Gäller GDPR även när ditt företag använder ChatGPT eller andra AI-verktyg?
Ja, men inte för att du använder ett AI-verktyg i sig. GDPR gäller så snart du behandlar personuppgifter, och det kan hända lika gärna i en ordbehandlare som i en chatbot. Det handlar alltså inte om vilket verktyg du använder, utan om vad du matar in i det och vad verktyget gör med det.
Använder du AI endast för allmän text, sammanfattningar av allmän information eller programmeringshjälp utan namn, e-postadresser eller andra identifierbara uppgifter, då rör GDPR inte den specifika åtgärden. Matar du in uppgifter om kunder, sökande eller anställda, till exempel för att låta ett e-postmeddelande skrivas baserat på ett kunddossier, då behandlar du personuppgifter och de vanliga reglerna gäller helt enkelt.
Vad är skillnaden exakt
Skillnaden beror på innehållet i det du matar in, inte på etiketten "AI". Ett installationsföretag som låter en offertbeskrivning omskrivas utan kundnamn fungerar annorlunda än en HR-chef som låter ett motivationsbrev sammanfattas med namn, adress och samtalsanteckningar. I det första fallet finns det ingenting som kan spåras till en person. I det andra fallet gör det det, och då räknas inmatningen som en behandling.
Detsamma gäller för resultatet. Ett AI-verktyg som genererar en profil eller rekommendation baserat på inmatade kunduppgifter behandlar dessa uppgifter vidare. Det är relevant eftersom GDPR inte bara tittar på lagring av uppgifter, utan på varje åtgärd: insamling, inmatning, att låta en tredje part behandla det och användningen av resultatet.
Vem är då behandlaren
De flesta AI-verktyg som företag använder körs på servrar hos en extern leverantör. Matar du in personuppgifter där, är leverantören i praktiken ofta en behandlare: en part som behandlar uppgifter på uppdrag av ditt företag. Det är samma typ av aktör som för ett bokföringssystem eller ett CRM-system, bara är det mindre synligt med AI-verktyg eftersom inmatningen verkar vara löst text istället för en strukturerad databas.
Europeiska dataskyddsbyrån och Datainspektionen ägnar uppmärksamhet åt detta eftersom det ofta är oklart för användare om och hur länge inmatade uppgifter sparas, och om de används för att träna den underliggande modellen. Det är frågor som du hittar i leverantörens villkor, och de avgör om ett databehandlingsavtal är nödvändigt. Om du är osäker på om ett avtal som du redan har undertecknat täcker denna typ av användning, kan du låta det granskas i kunskapsbasen enligt GDPR-texten.
När det inte gäller dig
Om ditt företag använder AI enbart för uppgifter utan identifierbara uppgifter, som att generera allmän marknadsföringstext, översätta offentlig produktinformation eller sammanfatta egna interna processer utan namn, då finns det ingen behandling av personuppgifter för denna specifika tillämpning och därför heller ingen ytterligare skyldighet enligt GDPR. Det betyder inte att AI-användning i allmänhet är undantagen; det betyder att du måste granska per tillämpning vad som faktiskt matas in.
Vad detta betyder i praktiken för din registrering
Så snart ett AI-verktyg behandlar personuppgifter hör denna behandling hemma i behandlingsregistret som vilken annan som helst: vilket syfte, vilka uppgifter, vilken lagringsperiod och vilken part som tillhandahåller verktyget. Många företag glömmer detta eftersom AI-användning ofta uppstår ad hoc, via ett separat konto från en anställd, utan att det ses som ett "system". Men det räknas lika mycket som ett CRM eller ett lönesystem.
Huruvida ditt företag konkret har med detta att göra beror på hur AI används inom din organisation och av vem. En verkställande direktör som emellanåt låter kontrollera en text utan kunduppgifter står i en annan situation än en HR-avdelning som låter sammanfatta ansökningsuppgifter. Om du är osäker är det inget onödigt steg att diskutera detta med en jurist eller Datainspektionen, särskilt när känsliga uppgifter såsom hälso- eller finansiell information är inblandad.
Vill du snabbt få klarhet i om AI-användningen inom ditt företag faller under GDPR och vad det innebär? Gör den kostnadsfria snabbkontroll med några frågor och en direktindikation, se hur de underliggande källorna är uppbyggda via en förklaring till var informationen kommer från, eller läs de vanliga frågorna om du först vill se hur andra företagare hanterar det.