Den mest almindelige fejl ved brug af AI-værktøjer på arbejdspladsen er, at medarbejdere indtaster personoplysninger i værktøjer som ChatGPT, Copilot eller lignende chatbots, uden at virksomheden ved, at dette sker. Et cv, en klientmappe eller en e-mailkorrespondance bliver hurtigt opsummeret eller omskrevet, mens ingen har undersøgt, hvor disse oplysninger efterfølgende befinder sig, hvem der kan få adgang til dem, og om der foreligger en databehandleraftale med udbyderen af værktøjet.
Det er ikke en bagatelsag. Når et værktøj behandler personoplysninger, gælder der de samme principper som for ethvert andet SaaS-program: der skal være et juridisk grundlag, behandlingen skal være registreret i behandlingsregisteret, og hvis udbyderen fungerer som databehandler, skal der være en databehandleraftale. For mange gratis AI-værktøjer mangler dette sidste punkt, eller vilkårene angiver, at input må bruges til at træne modellen. Dette varierer kraftigt fra udbyder til udbyder og fra abonnementsform til abonnementsform, og det er præcis grunden til, at forudgående kontrol er nødvendig.
Hvordan det går galt i praksis
I de fleste tilfælde opstår problemet ikke på grund af uagtsomhed, men på grund af uvidenhed. En HR-medarbejder indsætter et ansøgningsbrev i en chatbot for at forbedre en stillingsannoncer. En projektleder får en kundmail opsummeret. Ingen af dem tænker på GDPR, fordi det føles som et værktøj og ikke som en behandling af personoplysninger. Virksomheden selv har ofte intet overblik over, hvilke AI-værktøjer der bruges dagligt, langt mindre om disse værktøjer er registreret i behandlingsregisteret eller står på en godkendt softwareliste.
En anden tilbagevendende fejl er, at virksomheder, der har en AI-politik, ikke afstemmer denne politik med deres eksisterende behandlingsregister og databehandleraftaler. AI-værktøjet behandles derefter separat fra resten af GDPR-administrationen, mens det i virkeligheden drejer sig om det samme spørgsmål, som også gælder for ethvert andet SaaS-værktøj: hvem behandler hvilke oplysninger, til hvilket formål, og på hvilket grundlag. vidensbasen med forklaringer pr. emne behandler også dette spørgsmål for anden almindeligt brugt software og viser, at AI-værktøjer i praksis ikke er en undtagelse fra det system, der gælder for andre leverandører.
Hvorfor det kan dreje sig om personoplysninger, selv hvis det ikke er intentionen
GDPR opererer med et bredt begreb om personoplysninger: alle oplysninger, der kan henføres til en identificerbar fysisk person. Et navn, et kundenummer, et foto, en telefonnotis eller en kombination af oplysninger, der tilsammen gør en person identificerbar, falder hereunder. Når AI-værktøjer bruges, handler det således ikke blot om eksplicitte personoplysninger som et cv, men også om fragmenter, der er skjult i større dokumenter, såsom et navn i en vedhæftning, der kopieres med.
Datatilsynet og EDPB offentliggør retningslinjer om håndtering af AI og personoplysninger, og disse udvikler sig; hvad der i dag gælder som almindelig fortolkning, kan blive præciseret på nogle punkter. Det er en af grundene til, at en fastlåst procedure inden for virksomheden giver mere vejledning end løse aftaler pr. medarbejder.
Sådan undgår du denne fejl
Kernen i løsningen er simpel at formulere, selvom gennemførelsen kræver tid: kortlæg, hvilke AI-værktøjer der bruges i virksomheden, og fastslå for hvert værktøj, om der inputtes personoplysninger. Er det tilfældet, skal værktøjet være registreret i behandlingsregisteret, og der skal – ligesom hos andre SaaS-leverandører – kontrolleres, om udbyderen fungerer som databehandler, og om der foreligger en databehandleraftale. hvordan oplysninger beskyttes hos databehandlere giver et overblik over de relevante punkter i denne sammenhæng.
Derudover hjælper en kort, konkret instruktion til medarbeidere mere end et omfattende policydokument, som ingen læser: hvilke værktøjer er tilladt, hvilke data må og må ikke være i dem, og hvem kontakter en medarbejder, hvis han er i tvivl. Dette sidste trin er måske det vigtigste, fordi de fleste fejl ikke opstår af ond vilje, men på grund af mangel på et klart kontaktpunkt.
Hvis det allerede er sket
Hvis en stor mængde personoplysninger utilsigtet er blevet indsat i et AI-værktøj uden, at der findes en databehandleraftale for det, er det fornuftigt at vurdere, om dette kvalificeres som en begivenhed, der kræver en reaktion, for eksempel i forhold til indrapteringspligten ved databrud. få en første indikation i et par spørgsmål kan give et første holdepunkt ved denne lejlighed, uafhængigt af spørgsmålet om, hvorvidt indraptering er nødvendig i et konkret tilfælde; denne vurdering hører til datacontrolleren selv eller til en jurist.
Vil du gerne samle oversigten for dit eget firma over, hvilke værktøjer, herunder AI-applikationer, der kræver opmærksomhed? Foretag den gratis quick-scan eller læs emnerne i de hyppigt stillede spørgsmål om GDPR og software for at se, hvad din situation kræver.