I mange virksomheder bruger medarbejderne allerede AI. Nogle skriver mails med ChatGPT, andre får opsummeret møder eller oversat dokumenter. Det er godt, men det rejser et vigtigt spørgsmål: Hvor ender de data, man deler med AI?
Denne artikel er en praktisk gennemgang og ikke juridisk rådgivning. Er I i tvivl om en konkret sag, så tal med jeres DPO eller en jurist.
Hvorfor er AI et GDPR-spørgsmål?
Når en medarbejder indsætter en kundemail, et CV eller et regneark i et AI-værktøj, bliver data sendt til en leverandør. Indeholder data personoplysninger, gælder GDPR. Så skal I vide, hvem leverandøren er, hvad de bruger data til, og hvor data bliver opbevaret.
Gratis AI-værktøjer og jeres data
Mange gratis og private udgaver af AI-værktøjer kan bruge det, man skriver, til at forbedre deres modeller, medmindre man selv slår det fra. Erhvervsudgaverne lover typisk, at jeres data ikke bliver brugt til træning, og tilbyder en databehandleraftale. Derfor er det en god idé, at virksomheden vælger værktøjerne, i stedet for at hver medarbejder bruger sit eget.
Fem spørgsmål, I bør stille jeres AI-leverandør
- Kan vi få en databehandleraftale?
- Bliver vores data brugt til at træne jeres modeller?
- Hvor bliver data opbevaret og behandlet, og sker det inden for EU?
- Hvor længe bliver data gemt, og kan vi få dem slettet?
- Hvem hos jer og jeres underleverandører har adgang til data?
Enkle regler, der gør en stor forskel
I behøver ikke en lang politik for at komme godt i gang. Nogle få klare regler dækker det meste:
- Brug kun de AI-værktøjer, virksomheden har godkendt
- Del ikke følsomme personoplysninger, fx helbred eller CPR-numre, med AI
- Anonymisér kundedata, når det er muligt
- Tjek altid det, AI skriver, før det bliver sendt til en kunde
- Sig det, når en kunde taler med en AI og ikke et menneske
Hvad med AI-forordningen?
Ud over GDPR har EU vedtaget AI-forordningen, som stiller krav til AI-systemer efter, hvor stor en risiko de udgør. For de fleste virksomheder handler det i praksis om gennemsigtighed: kunderne skal vide, når de taler med en chatbot, og AI-genereret indhold skal kunne genkendes. Systemer, der bruges til fx ansættelser, har strengere krav.
Ej jeres egne data
Når vi bygger AI-løsninger, er udgangspunktet, at I ejer jeres data. Løsningen kører på konti, I selv har adgang til, data bliver behandlet efter GDPR, og I kan skifte leverandør uden at miste noget. Det gælder både, når vi bygger en AI chatbot, og når vi laver en større AI strategi og implementering.
Vil I have styr på reglerne i hele ledelsen, tager vi emnet op på vores AI-kursus for ledere.
