Sådan navigerer du sikkert i GDPR-reglerne, når AI bliver en del af hverdagen

AI fylder mere og mere i hverdagen, og mange virksomheder tager nye AI-værktøjer i brug. Det kan skabe effektivitet og nye muligheder, men det ændrer ikke på GDPR-reglerne. Når du bruger AI til opgaver, der involverer personoplysninger eller fortrolige oplysninger, skal behandlingen fortsat ske på et lovligt, sikkert og gennemtænkt grundlag.

Det betyder, at du skal have et klart behandlingsgrundlag, f.eks. efter GDPR's artikel 6, og kun behandle de oplysninger, der er nødvendige. Du skal også have et tydeligt formål med behandlingen og undgå at bruge oplysningerne til nye formål uden et gyldigt grundlag.

Samtidig skal du sikre, at oplysninger behandles fortroligt og sikkert. Hvis en AI-leverandør behandler data på dine vegne, skal du have en databehandleraftale på plads. Aftalen kan dog ikke stå alene. Du skal også vide, hvor data behandles og lagres, og om oplysningerne overføres til tredjelande som f.eks. USA. Sker det, skal du have et lovligt overførselsgrundlag, f.eks. en tilstrækkelighedsafgørelse eller passende garantier, og eventuelt indføre supplerende sikkerhedsforanstaltninger.
 

Ledelsen skal sætte rammerne for brugen af AI – ikke medarbejderne

Det bør ikke være op til den enkelte medarbejder at vælge AI-tjenester eller vurdere, hvilke oplysninger der kan indtastes. Det er ledelsens ansvar at beslutte, hvilke værktøjer virksomheden vil bruge, og hvilke der ikke må anvendes.

En skriftlig AI-politik kan skabe et fælles udgangspunkt. Den bør være godkendt af ledelsen og tydeligt kommunikeret til medarbejderne. Politikken skal suppleres af konkrete retningslinjer, så medarbejderne ved, hvilke værktøjer de må bruge, hvilke opgaver de må bruge dem til, og hvilke datatyper der må indtastes.

Det bør bl.a. være klart, at medarbejderne ikke må indtaste følgende i AI-værktøjer, som virksomheden ikke har godkendt:

• Følsomme personoplysninger, f.eks. helbredsoplysninger og oplysninger om fagforeningsforhold
• Fortrolige kunde- og leverandøroplysninger
• Forretningshemmeligheder, f.eks. interne strategier og ikke-offentliggjorte dokumenter
• Finansielle oplysninger, f.eks. kontonumre, kreditkortoplysninger eller ikke-offentliggjorte regnskabstal

Klare rammer mindsker risikoen for Shadow AI, altså at medarbejdere bruger AI-værktøjer uden virksomhedens viden eller godkendelse. Det styrker samtidig beskyttelsen af personoplysninger og fortrolige oplysninger samt kundernes og samarbejdspartnernes tillid.
 

Vurdér risikoen, før du tager AI i brug

Før du tager et AI-værktøj i brug i din virksomhed, bør du gennemføre en risikovurdering. Du skal have overblik over, hvilke datatyper der behandles, hvad formålet er, og hvem der kan blive berørt – f.eks. dine kunder, medarbejdere eller samarbejdspartnere.

På den baggrund skal du vurdere, om der er behov for en konsekvensanalyse, en såkaldt DPIA, efter GDPR's artikel 35. Hvis løsningen indebærer en høj risiko for de registreredes rettigheder, skal analysen gennemføres, før løsningen sættes i drift.

Risikovurderingen bør munde ud i konkrete tiltag, der begrænser risikoen. Den skal også følges op, hvis løsningen ændres, eller hvis du udvider den måde, AI bruges på i virksomheden.
 

Kend din leverandør, og oplær dine medarbejdere

Når du vælger AI-leverandør, er det vigtigt at undersøge mere end leverandørens databehandleraftale. Du bør vide, om leverandøren bruger dine data til egne træningsformål, hvilke underdatabehandlere der anvendes, og hvor de befinder sig.

Hvis data behandles uden for EU/EØS, bør du også vurdere lovgivningen i det pågældende land og behovet for yderligere beskyttelse. Her ligger nogle af de væsentligste risici, fordi data kan være omfattet af et lavere beskyttelsesniveau, selvom der formelt er indgået en databehandleraftale.

Dine medarbejdere skal samtidig være klædt på til at bruge AI ansvarligt. De bør kunne skelne mellem personoplysninger og andre data, forstå risikoen ved tredjelandsoverførsler og vide, at AI-genereret indhold altid skal kontrolleres, før det bruges.
 

AI er et spørgsmål om risikostyring

Brugen af AI er ikke kun et teknologisk valg. Det er et spørgsmål om risikostyring og ledelsesansvar. Som en del af ledelsen bør du derfor kunne svare klart på, hvilken AI- eller agentteknologi din virksomhed vælger, hvorfor den vælges, og hvilke risici virksomheden er villig til at acceptere.

Valget bør være dokumenteret og forankret i din virksomheds risikoappetit og risikovurderinger. Det bør ikke bero på mavefornemmelse eller på, at “alle andre gør det.”

Når ledelsen tager ejerskab, retningslinjer og oplæring er på plads, risici er vurderet, og leverandørforholdene er dokumenteret, kan AI blive et kontrolleret værktøj. Så kan du bruge teknologien effektivt og samtidig tage hensyn til både kunder, medarbejdere og GDPR.
 

Kom godt i gang med AI på et trygt grundlag

Hos Cedra kan vi hjælpe dig med at skabe overblik over, hvordan din virksomhed bruger AI, og om behandlingen lever op til GDPR. Vi kan bl.a. hjælpe med risikovurderinger og DPIA, gennemgang af leverandørforhold og tredjelandsoverførsler samt udarbejdelse af AI-politikker og praktiske retningslinjer.

Har du spørgsmål til, hvordan du bruger AI ansvarligt i din virksomhed, er du velkommen til at kontakte Cedra.