Må medarbeidere pulje kundedata i et AI-værktøj?

Kundedata i AI-værktøjer kan lade sig gøre, men ikke bare sådan

At placere kundedata i et AI-værktøj er ikke forbud i sig selv, men det er faktisk en behandling af personoplysninger, der er underlagt de samme regler som ethvert andet system. Før data sendes den vej, er det relevant, hvilken retligt grundlag der eksisterer for det, om der behandles mere data end nødvendigt for formålet, og — ofte det mest kritiske punkt — hvad udbyderen af AI-værktøjet gør med det inddata. Mange almindelige AI-værktøjer bruger input - navne eller ej - til at træne eller forbedre deres egen model, og det er et andet formål end det, som kunden oprindeligt gav sine data til.

Sidstnævnte påvirker straks formålsbinding og dataminimering fra GDPR: data, der er indsamlet til kundekontakt, er ikke automatisk egnede til at blive puttet ind i et vilkårligt AI-værktøj. Hvis værktøjet behandler data på organisationens vegne, er udbyderen en databehandler, og der skal være en databehandleraftale, der fastlægger hvad der gøres og ikke gøres med dataene, hvor de opbevares, og om de bruges til træningsformål. Det er således ikke et simpelt ja-eller-nej-spørgsmål om "AI", men et spørgsmål, der varierer afhængigt af værktøj, indstilling og type kundedata — nogle AI-værktøjer tilbyder erhvervsvarianter, hvor træning på inddata eksplicit er deaktiveret, andre ikke.

Hvor dette stammer fra: artikel 5 og 6 GDPR

At der skal være et retligt grundlag for enhver behandling, følger af artikel 6 i GDPR, og at data ikke må bruges til mere end det formål, de blev indsamlet til, og ikke mere end nødvendigt, følger af principperne om formålsbinding og dataminimering i artikel 5 i GDPR. Det Europæiske Datatilsynsråd udgiver retningslinjer, der specifikt behandler behandlingen af personoplysninger i AI-systemer, og de giver yderligere vejledning til spørgsmål som træning på inddata og udbyderens rolle som databehandler.