Persondata (PII)
Den type oplysninger, der skaber GDPR-ansvar, når medarbejdere bruger AI.
Indhold
Persondata er oplysninger, der kan identificere eller spores tilbage til en fysisk person: navn, e-mail, CPR-nummer, billeder, IP-adresse eller kombinationer af data. Når medarbejdere kopierer kunde-e-mails, ordrer, eller scannede dokumenter ind i en AI-chat, bliver de samme oplysninger til behandling under GDPR, uanset om AI-tjenesten er en offentlig model som ChatGPT eller en intern løsning.
Sådan sniger persondata sig ind i AI-brugen
Medarbejdere vil i praksis pleje kundekontakter ved at kopiere tekst fra mails, regneark eller PDF'er direkte ind i en prompt, fordi det er nemt og hurtigt. En supportmedarbejder kan paste en kundes mailhistorik for at få en bedre formulering, en sælger kan bede AI om udkast til tilbud baseret på en prisliste med kunderækker, og en kollega kan ubevidst sende en scannet tegning med navne og CPR-numre til modellens kontekst. Selv tekniske oplysninger som IP-adresser eller kombinationer af få felter kan være personhenførbare, fordi flere datapunkter tilsammen kan identificere en person.
Sådan virker Persondata i praksis
Forestil dig, at AI er en kopi af en skrivebordsskuffe, men skuffen er online. Når du lægger et kundebrev i skuffen, ligger det der og kan blive brugt til at generere svar, og nogle leverandører må også gemme uddrag videre for at forbedre modellerne. GDPR ser ikke på hvor smart modellen er, kun på om persondata behandles: indsamling, opbevaring, adgang og sletning. Når du bruger en offentlig chatbot, kan udvekslingen være logget af leverandøren og indgå i træningsdata, hvis ikke tjenesten eksplicit forhindrer det. Derfor er det afgørende at vide, om jeres prompts og dokumenter indeholder persondata, før I sender noget.
Eksempel: Persondata hos en dansk virksomhed
En kontorleder i en mindre rådgivervirksomhed skulle midt i en travl uge samle svar til 12 kunder, der havde sendt PDF-aftaler med følsomme kontaktoplysninger. Hun kopierede korte uddrag af hver aftale ind i en AI-chat for at få forslag til svar. Det blev opdaget, at nogle uddrag indeholdt personnummerlignende tal og private mobilnumre. Resultatet var, at hun brugte to arbejdsdage på at gennemgå alle indtastede prompts, kontakte leverandøren for sletning og oprette klare regler for, hvad medarbejderne måtte lægge ind i chatten. Læringen var, at det tog mere tid at rette op bagefter end at anonymisere dokumenterne først.
Persondata er ikke det samme som anonymiserede data eller træningsdata
Persondata betyder noget, der kan knytte en oplysning til en person. Anonymiserede data er behandlet, så identifikation ikke er mulig, men anonymisering skal være reel og varig. Træningsdata er det materiale, en model er lært på; hvis træningsdata indeholder persondata uden lovligt grundlag, er der et problem. ChatGPT og lignende værktøjer er ikke automatisk sikre bare fordi de er populære; spørg altid, om tjenesten gemmer eller bruger input til træning, og pas på at kalde noget anonymiseret uden dokumentation.
Sådan sætter du regler for persondata i AI
- Kortlæg hvor persondata optræder: e-mails, tilbud, PDF'er, scans og CRM-felter. Vælg to til fire klare typer, I må aldrig kopiere ind i en AI-chat.
- Forbud og undtagelser: forbyd at sende CPR-numre, kundekontaktoplysninger og personfølsomme oplysninger til offentlige modeller; definer undtagelser med godkendelse fra en ansvarlig.
- Anonymiser før brug: fjern navne, numre og adresser, eller erstat med generiske markører som [KUNDE-NAVN].
- Vælg teknisk løsning: brug en model eller leverandør, der garanterer, at input ikke bruges til træning, hvis I skal arbejde med følsomt indhold.
- Træning og kontrol: informér medarbejdere og følg op med stikprøver, så reglerne faktisk bliver fulgt.
Hvad du skal være opmærksom på
GDPR gælder uanset hvilken AI-tjeneste I bruger; det er ikke mindre persondata, fordi det sendes til en chatbot. Spørg om leverandørens politik for logning og brug af input, og få det helst skriftligt. Hvis I behandler følsomme oplysninger, kræver det et klart retligt grundlag og ofte ekstra sikkerhedsforanstaltninger. Tjek myndighedernes vejledninger ved tvivl, for reglerne ændrer sig og tolkes forskelligt i konkrete situationer: se Datatilsynet. Med stor data følger stort ansvar... så sæt reglerne først, og gør det praktisk, ikke bare teoretisk.
Skal der køre noget med persondata hver dag og ikke kun i et forsøg, er det opgaven for et AI-team i huset. Skal I beslutte, hvor meget persondata må fylde hos jer, er det den slags valg, AI-rådgivning handler om.
Ofte stillede spørgsmål om Persondata
Er persondata det samme som følsomme personoplysninger?
Nej. Persondata dækker alle oplysninger, der kan knyttes til en person. Følsomme personoplysninger er en særlig kategori (fx helbredsoplysninger, race, religiøs overbevisning) og kræver strengere behandling efter GDPR.
Må jeg bruge persondata i ChatGPT?
Som udgangspunkt nej, medmindre I har et klart retligt grundlag og leverandøren garanterer, at input ikke bruges til træning eller logges. For almindelige kundeoplysninger bør du undgå at kopiere dem ind i offentlige chat-tjenester.
Hvordan undgår jeg at dele persondata, når medarbejdere bruger AI?
Lav en kort og konkret regelpakke: forbyd kopiering af CPR, kontaktdata og dokumenter med kundeoplysninger, kræv anonymisering før indsættelse, og vælg leverandører med passende databehandleraftaler. Følg op med træning og stikprøver.
Kan anonymiserede data bruges til træning af modeller?
Ja, men anonymiseringen skal være reel, så identificering ikke er mulig. Overvej dokumentation for anonymiseringsmetoden, og vurder risikoen for re-identifikation, før I deler data med en leverandør.
AI-rådgiver og underviser, grundlægger af AI Hero i Herning. Har bygget digitalt i over 20 år og hjælper danske virksomheder med at få AI i drift. Læs mere om Brian.