Personvern startar før du limer inn teksten
Mange personvernproblem med AI byrjar heilt uskuldig. Ein tilsett skal berre få hjelp til å svare ein kunde, korte ned eit møtereferat eller lage ein betre annonsetekst. Så blir e-postar, namn, telefonnummer, ordrenummer, helseinformasjon, klager eller interne notat limt inn i eit AI-verktøy utan at nokon har tenkt gjennom kva som skjer vidare.
Det er her verksemda må vere vaken. AI er ikkje magi. Det er ei teneste som behandlar data. Når du sender inn tekst, filer eller bilete, må du vite om leverandøren kan bruke dette til trening, kor lenge data blir lagra, kven som har tilgang, og kva avtale som gjeld.
For ei lita verksemd kan dette kjennast tungt. Men du treng ikkje starte med juridiske dokument på hundre sider. Start med eitt enkelt spørsmål: Inneheld dette eg sender inn opplysningar om ein person? Viss svaret er ja, må du stoppe litt opp.
Forbrukarkonto er sjeldan rett stad
Ein vanleg feil er at folk brukar private AI-kontoar til jobb. Det kan vere ein gratis chat-konto, ein app på mobilen eller eit verktøy nokon har funne sjølv. Det fungerer kanskje fint til å skrive ein generell tekst, men det er ikkje nødvendigvis rett stad for kundedata, HR-notat eller økonomiinformasjon.
Dei store AI-leverandørane har no fleire typar løysingar: vanlege forbrukarchattar, bedriftsabonnement og API-løysingar som kan byggjast inn i eigne system. Desse kan ha ulike vilkår for databruk, lagring, administrasjon og tilgangsstyring. Det betyr at personvern ikkje berre handlar om kva modell som er best, men om kva type konto og avtale du brukar.
For mange norske små og mellomstore verksemder er hovudregelen enkel: Bruk ikkje private eller tilfeldige AI-kontoar til personopplysningar. Skal AI brukast i kundeservice, marknadsføring, HR eller økonomi, bør de bruke ei bedriftsløysing eller ei API-basert løysing der databehandlinga er regulert.
Kva GDPR krev i praksis
GDPR handlar ikkje om å gjere kvardagen umogleg. Det handlar om å ha kontroll. Når AI behandlar personopplysningar, må du kunne forklare kvifor du gjer det, kva data du brukar, kven som behandlar dei, og kor lenge dei blir lagra.
Du bør særleg ha kontroll på dette:
- Lovleg grunnlag: Kvifor har du lov til å bruke desse opplysningane?
- Dataminimering: Sender du berre det som faktisk trengst?
- Databehandlaravtale: Har du avtale med leverandøren dersom dei behandlar data på dine vegner?
- Lagringstid: Kor lenge blir data liggjande hjå leverandøren eller i systemet?
- Tilgang: Kven i verksemda kan sjå og bruke informasjonen?
- Dokumentasjon: Kan du vise kva de brukar AI til og kva vurderingar de har gjort?
Dette høyrest kanskje formelt ut, men det kan vere ganske praktisk. Ei enkel oversikt i eit rekneark er ofte ein god start: verktøy, føremål, type data, leverandør, avtale, ansvarleg person og lagringstid.
Tre typiske situasjonar
Tenk på ein nettbutikk som brukar AI til kundeservice. Det kan vere smart å få hjelp til å oppsummere klager, føreslå svar og finne rett informasjon raskare. Men ordredata, returgrunnar og kundemeldingar høyrer ikkje heime i ein tilfeldig chat-konto. Bruk ei løysing med rett avtale, avgrens kva data som blir sendt inn, og fjern unødvendige personopplysningar der det går.
I marknadsføring ser eg ofte ein annan risiko: Nokon lastar opp ei kundeliste eller eit CRM-uttrekk for å få hjelp til segmentering, kampanjeforslag eller e-posttekstar. Det kan vere nyttig, men kundelister er persondata. Då må føremålet vere klart, grunnlaget må vere på plass, og leverandøren må ikkje få bruke lista til eigne føremål.
HR er endå meir ømtolig. CV-ar, intervju-notat, sjukefråvær, konfliktar og vurderingar av personar krev ekstra varsemd. AI kan hjelpe med å strukturere notat eller lage stillingsannonsar, men automatisk vurdering av kandidatar eller tilsette kan fort bli risikabelt. Her må tilgangsstyring, openheit og dokumentasjon vere betre enn i ein vanleg tekstjobb.
AI Act skjerpar ansvaret
I tillegg til GDPR kjem det europeiske AI-regelverket som også norske verksemder må forhalde seg til gjennom EØS-sporet. Forbodne praksisar og brot på reglane kan gi svært høge bøter, med rapporterte maksimum på opptil 35 millionar euro eller 7 prosent av global omsetnad for dei mest alvorlege brota, og lågare men framleis store nivå for andre brot.
Dei fleste små verksemder kjem ikkje til å byggje høgrisiko-AI frå botnen av. Men de kan likevel bli ansvarlege for korleis de brukar AI i praksis. Særleg gjeld det viss AI påverkar menneske sine rettar, jobb, tilgang til tenester eller økonomiske vilkår.
Difor er det lurt å lage nokre enkle køyrereglar før bruken veks. Til dømes: Kva type data er forbode å lime inn? Kva verktøy er godkjende? Kven kan ta i bruk nye AI-tenester? Når må eit menneske kontrollere svaret før det blir brukt?
Første steg
Mitt konkrete råd er dette: Lag ei éi-sides AI- og personvernrutine denne veka. Skriv opp kva AI-verktøy de brukar, kva data som kan delast, kva som ikkje kan delast, og kven som har ansvar for å godkjenne nye verktøy. Start enkelt, men få det ned på papir før kundedata hamnar på feil stad.