Dataansvarlig og databehandler

Dataansvarlig og databehandler er to roller under GDPR: den dataansvarlige bestemmer formålet med og midlerne til behandling af personoplysninger, mens databehandleren behandler disse oplysninger på vegne af den dataansvarlige. I praksis er jeres virksomhed ofte dataansvarlig, også når en AI-tjeneste leveres af en ekstern leverandør, men rollefordelingen afhænger af, hvem der bestemmer, hvordan data bruges.

Sådan virker rollerne efter GDPR

Den dataansvarlige fastlægger hvorfor persondata behandles og hvilke midler der bruges. Databehandleren udfører behandlingen efter instrukser fra den dataansvarlige. Tænk ikke på rollerne som teknisk drift versus forretning alene: det handler om beslutningsbeføjelser. Hvis I bestemmer, at kundelister må bruges til at træne en model, er I dataansvarlig for den beslutning.

Hvorfor databehandler-rollen ikke fjerner jeres ansvar

Når I bruger en AI-tjeneste er det fristende at tro, at leverandøren tager ansvaret. Det gør den ikke helt. I hæfter for lovligheden af behandlingen, for eksempel at I har et juridisk grundlag, at I informerer registrerede korrekt, og at I laver de nødvendige sikkerhedsforanstaltninger. En leverandør som OpenAI er typisk databehandler, men hvis leverandøren vælger selv at genbruge eller træne modeller på jeres data uden jeres instrukser, kan leverandøren blive dataansvarlig for den del. Derfor skal I få klare svar om, hvordan leverandøren må bruge data.

Eksempel: Databeskyttelsesansvarlig i en rådgivervirksomhed

Den databeskyttelsesansvarlige i en rådgivervirksomhed modtager en henvendelse på en mandag morgen: ledelsen vil indføre en AI-assistent, der hjælper med at udarbejde udkast til rapporter på baggrund af kundemails og scannede kontrakter. Det er tre uger før budgetfremlæggelse, og en ekstern leverandør lover hurtig opsætning. Problemet: leverandøren vil gerne bruge data til at forbedre sin model. DPA'en (databeskyttelsesansvarlige) stopper processen, fordi det ikke er afklaret om genbrug af data er tilladt. Der følger ekstra dialoger: en gennemgang af dataminimering, krav om kontraktbestemmelser om ikke-genbrug og en manuel oprydning af 120 scannede kontrakter. Resultatet: implementering udsættes med to uger, og der bruges tre interne dage på kontraktforhandling. Læringen var klar: uden klare databehandleraftaler mister I styringen over, hvad der sker med jeres kundedata.

Dataansvarlig er ikke det samme som databehandler

De to termer bruges ofte i flæng, men de er forskellige. Dataansvarlig træffer beslutningerne; databehandler følger instrukser. En cloud-udbyder, der kun opbevarer data efter jeres instrukser, er databehandler. En leverandør, der selv beslutter at træne modeller på jeres data uden jeres samtykke eller instruks, kan være dataansvarlig for den behandling. Bemærk også: at kalde en leverandør "databehandler" i en salgspræsentation ændrer ikke rollen juridisk.

Hvad du skal være opmærksom på

Kravene til databehandleraftaler, formålsbegrænsning og dokumentation gælder ved brug af AI. Sørg for at få skriftlige garantier om, at leverandøren kun bruger data efter jeres instrukser, og få klarhed om sletning, logning og eventuel deling. Tjek regler og vejledninger hos Datatilsynet hvis I er i tvivl. En praktisk regel er: få alt, der handler om genbrug eller træning af modeller, skriftligt.

Tænk på forholdet som nøgler til et hus: I har hovednøglen og bestemmer, hvem må komme ind; leverandøren har en nøgle til at udføre en opgave. Det virker enkelt, men kun hvis nøglebrugen er aftalt og kan kontrolleres.

Er I i tvivl om, hvad dataansvarlig og databehandler betyder for jeres eget ansvar, så tag det med i AI-rådgivningen. Når medarbejderne selv skal kunne bruge dataansvarlig og databehandler og ikke bare kende ordet, sker det hurtigst på en AI-workshop.