Merk: Dette er generell informasjon, ikke juridisk rådgivning. Regler og veiledning kan endres, og konkrete vurderinger bør kvalitetssikres med kvalifisert juridisk rådgiver.
En bedrift vurderer å gi en AI-assistent tilgang til e-post og dokumenter. Leverandøren sier at dataene ikke brukes til modelltrening, og ledelsen konkluderer med at personvernet er ivaretatt.
Det kan være et viktig tiltak, men det svarer bare på ett spørsmål. Bedriften må fortsatt vite hvilke personopplysninger som finnes i kildene, hvorfor de behandles, hvem som får tilgang, hvor lenge de lagres og hvordan registrertes rettigheter ivaretas.
En vurdering av personvernkonsekvenser – DPIA – er en strukturert prosess for behandlinger som sannsynligvis medfører høy risiko for menneskers rettigheter og friheter. Den skal beskrive behandlingen, vurdere nødvendighet og forholdsmessighet, analysere risiko og fastsette risikoreduserende tiltak.[23] [24]
Start med behandlingen, ikke verktøyet
Unngå formuleringen «DPIA for Copilot» eller «DPIA for Claude» som eneste avgrensning. Samme verktøy kan brukes i mange forskjellige prosesser med svært ulik risiko.
Beskriv heller:
AI-assistenten skal oppsummere innkommende kundesaker fra en avgrenset postkasse og foreslå kategori. Forslaget kontrolleres av kundeservice. Løsningen får ikke sende svar eller endre kundedata.
Da blir det mulig å vurdere formål, data, personer, tilgang og konsekvenser.
Når må DPIA vurderes?
Datatilsynet sier at DPIA skal gjennomføres når en behandling sannsynligvis medfører høy risiko. Vurderingen må ta hensyn til behandlingens art, omfang, formål og kontekst.[25] [26]
Momenter som kan trekke risikoen opp, er blant annet:
- Evaluering eller poengsetting av personer.
- Systematisk overvåking.
- Sårbare personer.
- Sensitive eller svært personlige opplysninger.
- Stor skala.
- Sammenstilling av data fra flere kilder.
- Bruk som påvirker tilgang til tjenester eller rettigheter.
- Ny teknologi kombinert med andre risikofaktorer.
- En situasjon der personen vanskelig kan reservere seg eller forstå bruken.
Én faktor betyr ikke automatisk at DPIA kreves. Kombinasjonen og konsekvensene må vurderes. Datatilsynet viser til at to eller flere risikokriterier ofte indikerer at en DPIA bør gjennomføres, men den konkrete vurderingen er avgjørende.[27] [26]
Et praktisk eksempel
Tenk på to bedrifter som bruker samme språkmodell.
Bedrift A bruker den til å forbedre språket i offentlige produkttekster. Ingen personopplysninger behandles.
Bedrift B kobler den til en postkasse med kundeklager, sykdomsopplysninger og betalingshistorikk. AI-en foreslår hvilke kunder som skal prioriteres.
Bedrift B har en langt mer omfattende personvernvurdering foran seg. Den behandler mer sensitive data, kombinerer opplysninger og kan påvirke hvordan personer behandles.
Hva bør kartlegges?
En teknisk og operativ kartlegging bør beskrive:
Formål
Hva skal løsningen oppnå? Kan det samme formålet nås med færre data eller en enklere løsning?
Datakilder
Kommer opplysningene fra e-post, CRM, SharePoint, telefonopptak eller andre systemer? Inneholder kilden mer informasjon enn oppgaven krever?
Datatyper
Behandles navn, kontaktinformasjon, økonomi, helse, ansattdata eller andre følsomme opplysninger?
Flyt og lagring
Hvor sendes dataene? Lagres prompts og svar? Brukes underleverandører? Kan lagringstid konfigureres?
Tilgang
Hvilke ansatte og systemer har tilgang? Har connectoren tilgang til hele arkivet selv om den bare trenger én mappe?
Resultat og konsekvens
Er resultatet bare et utkast, eller påvirker det en beslutning? Kan en feil føre til økonomisk tap, forskjellsbehandling eller utlevering av informasjon?
Menneskelig kontroll
Har kontrolløren nok tid, informasjon og myndighet til å oppdage og rette feil? Et menneske i prosessen hjelper lite dersom personen bare klikker «godkjenn» uten reell mulighet til å vurdere resultatet.
Hva skal en DPIA inneholde?
Datatilsynets sjekkliste angir blant annet:
- Systematisk beskrivelse av behandlingen og formålene.
- Vurdering av nødvendighet og forholdsmessighet.
- Vurdering av risiko for de registrertes rettigheter og friheter.
- Tiltak for å redusere risiko og sikre etterlevelse.
- Vurdering av innsyn, retting, sletting og dataportabilitet.
- Handlingsplan med ansvar, kostnad og tidsramme.
- Begrunnet beslutning om restrisikoen er akseptabel.[24]
DPIA-en bør gjennomføres før behandlingen starter, og oppdateres dersom risikoen eller bruken endres.[25]
Hva hvis risikoen fortsatt er høy?
Først må bedriften gjennomføre DPIA og iverksette tiltak. Hvis høy restrisiko fortsatt ikke kan reduseres, beskriver Datatilsynet at det kan være nødvendig med forhåndsdrøftelse før behandlingen starter.[28]
Aktuelle tiltak kan være:
- Begrense kildene systemet kan lese.
- Fjerne eller maskere personopplysninger.
- Velge en bedriftsavtale med bedre kontroll.
- Redusere lagringstid.
- Deaktivere modelltrening der dette kan velges.
- Innføre sterkere tilgangsstyring og logging.
- La AI gi utkast i stedet for å ta beslutninger.
- Kreve reell menneskelig kontroll.
- Begrense bruken til mindre sensitive saker.
Kakushins rolle
En DPIA inneholder juridiske vurderinger, men den krever også at noen forstår systemene og dataflyten. Kakushin kan bidra med:
- Prosesskart.
- System- og datakart.
- Oversikt over connectors og tilganger.
- Beskrivelse av modell, leverandør og underleverandører.
- Test av menneskelige kontrollpunkter.
- Forslag til tekniske og organisatoriske tiltak.
Juridisk konklusjon, behandlingsgrunnlag og aksept av restrisiko bør kvalitetssikres av personvernombud eller kvalifisert juridisk rådgiver.
Neste steg i serien: AI-policy for småbedrifter: Reglene dere bør ha før ansatte deler kundedata med en chatbot og AI Act for norske småbedrifter: Hva gjelder nå – og hva bør dere forberede?.
Kilder
[23] Veiledning om DPIA - Datatilsynet
[24] Sjekkliste for vurdering av personvernkonsekvenser (DPIA)
[25] Når må man gjennomføre en vurdering av personvernkonsekvenser?
[26] Når er det høy risiko? - Veiledning om DPIA | Datatilsynet
