AI og GDPR: de 5 ting, der skal på plads

Ifølge Wolters Kluwer peger 54% af danske SMV'er på datasikkerhed som en barriere for at tage ny teknologi i brug. Det tal genkender de fleste. I ved, at reglerne findes. I er bare ikke sikre på, hvad de betyder, den dag nogen foreslår at lade en sprogmodel læse jeres sager.

Her er et praktisk svar. Det er ikke juridisk rådgivning. Det erstatter ikke en samtale med den, der har ansvaret hos jer.

Det korte svar

Ja, som regel. GDPR forbyder ikke behandlingen. Den stiller krav til, hvordan I gør det. Kravene er de samme i et regneark, et CRM og en sprogmodel.

Det, der ændrer sig, er ikke reglerne. Det er, at data kan flyde til en tredjepart, I ikke selv har valgt. Og at det bliver sværere at forklare, hvad der skete undervejs.

De fem ting, der skal på plads

1. En hjemmel. I skal have en grund til at behandle data, som holder. For det meste arbejde i et kontor er det en kontrakt med en kunde eller en legitim interesse. Det afgør I selv, ikke jeres leverandør. Og det afgøres før, ikke efter.
2. En databehandleraftale. Enhver, der behandler data på jeres vegne, skal have en. Det gælder os og de underleverandører, vi bruger. Aftalen siger, hvad der behandles, hvorfor, hvor længe og hvem der har adgang. Vi underskriver den, før vi rører data. Ikke som en formalitet. Som betingelse for, at vi bygger noget som helst.
3. Dataminimering. Løsningen får kun det, opgaven kræver. En arbejdsgang, der trækker felter ud af en lejekontrakt, skal have lejekontrakten. Den skal ikke have kundedatabasen. Jo mindre data i spil, jo mindre kan gå galt.
4. Behandling og hosting i EU. Det er ikke et lovkrav i alle tilfælde. Men det fjerner en hel kategori af spørgsmål om overførsel til tredjelande. Og det er det, danske virksomheder spørger om først.
5. Sporbarhed. I skal kunne se, hvad der blev sendt hvorhen. Det er også den log, I skal bruge, hvis en registreret beder om indsigt. Et system, hvor ingen kan svare på, hvad der skete i tirsdags, er et system, ingen tør bruge.

Bliver jeres data brugt til træning

Det er det spørgsmål, vi får oftest. Svaret afhænger helt af aftalen med den, der leverer modellen.

På erhvervsaftaler er standarden i dag, at data fra API-brug ikke bruges til træning. Men det er en aftale, ikke en naturlov. Få det på skrift. Tag ikke nogens ord for det. Heller ikke vores.

EU AI Act

Forordningen om kunstig intelligens gælder i faser. Almindelige automatiseringer i et kontor er ikke i højrisikokategorien: trække felter ud af et bilag, sortere en indbakke, skrive udkast til et tilbud. Men den, der bruger et AI-system, har stadig pligter. I skal vide, hvilke systemer I bruger, og hvad de gør.

Det praktiske råd er kedeligt, og det virker. Lav en liste over de AI-systemer, I bruger. Hvad de er. Hvilke data de rører. Hvem der ejer dem hos jer. Listen er fundamentet under alt andet. Den tager en formiddag.

Den ene ærlige ting

Vi skriver ikke, at en løsning er "fuldt GDPR-compliant". Det kan en leverandør ikke erklære på jeres vegne. Det afhænger af jeres hjemmel, jeres data, jeres opbevaring og jeres egne rutiner. Dem ejer vi ikke.

Enhver leverandør, der lover jer fuld compliance på jeres vegne, har enten ikke læst forordningen eller regner med, at I ikke har.

Vores halvdel er behandling i EU, en databehandleraftale, dataminimering, logning og dokumentation af, hvad der sker hvor. Den anden halvdel er en samtale med den ansvarlige hos jer. Den tager vi gerne med. Det er som regel den samtale, der gør resten muligt.

Kontrakter og bilag er det tydeligste eksempel. Men de fem ting dækker også det andet, der gentager sig: opkald I ikke når, indbakken, tilbud, indtastning mellem systemer, opfølgning, fakturering og rykkere, rapporter. Fortæl os, hvad der gentager sig. Så finder vi det, der sparer mest.

Det næste skridt

Anonymiserede dokumenter er nok til vores audit. I fortæller os, hvad der gentager sig. Vi kortlægger det gratis og skriver det ned inden for en uge: timer, kroner, hvor I skal starte, og én fast pris — eller et ærligt nej. Det tager højst 3 timer af jeres tid.

Få min gratis AI-audit