AI og personvern: slik utvikler du GDPR-trygt med AI

Kort forklart

Spørsmålet «kan vi bruke AI når vi behandler persondata?» har et kort svar: ja, når det gjøres bevisst. GDPR forbyr ikke AI. Den krever det samme av AI-behandling som av all annen behandling: rettslig grunnlag, kontroll på hvor dataene flyter, avtaler med dem som behandler på dine vegne, og dokumenterte vurderinger der risikoen tilsier det.

Problemet i norske virksomheter i dag er sjelden AI-systemene som er utviklet med omhu. Det er den ukontrollerte bruken: persondata limt inn i gratisverktøy, uten avtale, utenfor Europa, utenfor enhver oversikt.

De fire kravene for GDPR-trygg AI-bruk

I tillegg gjelder et prinsipp som er lett å glemme: treningsdata er ikke driftsdata. Avtalen med AI-leverandøren bør slå fast at dine data ikke brukes til å trene leverandørens modeller.

Fallgruvene vi faktisk ser

• Skygge-AI: ansatte bruker private AI-kontoer til jobbdata fordi virksomheten ikke har gitt dem et godkjent alternativ. Forbud uten alternativ flytter bare bruken under radaren
• For mye kontekst: systemer som sender hele dokumenter eller kundeprofiler til AI-tjenesten når oppgaven bare krever et utdrag
• Uklart ansvar: ingen vet hvem som har vurdert AI-leverandøren, hvor dataene behandles, eller om avtalen dekker bruken
• Logger som lekker: AI-svar og prompts lagres i logger uten samme beskyttelse som dataene de inneholder

Alle fire løses med samme grep: AI-funksjonalitet utvikles inn i virksomhetens egne systemer, med tilgangsstyring, logging og bevisste valg av leverandør og region. Da får de ansatte AI-kraften de uansett kommer til å bruke, innenfor kontroll. Det er kjernen i det vi kaller AI-utvikling med ansvar.

Hva med norske og europeiske data spesielt?

For norske virksomheter, og særlig offentlig sektor, er EU/EØS-behandling ofte et absolutt krav, ikke en preferanse. Det er fullt gjennomførbart: både systemene vi utvikler og AI-tjenestene de bruker kan kjøre i europeiske regioner, med databehandleravtaler i bunn. Vi drifter selv all kundedata i EU, og har beskrevet sikkerhetsarbeidet vårt i hvordan vi utvikler sikkert med BankID og GDPR.

Sjekkliste før dere tar AI inn i et system med persondata

1. Hvilke persondata er involvert, og trenger AI-funksjonen dem egentlig?
2. Hvilken AI-leverandør, hvilken region, og finnes databehandleravtale?
3. Brukes dataene til trening? Svaret skal være nei
4. Kreves DPIA? Ved tvil: gjør vurderingen
5. Hvem ser AI-svarene, og hvor lagres de?
6. Har de ansatte et godkjent AI-verktøy, så skygge-AI ikke oppstår?

Ofte stilte spørsmål

Er det lov å bruke ChatGPT, Claude eller Gemini med persondata? Med virksomhetsavtale, databehandleravtale og riktige innstillinger: ja, for mange formål. Med private gratiskontoer: nei. Forskjellen ligger i avtaleverket og innstillingene, ikke i verktøyets navn.

Må vi ha DPIA for all AI-bruk? Nei. DPIA kreves når behandlingen sannsynligvis medfører høy risiko for enkeltpersoners rettigheter, for eksempel profilering eller behandling av særlige kategorier. En kort vurdering av om DPIA kreves, bør uansett dokumenteres.

Kan AI-funksjoner kjøre helt uten at data forlater systemet vårt? I økende grad, ja: modeller kan kjøres i egen skyregion eller på egen infrastruktur for særlig sensitive behov. For de fleste er europeisk region hos en etablert leverandør med databehandleravtale den riktige balansen.

Kort oppsummert

• GDPR forbyr ikke AI. Kravene er databehandleravtale, EU/EØS-behandling, dataminimering og DPIA der risikoen tilsier det.
• Den reelle risikoen er ukontrollert bruk, ikke gjennomtenkte systemer. Gi de ansatte et godkjent alternativ.
• Avtal at dine data ikke brukes til trening av leverandørens modeller.
• Utviklet inn i egne systemer får AI-funksjonalitet samme kontroll som resten av databehandlingen.

Skal dere ta AI i bruk der persondata er involvert? Ta kontakt, så går vi gjennom behovet og kravene sammen, konkret og uten skremselsbilder. Se også AI-utvikling hos oss.