Det korte svar
Når AI behandler personoplysninger, gælder GDPR fuldt ud. Afklar hvilke data der indgår, hvem der er dataansvarlig og databehandler, hvor data behandles, om leverandøren træner på jeres data, hvor længe data gemmes, hvem der har adgang, hvor mennesker godkender beslutninger, og hvordan det dokumenteres. Gør I det fra starten, er reglerne en del af designet — ikke en bremse.
De 8 spørgsmål
- Hvilke data indgår? Produktdata er sjældent persondata. Kundemails, ordrer og HR-data er det.
- Hvem er dataansvarlig, og hvem er databehandler? Der skal være databehandleraftaler med leverandører, der behandler persondata for jer.
- Hvor behandles data? Afklar, om data forlader EU, og på hvilket grundlag.
- Træner leverandøren modeller på jeres data? Vælg tjenester og vilkår, hvor det ikke sker.
- Hvor længe gemmes data? Fastsæt en opbevaringsperiode, og slet automatisk.
- Hvem har adgang? Brug mindst mulige rettigheder og separate servicebrugere.
- Hvor godkender et menneske? Beslutninger med betydning for personer bør ikke træffes automatisk.
- Hvordan dokumenterer I det? Log, risikovurdering og en beskrivelse af behandlingen.
Start, hvor risikoen er lavest
En god tommelfingerregel: start med arbejdsgange uden persondata, fx produktdata og leverandørfiler. Så kan I bygge erfaring med AI, mens I forbereder aftaler og procedurer til de arbejdsgange, der indeholder persondata, fx kundeservice.
Hvad med AI-forordningen (AI Act)?
EU's AI-forordning trådte i kraft i 2024 og indfases gradvist. Den stiller krav ud fra, hvad AI'en bruges til. Visse anvendelser — fx inden for ansættelse og kreditvurdering — regnes som højrisiko og har skrappe krav. Typiske interne automatiseringer af administrative opgaver, hvor et menneske godkender resultatet, ligger normalt i en lavere kategori, men det skal vurderes konkret for hver løsning.
Denne artikel er ikke juridisk rådgivning. Se Datatilsynets vejledninger på datatilsynet.dk, og få konkret rådgivning, når en løsning behandler persondata.