AI og GDPR: det skal I have styr på først

Første spørgsmål: er der personoplysninger med?

Databeskyttelsesforordningen gælder, når I behandler oplysninger om mennesker, der kan identificeres. Navne, mailadresser, telefonnumre, kundenumre, optagelser af samtaler og fritekst, hvor der står noget om en person. Skal løsningen kun arbejde med produktdata eller anonyme tal, ser billedet anderledes og noget enklere ud.

Kig en ekstra gang på fritekstfelter og vedhæftede filer. Det er dér, personoplysninger plejer at gemme sig, også i systemer man ikke tænker på som personregistre.

Hvad giver jer lov til at bruge dem?

Enhver behandling skal have et grundlag, typisk en aftale med den registrerede, en retlig forpligtelse, en legitim interesse eller et samtykke. Det væsentlige i et AI-projekt er, at grundlaget følger formålet. Har I indsamlet oplysninger for at levere en ydelse, kan de samme oplysninger ikke uden videre bruges til at træne en model til noget andet.

Er der følsomme oplysninger med, for eksempel om helbred eller fagforeningsforhold, gælder der skærpede krav. Hent juridisk hjælp, før løsningen designes, ikke bagefter.

Hvem er ansvarlig for hvad?

I er som regel dataansvarlige for jeres egne kunders oplysninger. Den leverandør, der driver systemet for jer, er databehandler, og forholdet skal beskrives i en databehandleraftale. Bruger leverandøren selv underleverandører, for eksempel en modeludbyder eller et hostingfirma, skal de fremgå, og I skal kunne se, hvor de behandler data.

Det er et rimeligt krav at stille, at listen findes og er opdateret. Kan den ikke fremvises, ved I noget om, hvordan der bliver arbejdet.

Hvor ender data henne?

Mange AI-modeller drives af virksomheder uden for EU. Overførsel til lande uden for EU og EØS kræver et overførselsgrundlag, i praksis oftest EU-Kommissionens standardkontraktbestemmelser eller en tilstrækkelighedsafgørelse. Der findes også modeller, der kan køre på servere i EU, og til nogle opgaver kan en model køre på jeres egen infrastruktur.

Spørg konkret: hvilke data forlader huset, hvem modtager dem, hvor står maskinerne, og bliver vores data brugt til at træne leverandørens modeller? Det sidste kan ofte fravælges i en erhvervsaftale, men det skal stå skriftligt.

Fortæl folk hvad der sker

Oplysningspligten gælder også, når det er en model, der læser med. Står der i jeres privatlivspolitik, at henvendelser behandles manuelt, skal teksten opdateres. AI-forordningen stiller desuden krav om, at man får det at vide, når man taler med et AI-system, og at AI-genereret indhold kan kendes som sådan. Kravene indfases i etaper, så undersøg hvad der gælder på det tidspunkt, I går i luften.

Automatiske afgørelser

Skal systemet træffe en afgørelse om et menneske, helt uden at nogen kigger med, gælder der særlige regler. Den enkleste vej udenom er som regel også den fagligt bedste: lad modellen forberede, og lad et menneske beslutte. Det giver samtidig det kontroltrin, der gør resten af løsningen til at stole på.

Det praktiske minimum, før I går i gang

• Skriv ned hvilke personoplysninger løsningen rører ved, og hvorfor.
• Find eller opdatér fortegnelsen over behandlingsaktiviteter.
• Få databehandleraftalen på plads med leverandøren, med underleverandører angivet.
• Beslut hvor længe data skal gemmes, og hvad der sletter dem igen.
• Ret privatlivspolitikken, så den beskriver det, der faktisk sker.
• Overvej om projektet kræver en konsekvensanalyse. Er I i tvivl, så spørg en jurist eller se Datatilsynets vejledninger.

Ingen af punkterne kræver, at I er færdige med at vælge teknologi. Tværtimod. Listen er nemmere at lave, mens løsningen stadig kan formes, og den ændrer ofte designet til det bedre. Forberedelsen af selve datagrundlaget har vi beskrevet i Sådan forbereder I jeres data før et AI-projekt.