GDPR och generativ AI: checklista för personuppgifter
Vad får du skriva in i en AI-tjänst? Så bedömer du personuppgifter, leverantörer, säkerhet och ansvar innan ni börjar.
· 5 min läsning
Börja med informationen – inte AI-verktyget
När en verksamhet använder generativ AI kan personuppgifter behandlas även om det inte är huvudsyftet. Ett namn i ett supportärende, ett personnummer i ett dokument eller en sjukdomsuppgift i en prompt kan omfattas av GDPR.
Det första steget är därför att bestämma vilka typer av uppgifter som behöver användas och om personuppgifter alls är nödvändiga för uppgiften.
Sex kontroller före användning
- Syfte: Beskriv varför AI ska användas och vilka personuppgifter som behövs.
- Rättslig grund: Undersök vilken grund och vilka övriga regler som stödjer behandlingen.
- Minimering: Ta bort eller avidentifiera identifierande uppgifter när det är möjligt.
- Leverantör: Kontrollera instruktioner, personuppgiftsbiträdesavtal, lagring och eventuell överföring till tredje land.
- Säkerhet: Begränsa åtkomst, kontrollera loggning och utred riskerna innan driftsättning.
- Rättigheter: Planera för informationsskyldighet, rättelse, radering och andra registrerades rättigheter.
Kan personal använda en öppen AI-chatt?
Inte utan att först bedöma tjänsten och uppgifterna. Det kan finnas skillnader mellan privatkonton, företagsavtal och tekniska lösningar med egna dataskyddsinställningar.
En praktisk utgångspunkt är att inte lägga in känsliga personuppgifter, sekretessbelagda handlingar, kundlistor eller interna affärshemligheter i en tjänst som organisationen inte har godkänt.
När behövs extra utredning?
Hög risk för enskildas fri- och rättigheter kan innebära att en konsekvensbedömning enligt GDPR behövs. Automatiserade beslut, profilering och internationella dataflöden kräver också särskild uppmärksamhet.
IMY:s vägledning är framtagen med offentlig sektor i fokus, men myndigheten anger att stora delar är relevanta också för privat verksamhet.
Allmän vägledning. En bedömning av den egna behandlingen kan kräva juridisk och dataskyddsrättslig kompetens.