OpenAI og ChatGPT Enterprise i EU: hvad data residency dækker

OpenAI har udbygget sit EU-tilbud markant de seneste år, men data residency er ujævnt fordelt over produktkataloget, og den dækker mindre end mange tror. Her er hvad der gælder i 2026, og de fælder der er dyrest at opdage sent.

Produktniveauerne: Hvem kan få data residency i EU

Data residency er ikke en indstilling der slås til bagefter. Det er en egenskab ved bestemte produktniveauer, og kun for nye miljøer:

Mønstret er tydeligt: Forbruger- og mellemniveauerne har slet ingen mulighed for data residency. For organisationer med GDPR-krav er det en Enterprise-tenant eller API-platformens Europe-region der gælder. Alt andet betyder behandling i USA. Tjek samtidig hvilken licensform I faktisk har: Mange organisationer tror at de har Enterprise, men sidder med Business.

Hvad data residency dækker, og hvad den ikke dækker

På nye EU-tenants dækker data residency datalagring og siden januar 2026 også GPU-inferensen: Selve modelkørslen sker da i regionen. Det var et vigtigt skridt, for lagring uden inferens er et halvt løfte.

Men alt det omkringliggende følger ikke automatisk med. Autentificering, routing, indeksering og analyse kan ligge uden for regionen, og visse endpoints er undtaget fra data residency. “Vi har data residency i EU hos OpenAI” er derfor en for grov opsummering til en konsekvensanalyse (DPIA). Verificér pr. endpoint hvilke dele af jeres flow der er omfattet, og få det skriftligt for præcis de funktioner I bruger.

En praktisk arbejdsmetode er at liste alle flowets kald (chat, filupload, søgning, embeddings) og markere pr. linje hvad leverandøren skriftligt har bekræftet. Linjerne uden bekræftelse er jeres faktiske risikoflade, og listen er desuden præcis det en auditor vil se.

Migreringsfælden: Intet følger med

Den mest almindelige fejlantagelse i praksis: Eksisterende konti, projekter og API-nøgler kan ikke konverteres til data residency i EU. Data residency fastlægges når miljøet oprettes.

Et eksempel. En virksomhed har kørt ChatGPT Business siden 2024 og bygget to API-integrationer til sine interne systemer. Når compliance kræver data residency i EU, er det ikke nok at opgradere: Det kræver henholdsvis en ny Enterprise-tenant og nye EU-projekter med nye API-nøgler. Historikken følger ikke med, men bliver i USA, og integrationerne skal flyttes over til de nye projekter. Den rigtige måde at håndtere det på er som en migrering med egen tidsplan, testfase og kommunikation, ikke som et kryds i en bestilling. Benyt samtidig lejligheden til at rydde op: En flytning er det rette tidspunkt til at kortlægge hvilke integrationer der faktisk bruges, og hvilke prompts der unødigt indeholder personoplysninger.

Overvågningsniveauet er en del af pakken

Data residency i EU på API-platformen forudsætter desuden at jeres organisation godkendes til et af to overvågningsniveauer: Modified Abuse Monitoring, hvor misbrugsdetektionen sker uden at jeres prompts gemmes til gennemgang, eller zero data retention (ZDR), hvor prompts og svar slet ikke gemmes efter kørslen.

Begge kræver godkendelse via OpenAIs salgsorganisation. Regn ansøgningsprocessen med i projektets tidsplan, og dokumentér udfaldet (hvilket niveau I har fået, for hvilke endpoints, pr. hvilken dato) i jeres dokumentation af underdatabehandlere og behandlingsaktiviteter.

Bemærk at overvågningsniveauet påvirker mere end det juridiske: Med zero data retention forsvinder leverandørens logs som støtte til fejlsøgning, så jeres egen logning skal bære hele sporbarheden.

Retsstillingen og priserne bevæger sig

To bevægelige dele mere. EU-regionen har haft et pristillæg sammenlignet med global drift, og niveauerne justeres, så regn altid på den aktuelle prisliste før en beslutning. Og den meget omtalte amerikanske domstolsafgørelse der pålagde OpenAI at bevare brugerlogs, har fået en vigtig afgrænsning: EØS-data er undtaget fra bevaringspålægget. Retsstillingen udvikler sig dog løbende, så gør opfølgningen til et fast punkt snarere end en engangskontrol.

Opsummeringen: OpenAI i EU er fuldt ud muligt i 2026, men kun på det rette produktniveau, i et nyt miljø og med verifikation pr. endpoint. Bygger I en løsning hvor vejvalget betyder noget, hjælper vi hos Weapp gerne med at afveje alternativerne, fra AI-strategi til færdig integration. Kontakt os hvis du vil tage spørgsmålet videre.