GDPR og AI

GDPR og AI betyder, at de samme persondata-regler gælder, når I bruger eller udvikler kunstig intelligens. Det kræver et gyldigt retsgrundlag (fx samtykke eller kontrakt), et klart og dokumenteret formål, at I kun behandler det, der er nødvendigt, og at I har styr på, hvor dataene sendes og lagres. Automatiske afgørelser med væsentlig virkning udløser særlige krav, og ofte skal der laves en konsekvensanalyse (DPIA).

Hvorfor GDPR er den første juridiske mur, når I bruger AI

Når marketing eller kundeservice får lyst til at smide kundeoplysninger i en offentlig chatbot, så rammer I først GDPR. I skal stille jer de tre grundlæggende spørgsmål: Hvad er formålet? Hvad er retsgrundlaget? Og er dataene nødvendige? Hvis svaret er nej et af stederne, så må I ikke bruge dem i tjenesten. Det hjælper jer med at sortere impulshandlinger fra: en test af en prompt er ikke et formål i GDPR-forstand.

Hvad virksomheden konkret skal have på plads

Start med at kortlægge hvilke personoplysninger, der indgår i jeres AI-flow: navne, e-mails, købsoplysninger, helbredsoplysninger eller noget andet følsomt. For hver type skal I kunne pege på et retsgrundlag (fx samtykke eller opfyldelse af kontrakt), beskrive formålet og dokumentere dataminimering. Hvis I sender data videre til en ekstern AI-tjeneste, skal der være en Databehandleraftale (DPA) eller anden klar aftale om ansvar og sikkerhed. Og hvis AI bruges til en automatiseret afgørelse med væsentlig virkning, skal I forholde jer til Automatiske afgørelser (GDPR artikel 22) og give den registrerede de rettigheder, loven kræver.

Eksempel: Databeskyttelsesansvarlige i en lille rådgivervirksomhed

Den databeskyttelsesansvarlige i en rådgivervirksomhed sidder midt i en travl uge, tre måneder før årsrapporten skal sendes. En medarbejder har kopieret 450 kundemails og nogle kundeaftaler ind i en offentlig chatbot for at generere et standardforslag. Problemet opstår, da en af de kopierede filer indeholdt CPR-numre fra en ældre aftale, og chatbotten har adgang til eksterne logfiler, som muligvis gemmer data uden for EU. Den databeskyttelsesansvarlige må nu: stoppe deling, gennemgå alle 450 beskeder, vurdere retsgrundlag for hver type oplysning, få svar fra leverandøren på, hvor data lagres, og lave en Konsekvensanalyse (DPIA). Det tog tre dage at få den første afklaring hos leverandøren, tre interne møder og en liste over 26 beskeder, der ikke måtte bruges. Løsningen blev en streng prompt-procedure og skriftlig databehandleraftale til næste pilotrunde.

GDPR er ikke det samme som AI-forordningen (EU AI Act)

GDPR og AI-forordningen overlapper, men de dækker forskellige ting. GDPR handler om personoplysninger og den registreredes rettigheder; AI-forordningen retter sig mod risiko og produktkrav for selve AI-systemet. I praksis betyder det, at I ofte skal rette ind efter begge: GDPR for, hvordan I håndterer persondata, og AI-forordningen for systemets klassificering og dokumentation. En Databehandleraftale løser ikke kravene i AI-forordningen, og omvendt løser AI-certificering ikke manglende retsgrundlag for behandling.

Hvad du skal være opmærksom på

Vær særlig årvågen ved tre faldgruber: at indtaste kunde- eller medarbejderdata i offentlige AI-tjenester uden databehandleraftale; at bruge AI til automatiske afgørelser med væsentlig virkning uden de ekstra skridt proceduremæssigt og dokumentationsmæssigt; og at springe over en Konsekvensanalyse (DPIA) når risiciene er høje. Konsekvensanalysen er ikke kun papirarbejde; den kortlægger risikoen for de registrerede og viser, hvilke sikkerheds- og minimeringstiltag I har valgt. Reglerne ændrer sig, så tjek altid de seneste anbefalinger hos Datatilsynet.

Sådan laver I de første konkrete skridt

1. Stop og kortlæg: list hvilke personoplysninger I vil bruge i AI og til hvilket formål.
2. Vurder retsgrundlag: kontrakt, berettiget interesse eller samtykke, dokumenter valget.
3. Minimer: fjern unødvendige felter og anonymiser hvor muligt.
4. Aftal ansvar: få en Databehandleraftale (DPA) med eksterne AI-leverandører eller ret rammerne for intern brug.
5. Lav en DPIA hvis systemet har høj risiko eller træffer automatiske afgørelser.

Disse skridt giver jer noget håndgribeligt at arbejde med, også mens I venter på mere konkrete vejledninger fra myndigheder.

En sidste note: tænk på persondata i AI som at sende breve gennem flere postkontorer. I kan lade brevet gå, men I skal vide hvem der åbner det, hvem der må kopiere det, og om det ender i et land med andre regler. Ikke meget mere, men heller ikke mindre.

Skal I beslutte, hvor meget GDPR og AI må fylde hos jer, er det den slags valg, AI-rådgivning handler om. Vil I arbejde videre med GDPR og AI på jeres egne opgaver, er det dét, en AI-workshop går ud på.