanninger, med forbehold for format- og sprogunderstøttelse. Gennemgå sider af dårlig kvalitet og eksporterede resultater; OCR og automatisk identifikation kan overse følsomme oplysninger.
Hvor længe skal pladsholderkoblingen gemmes?
Gem en gendannelseskobling kun så længe og til det formål, som din arbejdsgang kræver, og beskyt adgangen til den. Se den gældende aftale for Redactics vilkår om midlertidig behandling og sletning. En kobling, som du selv downloader eller beholder, kræver en egen politik for håndtering og opbevaring.
Hvad er shadow AI, og hvorfor er det et GDPR-problem?
Shadow AI er brug af offentlige LLM-tjenester med følsomme data uden IT-afdelingens indsigt, oftest via private konti. Det giver behandling uden databehandleraftale (artikel 28), udokumenterede internationale overførsler (Schrems II) og risiko for, at input bruges til modeltræning. Det, der virker, er en officiel vej, som er hurtigere og sikrere end skyggevejen, for forbud bliver omgået.
Ændrer EU's AI-forordning noget i forhold til maskering?
Ja. AI-systemer med høj risiko efter bilag III (HR, rekruttering, præstationsvurdering) skal opfylde kravene til datastyring (artikel 10), risikostyring (artikel 9) og menneskeligt tilsyn (artikel 14). At pseudonymisere input, før de sendes ind i et sådant system, er den reneste måde at opfylde dataminimering efter artikel 5 i GDPR og artikel 10 i AI-forordningen på samme tid. AI-forordningen kræver ikke udtrykkeligt maskering, men gør den lettere i praksis.
Hvad er et maskeringscertifikat, og hvorfor har jeg brug for et?
Et maskeringscertifikat kan supplere dine registre over handlinger med hashværdier for dokumenter og oversigter over maskeringen. Det beviser ikke, at hver følsom værdi er fundet, fastslår ikke anonymisering og beviser ikke uafhængigt, at ingen kopi af et dokument er blevet gemt. Sammenhold felterne i det faktiske certifikat med dine revisionskrav.
Kan jeg maskere et Excel-regneark med medarbejderdata, uden at formlerne går i stykker?
Redactic understøtter arbejdsgange til maskering af regneark. Test en repræsentativ projektmappe og kontroller de eksporterede ark, formlerne, talværdierne, layoutet og egenskaberne. Gå ikke ud fra, at alle regnearksfunktioner bevares, eller at alle følsomme oplysninger er fundet.
Hvor gemmer Redactic mine data?
Dokumenter og resultater bruger midlertidig lagring til behandling på infrastruktur i Europa, som Redactic kontrollerer. Midlertidig behandling af gendannelsesdata på serversiden kan indgå. Konto-, fakturerings-, samtykke- og handlingsregistre håndteres separat. Se Redactics databehandleraftale (DPA) og privatlivsmeddelelse for vilkår om opbevaring og sletning, og bed os bekræfte profilen for din arbejdsgang. Læs mere: tillidssider
Hvis du kun læser én ting i denne guide, så læs afsnit 6 om shadow AI. Den største enkeltstående risiko i din virksomhed i 2026 er den samlede effekt af tusind små indsættelser i ChatGPT fra private konti. Svaret er en hurtigere officiel vej med korrekt maskering af data og en underskrevet DPA, fordi strengere regler bliver omgået. Byg den vej, før tilsynsmyndigheden bygger den for dig.
Vil du se, hvordan det fungerer i praksis, gennemgår Redactics forside de fire anvendelsestilstande (Maskér, Anonymisér, Brug med AI, Sikker chatbot) med en livedemo på en eksempelkontrakt. Solo-planen dækker en enkelt professionel for 19 euro om måneden; Firm-planen tilføjer den sikre AI-chat og op til halvtreds pladser for 49 euro om måneden; Enterprise er skræddersyet. DPA underskrives ved oprettelsen, og maskeringscertifikatet kan downloades fra hvert gennemført job.