Vid sidan om förordningen om dataskydd gäller en andra europeisk lag som träder i kraft stegvis: förordningen om artificiell intelligens, även kallad AI Act. Den lagen reglerar inte själva integriteten, utan användningen av artificiell intelligens, och påverkar därför precis de verktyg som många små och medelstora företag nu använder dagligen: en chattbot för kundkontakt, en CV-scanner vid rekrytering, eller programvara som analyserar kamerabilder. För företag som använder sådana verktyg kommer nya skyldigheter stegvis detta år och under de kommande åren, utöver vad förordningen om dataskydd redan kräver.
Huruvida detta är relevant för ditt företag beror på vad AI-tillämpningen exakt gör och vilka uppgifter den arbetar med. Använder du AI endast för att skriva texter eller för att planera scheman, förändras förmodligen inte mycket för dig. Använder du AI för att stödja beslut om människor — välja ut sökande, bedöma personal, dela in kunder i riskkategorier — är det större sannolikhet att de nya reglerna påverkar dig, och att de tillsammans med förordningen om dataskydd tittar på samma behandling av personuppgifter.
Vad som förändras i år
Förordningen om artificiell intelligens trädde inte i kraft på en gång. Lagen har olika datum då delar av den blir tillämpliga, fördelade över flera år. Det finns strängare regler för AI-system som klassificeras som högrisk, och det finns separata skyldigheter för leverantörer av generella AI-modeller. Vilket datum som gäller för vilken del framgår av förordningen själv; eftersom det här är en fasvis process rekommenderar vi att du läser den officiella texten för de exakta datum som gäller din situation, i stället för att förlita dig på en sammanfattning.
Det som är säkert är inriktningen: ju mer ett AI-system påverkar människor — vid rekrytering, bedömning, tillgång till tjänster — desto strängare blir kraven. Det överensstämmer med hur förordningen om dataskydd redan längre har sett på automatiserat beslutsfattande, men förordningen om artificiell intelligens lägger till sina egna skyldigheter, såsom krav på dokumentation, transparens gentemot den registrerade personen och, i vissa fall, en obligatorisk bedömning innan systemet tas i bruk.
För vem denna förändring medför skyldigheter
Förordningen skiljer mellan roller: den som utvecklar eller släpper ett AI-system på marknaden har andra skyldigheter än ett företag som endast använder det som verktyg. De flesta små och medelstora företag tillhör den andra kategorin, som användare av ett verktyg som byggts av en programvaruleverantör. Även då gäller skyldigheter, även om de vanligtvis är mindre omfattande än för byggaren av systemet. Tänk på att informera anställda eller kunder om att AI används, och på att bedöma om användningen ligger inom gränserna för lagen.
HR-avdelningar som använder AI vid rekrytering eller bedömning, och företag som låter programvara analysera kamerabilder, gör klokt i att redan nu inventera vilka verktyg det är exakt och vad de gör med uppgifterna. Det är samma inventering som förordningen om dataskydd redan kräver för registret över behandlingsaktiviteter, och dessa två spår — förordningen om dataskydd och förordningen om artificiell intelligens — löper ofta tillsammans i praktiken.
Vad detta betyder vid sidan om förordningen om dataskydd
Förordningen om artificiell intelligens ersätter inte förordningen om dataskydd och gör den inte heller överflödig. Om ett AI-verktyg behandlar personuppgifter, gäller förordningen om dataskydd fortfarande för denna behandling, inklusive kravet på en rättslig grund, informationsskyldigheten gentemot den registrerade personen och, där relevant, ett datasekreteravtal med leverantören av verktyget. Förordningen om artificiell intelligens kommer i vissa fall därtill, med egna krav som specifikt gäller AI-systemet, oavsett om personuppgifter är inblandade.
Om en AI-verktyg inte fungerar korrekt med personuppgifter — en chattbot som av misstag delar kunduppgifter med fel person, eller ett system som lagrar data utan säkerhet — gäller aviseringsplikten enligt dataskyddsförordningen i full omfattning. Om du är osäker på om en incident med ett AI-verktyg omfattas av denna aviseringsskyldighet, kan du på ett par frågor se om det handlar om ett anmälningspliktigt dataskydd.
Vad du redan kan göra nu
Utan att vänta på varje datum kan du redan nu kartlägga vilka AI-verktyg som används i ditt företag, för vad, och om personuppgifter behandlas i dessa. Den här inventeringen utgör också grund för behandlingsregistret som dataskyddsförordningen redan kräver, och du kan uppfylla båda syften — dataskyddsregister och AI-överblick — i en operation. Gdpria.eu håller i kunskapsbanken per ämne uppdaterad vad som gäller kring AI och integritet, med källan i den officiella texten bifogad, så att du kan kontrollera vad som gäller för din situation.
Har du frågor om hur AI-användning förhåller sig till dina befintliga dataskyddsförpliktelser, hittar du ett antal svar på vanliga frågor. För frågan om hur vi får vår information och varför den medvetet stannar vid källan läser du på sidan där informationen kommer från.
Huruvida och hur dessa regler gäller för ditt företag är något som du bäst låter en jurist bedöma eller, vid osäkerhet om dataskyddsfrågor, kan höra av dig till dataskyddsmyndigheten. Om du först vill få en bild av var du står kan du utan bindning göra den kostnadsfria snabbgranskningen eller gå igenom ämnena i kunskapsbanken.