Ud for AVG gælder der en anden europæisk lov, der gradvist bliver obligatorisk: AI-forordningen, også kaldet AI Act. Denne lov regulerer ikke privatlivets fred i sig selv, men brugen af kunstig intelligens, og berører derfor netop de værktøjer, som mange små og mellemstore virksomheder nu dagligt bruger: en chatbot til kundekontakt, en cv-scanner ved rekruttering, eller software, der analyserer kamerabilleder. For virksomheder, der anvender sådanne værktøjer, kommer der dette år og de kommende år trinvist nye forpligtelser på toppen af det, som AVG allerede kræver.
Om dette er relevant for din virksomhed, afhænger af, hvad AI-anvendelsen præcis gør, og hvilke oplysninger den arbejder med. Bruger du AI kun til at skrive tekster eller til at planlægge kalendere, ændres der sandsynligvis ikke meget for dig. Bruger du AI til at understøtte beslutninger om mennesker — at vælge ansøgere, at vurdere personalet, at inddele kunder i risikokategorier — er sandsynligheden større for, at de nye regler påvirker dig, og at de sammen med AVG ser på den samme behandling af personoplysninger.
Hvad der ændres dette år
AI-forordningen trådte ikke i kraft på én gang. Loven har forskellige datoer for, hvornår forskellige dele bliver obligatoriske, spredt over flere år. Der gælder således strengere regler for AI-systemer, der klassificeres som højrisiko, og der er særskilte forpligtelser for leverandører af generelle AI-modeller. Hvilken dato der gælder for hvilken del, står i forordningen selv; fordi dette er en trinvis proces, anbefaler vi dig at konsultere den officielle tekst for de præcise datoer, der gælder for din situation, i stedet for at stole på et resumé.
Det, der står fast, er retningen: jo mere en AI-anvendelse påvirker mennesker — ved rekruttering, vurdering, adgang til tjenester — jo strengere bliver kravene. Det stemmer overens med, hvordan AVG allerede længe har set på automatiseret beslutningstagning, men AI-forordningen tilføjer egne forpligtelser, såsom krav til dokumentation, transparens over for den registrerede og i visse tilfælde en obligatorisk vurdering, før systemet tages i brug.
For hvem dette medfører ændringer
Forordningen skelner mellem roller: den, der udvikler eller markedsfører et AI-system, har andre forpligtelser end den, der blot bruger det som virksomhed. De fleste små og mellemstore virksomheder falder ind under anden kategori, som bruger af et værktøj, der er bygget af en softwareleverandør. Selv da gælder der forpligtelser, selvom disse typisk er mindre byrdefulde end for systemets skaber. Tænk på at informere medarbejdere eller kunder om, at der bruges AI, og på at vurdere, om brugen ligger inden for lovens grænser.
HR-afdelinger, der bruger AI ved rekruttering eller vurdering, og virksomheder, der lader software analysere kamerabilleder, gør klogt i nu at inventarisere, hvilke værktøjer det præcis er, og hvad de gør med oplysningerne. Det er den samme inventarisering, som AVG allerede kræver til behandlingsoversigten, og disse to linjer — AVG og AI-forordningen — løber i praksis ofte sammen.
Hvad dette betyder ved siden af AVG
AI-forordningen erstattet ikke AVG og gør den heller ikke overflødig. Hvis et AI-værktøj behandler personoplysninger, gælder AVG stadig for denne behandling, herunder kravet om retligt grundlag, informationspligten over for den registrerede og, hvor det er relevant, en databehandleraftale med leverandøren af værktøjet. AI-forordningen kommer i visse tilfælde oven i det, med egne krav, der specifikt handler om AI-systemet, uafhængigt af spørgsmålet om, hvorvidt der er personoplysninger involveret.
Hvis der går noget galt med personoplysninger ved brugen af et AI-værktøj — en chatbot, der ved et uheld deler kundeoplysninger med den forkerte person, eller et system, der gemmer oplysninger usikkert — gælder indrapporteringspligten fra AVG uformindsket. Hvis du er usikker på, om en hændelse med et AI-værktøj falder under denne indrapporteringspligt, kan du vise med et par spørgsmål, om der er tale om en indberetningspligtig databrud.
Hvad du allerede kan gøre nu
Uden at vente på hver enkelt dato kan du nu allerede kortlægge, hvilke AI-værktøjer der bruges i din virksomhed, hvad de bruges til, og om der behandles personoplysninger i forbindelse hermed. DetInventar er også grundlaget for det register over behandlingsaktiviteter, som GDPR'en allerede kræver, og du kan løse disse to formål — GDPR-register og AI-oversigt — på én gang. Gdpria.eu vedligeholder i videnbanken pr. emne hvad der foregår omkring AI og privatlivsbeskyttelse, med henvisningen til den officielle tekst, så du selv kan tjekke, hvad der gælder for din situation.
Hvis du har spørgsmål om, hvordan AI-brug forholder sig til dine eksisterende GDPR-forpligtelser, finder du en række svar på ofte stillede spørgsmål. For at få svar på, hvordan vi får vores oplysninger, og hvorfor de bevidst bliver ved kilden, kan du læse det på siden hvor oplysningerne kommer fra.
Om og hvordan disse regler præcist gælder for din virksomhed, er noget, som du bedst kan få vurderet af en jurist, eller hvis du er i tvivl om GDPR-siden af det, kan spørge Datatilsynet. Hvis du først gerne vil få et billede af, hvor du står, kan du gøre den gratis quick-scan uden forpligtelse eller gennemgå emnerne i videnbanken.