Gælder GDPR også, når dit firma bruger ChatGPT eller andre AI-værktøjer?
Ja, men ikke fordi du bruger et AI-værktøj i sig selv. GDPR gælder, så snart du behandler persondata, og det kan lige så vel ske i et tekstbehandlingsprogram som i en chatbot. Det drejer sig således ikke om, hvilket værktøj du bruger, men om, hvad du putter i det, og hvad værktøjet gør dermed.
Bruger du AI kun til generelle tekster, resuméer af offentlig tilgængelige oplysninger eller programmeringshjælp uden navne, e-mailadresser eller andre oplysninger, der kan henføres til en person, berører GDPR ikke netop denne handling. Udfylder du derimod oplysninger om kunder, ansøgere eller medarbejdere, for eksempel for at få skrevet en e-mail baseret på en kundesag, behandler du persondata, og de normale regler gælder simpelthen.
Hvad er forskellen præcis
Sondringen drejer sig om indholdet af det, du udfylder, ikke om betegnelsen "AI". En installatørforretning, der får omskrevet en tilbudsbeskrivelse uden kundenavn, handler anderledes end en HR-manager, der får opsummeret et ansøgningsbrev mét navn, adresse og samtalenotater. I det første tilfælde er der intet, der kan henføres til en person. I det andet tilfælde er der det, og så tæller indholdet som en behandling.
Det samme gælder resultatet. Et AI-værktøj, der genererer en profil eller anbefaling baseret på indeholdte kundeoplysninger, behandler disse oplysninger videre. Det er relevant, fordi GDPR ikke kun ser på opbevaring af oplysninger, men på enhver handling: indsamling, udfyldelse, lad tredjepart behandle det, og brug af resultatet.
Hvem er så behandleren
De fleste AI-værktøjer, som virksomheder bruger, kører på servere hos en ekstern udbyder. Udfylder du persondata der, er udbyderen i praksis ofte en behandler: en part, der behandler oplysninger på vegne af din virksomhed. Det er den samme rolle som ved et bogholderisystem eller et CRM-system, blot er det mindre synligt ved AI-værktøjer, fordi indholdet virker som løs tekst i stedet for et struktureret datasæt.
EDPB og Datatilsynet giver opmærksomhed på dette, fordi det for brugere ofte er uklart, om og hvor længe indholdte oplysninger bevares, og om de bruges til at træne den underliggende model. Det er spørgsmål, du finder i udbyderens betingelser, og de afgør, om der kræves en behandleraftale. Er du i tvivl om, hvorvidt en aftale, du allerede har underskrevet, dækker denne type brug, kan du se den i knowledge banken vurderet ud fra GDPR-teksten.
Når det ikke vedrører dig
Bruger din virksomhed AI udelukkende til opgaver uden oplysninger, der kan henføres til personer, såsom at generere generelle marketingtekster, oversætte offentlig produktinformation eller opsummere egne interne processer uden navne, er der for netop denne anvendelse ingen behandling af persondata og derfor heller ingen yderligere forpligtelse fra GDPR. Det betyder ikke, at AI-brug generelt går fri; det betyder, at du for hver anvendelse skal se, hvad der faktisk udfyldes.
Hvad det betyder i praksis for din registrering
Så snart et AI-værktøj behandler persondata, hører den behandling ligesom enhver anden hjemme i behandlingsregisteret: hvilket formål, hvilke oplysninger, hvilken opbevaringsfrist og hvilken part, der leverer værktøjet. Mange virksomheder glemmer dette, fordi AI-brug ofte opstår ad hoc, via en løs konto fra en medarbejder, uden at det ses som et "system". Alligevel tæller det ligesom et CRM eller et lønningssystem.
Om at afgøre, om din virksomhed konkret har med dette at gøre, afhænger af, hvordan kunstig intelligens bruges inden for din organisation, og hvem der bruger det. En direktør, der selv af og til lader en tekst gennemgå uden kundedata, befinder sig anderledes i dette spørgsmål end en HR-afdeling, der lader ansøgningsdata opsummere. Ved tvivl er det ikke overflødigt at drøfte dette med en jurist eller Datatilsynet, især når følsomme data såsom sundheds- eller finansielle oplysninger er involveret.
Vil du hurtigt få overblik over, om brugen af kunstig intelligens inden for din virksomhed falder under GDPR, og hvad det indebærer? Foretag den gratis quick-scan med nogle få spørgsmål og en direkte indikation, se hvordan de underliggende kilder er opbygget via en uddybning af hvor oplysningerne kommer fra, eller læs de hyppigt stillede spørgsmål, hvis du først gerne vil se, hvordan andre iværksættere omgår dette.