AI er kommet for at blive – og GDPR er rammen, ikke hindringen

Det er samtidig vigtigt at slå fast: GDPR står ikke i vejen for anvendelsen af AI eller andre nye teknologier. Reguleringen er ikke en stopklods, men en retlig ramme, der skal sikre, at personoplysninger behandles korrekt og ansvarligt – også når teknologien udvikler sig.

AI kan med andre ord sagtens anvendes. Det kræver blot, at det sker på et oplyst og ansvarligt grundlag.

Alligevel ser vi, at mange virksomheder tager AI i brug uden i tilstrækkelig grad at forholde sig til de databeskyttelsesretlige konsekvenser. Nedenfor har vi samlet de væsentligste opmærksomhedspunkter.

 

1. GDPR gælder fortsat – også ved brug af AI

Når medarbejdere anvender AI-værktøjer, vil der ofte være tale om behandling af personoplysninger. I den situation gælder de samme grundlæggende krav som ved anden databehandling:

• Der skal foreligge et gyldigt behandlingsgrundlag 
• Der må kun behandles nødvendige oplysninger 
• Oplysninger skal behandles fortroligt og sikkert 
• Der skal indgås databehandleraftale ved brug af eksterne leverandører 

AI ændrer ikke reglerne – men den ændrer måden, de bringes i anvendelse på.

 

2. Risikovurdering skal ske før ibrugtagning

AI-værktøjer kan indebære nye og anderledes risici, herunder:

• utilsigtet videregivelse af personoplysninger 
• manglende transparens om databehandling 
• risiko for, at input anvendes til træning 
• unøjagtige eller misvisende resultater 

Derfor bør der altid foretages en risikovurdering forud for implementering. I visse tilfælde vil det være nødvendigt at gennemføre en konsekvensanalyse (DPIA).

 

3. Klare retningslinjer for medarbejderne

En væsentlig del af risikoen opstår i praksis ved den konkrete anvendelse. Uden klare rammer øges risikoen for fejl.

Virksomheden bør derfor sikre:

• en tydelig AI-politik 
• klare instrukser for brugen af værktøjer 
• forbud mod indtastning af følsomme eller fortrolige oplysninger 
• relevant oplæring i sikker og ansvarlig anvendelse 

Det er virksomheden, der bærer ansvaret – også for medarbejdernes brug.

 

4. Vælg AI-værktøjer med omhu

Der er betydelige forskelle på AI-tjenester, og ikke alle er egnede til erhvervsmæssig brug.

Det er bl.a. relevant at vurdere:

• hvor data behandles og lagres 
• om leverandøren anvender data til træning 
• om der kan indgås databehandleraftale 
• om der tilbydes løsninger med et passende sikkerhedsniveau 

Valget af værktøj er et ledelsesansvar og bør ske på et oplyst grundlag.

 

5. AI kan anvendes sikkert – med de rette rammer

AI rummer et betydeligt potentiale, men forudsætter styring. Med de rette processer, risikovurderinger og interne retningslinjer kan virksomheder udnytte mulighederne uden at gå på kompromis med databeskyttelsen.

 

Afslutning

AI er kommet for at blive – og det samme er GDPR.

Hvor AI repræsenterer innovation og udvikling, udgør GDPR den nødvendige ramme, der sikrer en ansvarlig anvendelse. Når virksomheder arbejder inden for denne ramme, kan teknologien anvendes både effektivt og forsvarligt.

Det er netop samspillet mellem innovation og ansvarlighed, der skaber grundlaget for at udnytte AI’s potentiale – samtidig med at tillid og databeskyttelse fastholdes.