Det vanligaste misstaget när man använder AI-verktyg på arbetsplatsen är att medarbetare matar in personuppgifter i ett verktyg som ChatGPT, Copilot eller en liknande chattbot, utan att företaget vet att detta sker. Ett cv, en kundjournal eller en e-postkörrespondens sammanfattas eller omskrivs snabbt, medan ingen har kontrollerat var uppgifterna därefter hamnar, vem som kan se dem och om det finns ett databehandlaravtal med verktygets leverantör.
Det är ingen mindre detalj. Så snart ett verktyg behandlar personuppgifter gäller samma utgångspunkter som för alla andra SaaS-tillämpningar: det måste finnas en rättslig grund, behandlingen ska föras in i behandlingsregistret, och om leverantören agerar som databehandlare ska det finnas ett databehandlaravtal. Vid många kostnadsfria AI-verktyg fattas det senare, eller anges det i villkoren att inmatad data får användas för att träna modellen. Detta skiljer sig kraftigt mellan leverantörer och prenumerationsformer, och är precis därför förhandskontroll är nödvändig.
Hur detta går fel i praktiken
I de flesta fall uppstår problemet inte på grund av vårdslöshet utan på grund av ovetskap. En personalmedarbetare klistrar in ett ansökningsbrev i en chattbot för att förbättra en jobbannons. En projektledare låter ett kundmail sammanfattas. Ingen av dem tänker på GDPR, för det känns som ett hjälpmedel och inte som behandling av personuppgifter. Själva företaget har ofta ingen överblick över vilka AI-verktyg som används dagligen, än mindre om dessa verktyg finns i behandlingsregistret eller på någon lista över godkänd programvara.
Ett andra återkommande misstag är att företag som faktiskt har en AI-policy inte anpassar denna policy till sitt befintliga behandlingsregister och databehandlaravtal. AI-verktyget behandlas då skilt från resten av GDPR-administrationen, medan det i själva verket handlar om samma fråga som också uppstår för alla andra SaaS-verktyg: vem behandlar vilka uppgifter, för vilket syfte och på vilken grund. kunskapsbasen med förklaringar per ämne behandlar också denna fråga för andra vanligt använd programvara och visar att AI-verktyg i praktiken inte är något undantag från den systematik som redan gäller för andra leverantörer.
Varför det kan handla om personuppgifter, även om det inte är avsikten
GDPR använder ett brett begrepp för personuppgifter: all information som kan hänföras till en identifierad eller identifierbar fysisk person. Ett namn, ett kundnummer, ett foto, en telefonanteckning eller en kombination av uppgifter som tillsammans identifierar någon faller inom detta. Vid användning av AI-verktyg handlar det alltså inte bara om explicita personuppgifter såsom ett cv, utan också om fragment som är gömd i ett större dokument, såsom ett namn i en bilaga som kopieras med.
Datainspektionen och EDPB publicerar riktlinjer om hantering av AI och personuppgifter, och dessa utvecklas; vad som är gängse tolkning idag kan preciseras på vissa punkter. Det är en av anledningarna till varför en fast procedur inom företaget ger mer vägledning än lösa överenskommelser per medarbetare.
Hur du undviker detta misstag
Lösningens kärna är enkel att formulera, även om genomförandet tar tid: kartlägg vilka AI-verktyg som används inom företaget och fastställ för varje verktyg om personuppgifter matas in. Om så är fallet ska verktyget ingå i behandlingsregistret och det ska granskas, liksom för andra SaaS-leverantörer, om leverantören agerar som databehandlare och om ett databehandlaravtal är tillgängligt. hur uppgifter hos databehandlare skyddas ger en bild av de relevanta punkterna i det avseendet.
Dessutom hjälper en kort, konkret instruktion till de anställda mer än ett omfattande policydokument som ingen läser: vilka verktyg som är tillåtna, vilka uppgifter som får och inte får finnas i dem, och vem en anställd kontaktar om han eller hon är osäker. Det sista steget är kanske det viktigaste, för de flesta misstag uppstår inte från ond vilja utan från avsaknaden av en tydlig kontaktpunkt.
Om det redan har hänt
Om en stor mängd personuppgifter oavsiktligt har matats in i ett AI-verktyg utan att ett databehandlingsavtal finns för det, är det lämpligt att bedöma om detta kvalificeras som en händelse som kräver åtgärd, till exempel inom ramen för anmälningsplikten vid dataintrång. få en första indikation i ett par frågor kan ge en första vägledning därvid, oberoende av frågan om anmälan är nödvändig i ett konkret fall; denna bedömning är datakontrollantens eller en jurists ansvar.
Vill du för ditt eget företag göra en lista över vilka verktyg, inklusive AI-tillämpningar, som behöver uppmärksamhet? Gör den kostnadsfria snabbkontroll eller läs ämnena i vanliga frågor om GDPR och programvara för att se vad din situation kräver.