Får medarbetare mata in kunduppgifter i ett AI-verktyg?

Kunddata i AI-verktyg kan, men inte bara så där

Att lagra kunddata i ett AI-verktyg är inte på förhand förbjudet, men det är en behandling av personuppgifter som omfattas av samma regler som alla andra system. Innan uppgifter skickas dit är det relevant vilken rättslig grund som finns för behandlingen, om det rör sig om mer uppgifter än vad som är nödvändigt för ändamålet, och — ofta den skarpaste punkten — vad leverantören av AI-verktyget gör med dessa inmatade uppgifter. Många allmänna AI-verktyg använder inmatade uppgifter – oavsett om det är namnuppgifter eller ej – för att träna eller förbättra sina egna modeller, vilket är ett annat ändamål än det för vilket kunden ursprungligen tillhandahöll sina uppgifter.

Det senare strider omedelbar mot ändamålsbegränsningen och minimering av personuppgifter enligt GDPR: uppgifter som samlats in för kundkontakt blir inte automatiskt lämpliga att mata in i ett godtyckligt AI-verktyg. Om verktyget behandlar uppgifterna på uppdrag av organisationen är leverantören en personuppgiftsbiträde, och då ska det finnas ett personuppgiftsbiträdesavtal som fastslår vad som får och inte får göras med uppgifterna, var de lagras, och om de används för träningsändamål. Det är alltså ingen enkel ja-eller-nej-fråga om "AI", utan en fråga som skiljer sig åt beroende på verktyget, inställningen och typen av kunduppgift — vissa AI-verktyg erbjuder affärsversioner där träning på inmatade uppgifter är uttryckligt inaktiverat, andra gör det inte.

Vad detta följer från: artikel 5 och 6 GDPR

Att det krävs en rättslig grund för varje behandling följer av artikel 6 i GDPR, och att uppgifter inte får användas vidare än ändamålet för vilket de samlades in, och inte mer än vad som är nödvändigt, följer av principerna om ändamålsbegränsning och minimering av personuppgifter i artikel 5 i GDPR. Europeiska datatillsynsmyndighetens styrelse publicerar riktlinjer som specifikt behandlar hantering av personuppgifter i AI-system, och dessa ger ytterligare vägledning vid frågor som träning på inmatade uppgifter och leverantörens roll som personuppgiftsbiträde.