Claude Enterprise: GDPR, DPA og EU-dataresidens

"Er Claude Enterprise mere GDPR-compliant end Team?"

Det er et rimeligt spørgsmål. Og svaret er: nej - men det er det forkerte spørgsmål. Begge planer har databehandleraftale. Begge lever op til det juridiske minimumskrav. Enterprise-spørgsmålet handler ikke om compliance som sådan. Det handler om governance og kontrol - og om hvem i organisationen der har behov for begge dele.

Lad mig gøre det konkret. Har I fem til tyve brugere, en standard AI-arbejdsgang og ikke noget særligt sikkerhedskrav? Så er Claude Team sandsynligvis nok. Skal I have SSO, central adgangsstyring, audit-logs til jeres ISMS eller mulighed for Zero Data Retention? Så er Enterprise den rigtige snak. Og ét emne fortjener særlig opmærksomhed: EU-dataresidens. For her er der en udbredt misforståelse, der kan koste dyrt.

Hvad Enterprise giver ud over Team

Enterprise er Anthropics governance-tier. Ud over alt hvad Team indeholder, tilføjer den en række funktioner, der typisk kræver en aftale med Anthropics salgsteam.

SSO med SCIM-provisionering. Single Sign-On integrerer Claude med jeres eksisterende identity provider - Okta, Azure AD, Entra ID og lignende. SCIM-protokollen betyder, at brugeroprettelse og -sletning sker automatisk, når I provisionerer eller deprovisionerer en bruger i jeres directory. Det er den store forskel fra Team, der understøtter SSO, men ikke nødvendigvis med fuld SCIM. Resultatet: I har ét autoritativt sted for adgangsstyring, og ingen brugere hænger på en gammel konto, fordi HR glemte at melde af.

Audit-logs. Enterprise giver adgang til audit-logs, der registrerer hvem der har gjort hvad i Claude - logins, API-kald, session-data. Det er afgørende for jeres fortegnelse over behandlingsaktiviteter (GDPR artikel 30), for intern sikkerhedsovervågning og for eventuelle tilsynsforespørgsler. Logging er ikke luksus i en reguleret kontekst - det er dokumentation.

Custom system prompts på organisationsniveau. Administrators kan sætte globale instruktioner, som gælder for alle brugeres sessioner. Det er nyttigt for at indlejre compliance-krav i brugen: "Behandl ikke personoplysninger om kunder i denne chat uden et dokumenteret grundlag." Det er ikke et teknisk lock på data-inputtet, men det hjælper med at gøre politikkerne synlige og konsekvente.

Custom data retention. Standardretentionen på API er syv dage. Med Enterprise kan I aftale en anden retention-periode, der passer til jeres egne sletningspolitikker. Det kan betyde kortere opbevaring - og i sammenhæng med Zero Data Retention kan det betyde ingen systematisk opbevaring overhovedet.

Compliance API. Giver adgang til compliance-relaterede rapporter og data via API - relevant for integrationer med jeres GRC-system (Governance, Risk and Compliance) eller til automatiseret compliance-dokumentation.

Zero Data Retention (ZDR) - som tilvalg. Det er måske Enterprise-features mest misforståede element. Se næste afsnit.

Zero Data Retention (ZDR): hvad det faktisk er

ZDR er ikke en knap, du selv skruer på i Enterprise-dashboardet. Det er en aftale, du indgår med Anthropics salgsteam som en del af din Enterprise-kontrakt. Det er heller ikke universel dækning: ZDR gælder primært på API-niveau - altså for tekniske integrationer og Claude Code på Enterprise. Det er ikke automatisk gældende for al claude.ai-chat, medmindre det er eksplicit aftalt.

Hvorfor er det relevant for jeres compliance? Fordi ZDR reducerer den data-at-rest-risiko, der kan være svær at dokumentere ellers. Standard API-retention er syv dage; med ZDR er der ingen systematisk opbevaring. Det forenkler også risikovurderingen efter GDPR artikel 32: færre data gemt = færre data at sikre.

