GDPR gjeld også når det er AI
Mange tenkjer på AI som eit smart skriveverktøy. Men med ein gong de limer inn ei e-postmelding frå ein kunde, ein CV, eit møtereferat eller ei fakturalinje med namn, er de inne i GDPR-land. Då handlar det ikkje lenger berre om teknologi, men om behandling av personopplysningar.
Det viktigaste spørsmålet er enkelt: Treng AI-verktøyet faktisk desse opplysningane for å gjere jobben? Ofte er svaret nei. Skal de få hjelp til å skrive betre tekst, lage eit utkast til rutine, omsetje noko eller forklare eit vanskeleg tema, kan de som regel fjerne namn, telefonnummer, kundereferansar og andre kjenneteikn først.
Ein trygg tommelfingerregel er: Bruk AI som ein flink kollega, men ikkje som ein skuff der du tømmer heile kundemappa.
GDPR krev at de veit kva data de behandlar, kvifor de gjer det, kor lenge data blir lagra, kven som har tilgang, og kva leverandørar som er involverte. Det gjeld òg når leverandøren er eit stort internasjonalt AI-selskap.
AI Act er noko anna enn GDPR
GDPR og AI Act overlappar, men dei er ikkje det same. GDPR handlar om personopplysningar. AI Act handlar om sjølve AI-systemet, bruken av det og risikoen bruken kan skape.
For ei vanleg norsk verksemd betyr dette i praksis: De må både ha kontroll på dataa de puttar inn, og på kva de brukar AI til. Ein chatbot som svarar kundar, eit verktøy som vurderer jobbsøkjarar, og eit skriveverktøy for interne notat er tre heilt ulike risikonivå.
AI Act har ikkje eit generelt frikort for små verksemder. Pliktene kjem an på bruken og rolla dykkar. Er de berre brukar av eit vanleg verktøy, er det som regel enklare enn om de byggjer og sel AI-system sjølve. Men de har likevel ansvar for trygg og ryddig bruk.
Kundevendte chatbottar bør til dømes gjere det tydeleg at kunden snakkar med AI, og kunden bør kunne kome vidare til eit menneske. Bruk av AI til rekruttering, medarbeidarvurdering eller kredittliknande avgjerder krev mykje meir varsemd. AI bør ikkje åleine avgjere om nokon får jobb, lån, avslag eller sanksjonar.
Start med eit AI-register
Det mest praktiske tiltaket eg tilrår små og mellomstore verksemder, er eit enkelt AI-register. Det treng ikkje vere eit dyrt system. Eit rekneark er ofte nok i starten.
Skriv opp kva verktøy de brukar, kven som brukar dei, kva dei blir brukte til, kva data som kan bli lagt inn, og kven som eig ansvaret internt. Då får de oversikt før det blir rot.
Eit slikt register bør minst innehalde:
- Namn på AI-verktøyet og leverandøren
- Føremål med bruken
- Om personopplysningar kan bli behandla
- Kva typar data som er lov og ikkje lov å leggje inn
- Kven som har tilgang
- Om det finst databehandlaravtale
- Kor lenge data blir lagra
- Dato for siste vurdering
Poenget er ikkje å lage papir for papiret si skuld. Poenget er å kunne svare roleg viss ein kunde, tilsett eller tilsynsmyndigheit spør: Kva brukar de AI til, og korleis passar de på dataa våre?
Vel verktøy med hovudet på
Det er stor skilnad på ein gratis privatkonto og ein bedriftsløysing med administrasjon, tilgangsstyring og betre avtaleverk. Viss de skal bruke AI i verksemda, bør de velje godkjende verktøy og seie tydeleg at andre løysingar ikkje skal brukast til jobbdata.
Før de tek i bruk eit AI-verktøy med personopplysningar, bør de sjekke nokre enkle ting: Finnst det databehandlaravtale? Brukar leverandøren dykkar data til å trene modellane sine? Kan de slå av slik bruk? Kvar blir data behandla? Korleis slettar de data? Kan de styre brukarar og tilgangar? Får de loggar viss noko går gale?
Dette er ikkje berre juridisk småskrift. Det er praktisk risikostyring. Ein tilsett som limer inn ei personalsak i feil chatbot, kan skape eit større problem enn verksemda hadde tenkt.
For dei fleste er beste start å tillate låg-risiko bruk: idémyldring, språkvask, utkast til interne tekstar og forklaring av fagstoff, helst utan persondata. Vent med meir krevjande bruk til de har betre rutinar.
Mennesket må framleis ha siste ord
AI kan skrive overtydande, men han kan ta feil. Han kan misforstå, dikte opp detaljar og gje skeive vurderingar. Difor bør alle verksemder ha ein enkel regel: AI kan hjelpe, men menneske godkjenner.
Dette er ekstra viktig når teksten skal ut til kundar, når han gjeld juridiske eller økonomiske spørsmål, eller når utfallet påverkar enkeltpersonar. Ein AI-generert e-post med feil lovnad til ein kunde er framleis dykkar ansvar. Eit AI-basert avslag til ein jobbsøkjar er framleis dykkar avgjerd.
Dei tilsette treng òg litt opplæring. Ikkje eit tre timar langt seminar med framandord, men ei kort og praktisk gjennomgang: Kva er lov å bruke? Kva data må aldri inn? Korleis sjekkar vi svara? Kven spør vi viss vi er usikre? AI Act legg vekt på AI-kompetanse, og ei dokumentert årleg økt er ein god og overkomeleg start.
Lag gjerne ein AI-policy på to sider. Han bør seie kva verktøy som er godkjende, kva data som er forbode, kva bruksområde som er greie, kva som krev leiar-godkjenning, og korleis avvik skal meldast.
Første steg: Lag eit enkelt AI-register denne veka, og bestem éin klar regel for alle tilsette: Ingen personopplysningar inn i AI-verktøy før verktøyet er godkjent og bruken er vurdert.