GDPR

GDPR er EU's databeskyttelsesforordning. Den bestemmer, hvordan virksomheder må indsamle, bruge, opbevare og dele personoplysninger, og den har gjaldt siden 2018. De fleste virksomheder har haft styr på det i årevis. Så kom AI, og pludselig behandles de samme oplysninger på nye måder, af nye systemer, ofte uden at nogen har besluttet det. Her på siden ser jeg på GDPR gennem netop den linse: hvad ændrer sig, når AI læser jeres data.

Hvad er GDPR i én sætning

Personoplysninger må kun behandles til et klart formål, med et lovligt grundlag, i det omfang der er nødvendigt, sikkert, og sådan at den enkelte kan få indsigt og bede om sletning. Alt andet i forordningen er uddybning af den sætning. Og personoplysninger er alt, der kan knyttes til en person: navn, mail, kundenummer, IP-adresse, et billede, en stemme.

Fem steder, AI udfordrer GDPR

Formålet. I indsamlede kundernes mails for at yde service. Bruger I nu de samme mails til at træne eller instruere en AI, er det et nyt formål, og det skal kunne begrundes. Det er ikke forbudt. Det skal besluttes og skrives ned.

Leverandøren. Sender I tekst til en sprogmodel hos en leverandør, er leverandøren databehandler, og der skal en databehandleraftale til. Standardvilkårene i et gratis chatværktøj er ikke en databehandleraftale. Tjek også, om leverandøren bruger jeres data til at træne sine modeller. Gør den det, er I uden for GDPR, og jeres forretningshemmeligheder er det også.

Overførsler. Mange modeller kører i USA. Overførsel af personoplysninger ud af EU kræver et gyldigt grundlag. Det findes, men det skal være på plads, og det kan ændre sig med en dom. Spørg, hvor data behandles, og om der findes en EU-placering.

Dataminimering. En RAG-løsning, der indekserer hele fællesdrevet, behandler langt mere, end opgaven kræver. Indekser det, der er brug for, og fjern personoplysninger, hvor de ikke er nødvendige. Embeddings af persondata er stadig persondata.

Rettigheder. Beder en kunde om sletning, skal oplysningerne også væk fra søgeindekser, logfiler og de steder, AI-løsningen har gemt kopier. Det skal være tænkt ind i arkitekturen. Det kan ikke løses bagefter.

Automatiske afgørelser

GDPR giver mennesker ret til ikke at være underlagt afgørelser, der alene træffes automatisk og har væsentlig betydning for dem. Lader I en AI-agent afvise ansøgninger eller kreditter uden et menneske, rammer I den regel direkte, og samtidig AI-forordningens krav til højrisiko-AI. Menneske i loopet er ikke en teknisk detalje. Det er et lovkrav med to regelsæt bag.

Konsekvenserne, kort

Bøderne kan nå fire procent af den globale omsætning, og Datatilsynet har vist, at de bruger dem. Men i praksis er den største omkostning tilliden. En kunde, der opdager, at hendes mails er blevet læst af en model i et andet land uden aftale, kommer ikke tilbage. Og en bestyrelse, der ikke har spurgt, har svært ved at forklare, hvorfor ikke.

Sådan får ledelsen styr på det

Lav en liste over de AI-værktøjer, der er i brug, også dem medarbejderne selv har fundet. Beslut for hvert af dem, hvilke data der må ind. Få databehandleraftaler på plads, eller luk værktøjet. Lav en konsekvensanalyse, før AI får adgang til følsomme oplysninger eller træffer beslutninger. Og skriv det ned i en kort politik, som alle kan forstå. Det tager en dag med den rigtige hjælp, og det er en af de bedst brugte dage i et AI-projekt.