Hvorfor GDPR er relevant, når I bruger AI
GDPR skelner ikke mellem AI og andre it-systemer. Hvis en medarbejder indsætter en mail med navne, kontaktoplysninger eller sagsdetaljer i en AI-tjeneste, er det en behandling af personoplysninger. Virksomheden er typisk dataansvarlig og skal kunne redegøre for, hvorfor og hvordan data behandles.
Det betyder, at de kendte principper også gælder her: formålsbegrænsning, dataminimering, sikkerhed og gennemsigtighed. AI ændrer ikke reglerne, men gør det lettere at komme til at dele mere, end man havde tænkt sig.
Hvad betyder det at holde data i EU?
At holde data i EU betyder, at både lagring og behandling – herunder selve AI-modellens beregninger – foregår i datacentre inden for EU/EØS. Overførsel til lande uden for EU kræver særlige grundlag efter GDPR, og mange virksomheder foretrækker derfor at undgå dem, hvor det er muligt.
Vær opmærksom på, at en leverandør kan have servere i EU, men stadig sende data videre til en AI-model, der kører et andet sted. Spørg derfor specifikt ind til, hvor modellen kører, ikke kun hvor data gemmes.
Fem trin til at holde AI-data i EU
Følgende trin kan hjælpe jer med at strukturere arbejdet. De erstatter ikke en juridisk vurdering, men giver et godt udgangspunkt for dialogen med jeres DPO eller rådgiver.
- Kortlæg, hvilke AI-værktøjer medarbejderne bruger i dag
- Afklar for hver løsning, hvor data lagres og hvor modellen kører
- Indgå databehandleraftaler med de leverandører, I vælger
- Vælg løsninger, hvor I kan begrænse behandlingen til EU
- Lav en intern AI-politik og informer medarbejderne
Databehandleraftale og dokumentation
Når en leverandør behandler personoplysninger på jeres vegne, skal der som udgangspunkt være en databehandleraftale. Den bør beskrive, hvilke data der behandles, hvor, af hvilke underleverandører og hvordan data slettes.
Dokumentation er også vigtig internt. Notér i jeres fortegnelse, hvilke AI-løsninger I bruger og til hvad. Det gør det lettere at svare på spørgsmål fra kunder, medarbejdere og myndigheder.
Typiske faldgruber
En udbredt faldgrube er, at medarbejdere bruger private konti til AI-tjenester, fordi virksomheden ikke har anvist et alternativ. Så har I hverken aftaler eller overblik. En anden er, at man vurderer en løsning én gang og glemmer, at leverandører løbende skifter underleverandører og modeller.
Gør det derfor til en fast rutine at gennemgå jeres AI-løsninger, fx en gang om året eller når en leverandør ændrer vilkår. Sørg også for, at medarbejderne ved, hvem de kan spørge, hvis de er i tvivl om, hvorvidt bestemte data må bruges.
Sådan understøtter QWorker data i EU
QWorker er bygget med fokus på europæisk databehandling. I kan vælge en tilstand, hvor kun AI-modeller, der kører i EU, er tilgængelige, og jeres samtaler og dokumenter er adskilt fra andre kunders. Adgangen til mails og filer følger den enkelte brugers rettigheder.
Det fritager ikke jer for selv at vurdere jeres forpligtelser, men det gør det lettere at bruge AI på en måde, der kan dokumenteres. Book en demo, hvis I vil se opsætningen.
Ofte stillede spørgsmål
Er det ulovligt at bruge AI-tjenester uden for EU?
Ikke per definition, men overførsel af personoplysninger til lande uden for EU kræver et gyldigt overførselsgrundlag efter GDPR. Mange virksomheder vælger EU-løsninger for at gøre vurderingen enklere. Få altid en konkret juridisk vurdering.
Er det nok, at data gemmes i EU?
Ikke altid. Spørg også, hvor selve AI-modellen kører, og om data sendes til underleverandører uden for EU under behandlingen.
Skal vi have en databehandleraftale med AI-leverandøren?
Som udgangspunkt ja, hvis leverandøren behandler personoplysninger på jeres vegne. Aftalen bør beskrive formål, lokation, underleverandører og sletning.