Men ZDR er ikke et erstatningsargument for de andre due-diligence-trin. I skal stadig have et lovligt behandlingsgrundlag, styr på overførslen til USA og - måske vigtigst - en klar stillingtagen til EU-dataresidens.

Pris: hvad koster Enterprise?

Prisen er forhandlet og sælger-assisteret - der er ingen fast pris i selvbetjening, og det er med vilje. Strukturen er typisk et pladsgebyr kombineret med API-forbrug, der afregnes til Anthropics standard API-takster. Minimum-antal pladser varierer.

Opfind ikke tal her, og stol ikke på uofficielle kvoter. Tjek aktuelle priser på claude.com/pricing eller kontakt Anthropic direkte.

EU-dataresidens: det Enterprise IKKE løser

Her er den vigtigste pointe i denne artikel. Og den overrasker mange.

Claude Enterprise inkluderer ikke garanteret EU-dataresidens. Som udgangspunkt behandles dine data på USA-baseret infrastruktur, uanset om du kører Team eller Enterprise. Overførslen dækkes i Anthropics databehandleraftale af EU's standardkontraktbestemmelser (SCC'er) - Modul 2 (dataansvarlig til databehandler) og Modul 3 (databehandler til databehandler) - som lovliggør overførslen efter GDPR kapitel V og artikel 44.

SCC'er er et gyldigt overførselsgrundlag for langt de fleste danske virksomheder. Men det er ikke det samme som, at data forbliver i EU. Det er en juridisk ramme for en overførsel - ikke et dataresidenskrav.

Har I et hårdt krav om, at data ikke forlader EU - fordi I er i en reguleret sektor som finans eller sundhed, eller fordi en offentlig kontrakt forlanger det - så løser Enterprise ikke det problem. Den eneste arkitektonisk bekræftede vej til garanteret EU-dataresidens er at køre Claude via:

• AWS Bedrock i en EU-region (Frankfurt eu-central-1, Irland, Paris, Stockholm), eller
• Google Vertex AI i en EU-region

Begge er separate cloud-opsætninger uden for Claude Enterprise-aftalen. I kontrakter med Anthropic direkte, men med AWS eller Google som cloud-udbyder og regionsvælger. Det er en anden teknisk og juridisk model - men det er, hvad residenskravet kræver. Detaljerne ligger i guiden til Claude med EU-dataresidens via AWS Bedrock.

Anthropic vedligeholder en regional compliance-side på claude.com/regional-compliance - tjek den for de seneste muligheder på deployment-tidspunktet.

Team vs. Enterprise: hvornår skifter man?

Claude Team vs. Enterprise - governance-overblik

Feature	Team	Enterprise
Databehandleraftale (DPA)	Ja, automatisk	Ja, automatisk
SSO (SAML/OIDC)	Ja	Ja, med SCIM-provisionering
Audit-logs	Begrænset	Udvidet
Custom system prompts (org-niveau)	Nej	Ja
Custom data retention	Nej	Ja (aftales)
Compliance API	Nej	Ja
Zero Data Retention (ZDR)	Nej	Ja (aftales særskilt med salg)
EU-dataresidens (garanteret)	Nej	Nej
Min. brugere (selvbetjening)	5	Ca. 20+ (varierer)
Pris	Ca. 20-25 USD/plads/md (standardniveau)	Forhandlet/sælger-assisteret

Kilde: Anthropic dokumentation og Commercial Terms, verificeret juni 2026. Tjek aktuelle priser på claude.com/pricing.

Enterprise og EU AI Act: bedre dokumentation, ikke lavere risiko

Enterprise-features hjælper med EU AI Act artikel 4 om AI-kompetencer, der har krævet, at medarbejdere bruger AI forsvarligt, siden 2. februar 2025. Audit-logs og central styring giver bedre dokumentationsgrundlag end Team. Custom system prompts kan hjælpe med at indlejre compliance-krav direkte i brugerfladen.

