AI og GDPR: hva må avklares før dere bygger?

Det korte svaret

De fleste bedrifter vi snakker med tror personvern er et ja eller nei. Enten får vi lov, eller så får vi ikke lov.

I praksis er det sjelden spørsmålet. Spørsmålet er hvilke opplysninger som faktisk må inn i løsningen for at den skal gjøre jobben, og hva som kan holdes utenfor. Svaret på det former hva som bygges, hvor det kjøres og hvem som får tilgang. Tar dere det først, blir personvern en del av tegningen. Tar dere det sist, blir det en ombygging.

Fire spørsmål å avklare før noe bygges

• Hvilke personopplysninger går faktisk inn? Ofte færre enn folk tror. En løsning som skal prioritere innkommende henvendelser trenger sjelden fødselsnummer eller hele kundehistorikken. Den trenger nok til å sortere.
• Hva er grunnlaget for å behandle dem? Avtale med kunden, en lovpålagt plikt, eller et samtykke noen faktisk har gitt. Er dette uklart internt, er det uklart uansett hva slags teknologi som brukes.
• Hvor blir opplysningene av? Hvilken leverandør, hvilket land, og hva står det i databehandleravtalen om lagring og bruk til trening. Dette er spørsmål til leverandøren, og de skal kunne svares på skriftlig.
• Hvem har tilgang, og hvor lenge lagres det? Tilgang har en tendens til å vokse stille. Sletting skjer sjelden av seg selv.

Fire spørsmål tar en formiddag å svare på. De samme fire etter at systemet er i drift, tar en omskriving.

Hva Datatilsynet anbefaler

Datatilsynet har egne anbefalinger for personvern i utvikling og bruk av kunstig intelligens. Fire punkter derfra er verdt å kjenne til før dere snakker med en leverandør:

• Dataminimering: mengden personopplysninger skal begrenses til det som er relevant og nødvendig for formålet.
• Innebygd personvern: at løsningen oppfyller kravene skal ikke bare være tilfelle, det skal også dokumenteres.
• Vurder konsekvensene: ved behov bør personvernkonsekvensene utredes før dere kjøper et system, når det settes i bruk, og etter at det er tatt i bruk.
• Test jevnlig: blant annet for å fange opp skjult forskjellsbehandling, altså at løsningen behandler noen systematisk annerledes uten at noen har bestemt det.

Datatilsynet driver også en sandkasse for kunstig intelligens, der virksomheter kan få veiledning på konkrete prosjekter.

Der bedrifter oftest snubler

Det vanligste er ikke en ulovlig løsning. Det er en løsning ingen har oversikt over.

En ansatt limer kundedata inn i et gratisverktøy for å spare tid. Ingen har sagt at det er lov, og ingen har sagt at det ikke er det. Da er problemet at det ikke finnes noen regel å bryte, og det løses med en beslutning, ikke med et system.

Det nest vanligste: bedriften avlyser et fornuftig prosjekt fordi «det er sikkert noe med GDPR». Prosjektet ville tålt dagslys, men ingen tok en halv dag på å finne ut av det.

Slik gjør vi det

Vi er ikke jurister, og vi gir ikke juridiske råd. Det vi gjør, er å avklare de fire spørsmålene over i kartleggingen, før noe bygges, og skrive ned svarene. Dere skal vite hva som lagres hvor, og beholde kontrollen på egne data.

Kommer vi til et punkt der spørsmålet er juridisk og ikke teknisk, sier vi det i stedet for å gjette. Alt vi bygger, er deres, dataene inkludert, og det står i avtalen.

Hvordan resten av kartleggingen ser ut, har vi skrevet ned i en ærlig guide til å ta i bruk AI i bedriften.