Men husk: Enterprise ændrer ikke på, om en konkret brug af Claude er højrisiko under AI Act. Bruger I Claude til CV-screening, kreditvurdering eller lignende, er den brug stadig potentielt højrisiko - uanset hvilken plan I kører på. Det er den funktionelle brug, der afgør risikoniveauet, ikke tier-valget. Enterprise giver bedre governance-infrastruktur. Den erstatter ikke den substantielle vurdering af, hvad I bruger Claude til.

Overførslen til USA - kort opsummeret

Uanset om I kører Team eller Enterprise kræver brugen af Anthropics egne produkter, at I har taget stilling til overførslen. Det har Anthropic løst via SCC'erne i databehandleraftalen. Men det er en god praksis at lave en transfer impact assessment (TIA) for høj-risiko-brug, og at notere SCC-grundlaget i jeres fortegnelse (GDPR artikel 30).

Anthropic støtter sig på SCC'er som overførselsgrundlag. Undersøg selv, om DPF-certificering (EU-US Data Privacy Framework) er relevant og tilgængeligt på jeres deployment-tidspunkt - det er ikke noget, vi kan fastslå her, og tjek hos Datatilsynet eller din juridiske rådgiver for aktuel status.

FAQ

Kilder og retsgrundlag

• Anthropic: databehandleraftale (DPA) · underdatabehandlere · Trust Center (certificeringer) · Commercial Terms · Regional Compliance
• EU-ret: GDPR artikel 28 (databehandleraftale) · GDPR artikel 30 (fortegnelse) · GDPR artikel 32 (sikkerhed) · GDPR kapitel V / artikel 44 (overførsler) · GDPR artikel 46 (fornødne garantier) · SCC-afgørelse (EU) 2021/914 · EU AI Act artikel 4 (AI-kompetencer)
• Danmark: Datatilsynet om kunstig intelligens

Dette er generel information, ikke juridisk rådgivning til en konkret implementering.

Ofte stillede spørgsmål

01Er Claude Enterprise mere GDPR-compliant end Claude Team?–

Nej, ikke i den forstand. Begge planer kører på Anthropics Commercial Terms og inkluderer en automatisk databehandleraftale. Enterprise giver dig bedre governance-værktøjer - SSO, audit-logs, central styring og mulighed for Zero Data Retention - men selve det juridiske grundlag er det samme. Det er kontrolniveauet, der er forskelligt.

02Hvad er Zero Data Retention (ZDR), og er det standard på Enterprise?+

ZDR er en aftale, hvor input og output ikke opbevares 'at rest' efter svaret er leveret - ud over en minimal misbrugs-screening. Det er ikke en standard Enterprise-feature du aktiverer selv. Det skal aftales særskilt med Anthropics salgsteam og gælder primært på API-niveau. Selvbetjening er ikke en mulighed.

03Inkluderer Claude Enterprise EU-dataresidens?+

Nej. Claude Enterprise behandler som udgangspunkt data på USA-baseret infrastruktur, og overførslen dækkes af SCC'er (Modul 2 og 3) i databehandleraftalen. Vil du have garanteret EU-dataresidens, kører du Claude via AWS Bedrock eller Google Vertex AI i en EU-region - det er en separat cloud-opsætning.

04Hvad koster Claude Enterprise?+

Prisen er forhandlet og sælger-assisteret - der er ingen fast pris i selvbetjening. Strukturen er typisk et pladsgebyr plus API-forbrug afregnet til standardtakster. Tjek claude.com/pricing eller kontakt Anthropic direkte for aktuelle tal.

05Hvornår skal vi vælge Enterprise frem for Team?+

Enterprise giver mening, når I har behov for mindst ét af disse: SSO med SCIM-provisionering, audit-logs til compliance-dokumentation, custom system prompts på organisationsniveau, skræddersyet dataretention, Compliance API eller Zero Data Retention. Er de behov ikke til stede, er Team typisk tilstrækkeligt.