GDPR och AI: frågorna att ställa till leverantören
GDPR hindrar inte AI. Men den kräver att ni vet vad som händer med uppgifterna, och det börjar med rätt frågor till leverantören.
iSearch
Förr eller senare kommer frågan från dataskyddsombudet. Vilka personuppgifter hamnar i AI-verktyget, var behandlas de och vem kan se dem? Det är rimliga frågor. GDPR gäller fullt ut även när ett verktyg är nytt och spännande, och ju tidigare svaren finns på bordet, desto smidigare blir införandet.
Den goda nyheten är att svaren inte behöver vara komplicerade. Med rätt lösning blir de korta. Några frågor är värda att ställa till varje leverantör, och ett bra svar är lätt att känna igen.
Var uppgifterna behandlas
Det här är frågan som avgör mest. När en medarbetare ställer en fråga till en AI-assistent skickas frågan i väg, och ofta följer utdrag ur de dokument som svaret bygger på. Innehåller dokumenten personuppgifter, och det gör de nästan alltid, behandlas de där svaret tas fram.
Om det sker hos en extern leverantör blir den personuppgiftsbiträde, och ni behöver ett avtal som beskriver hur uppgifterna hanteras. Sker det dessutom utanför EU tillkommer frågor om överföringar. Allt det går att lösa, men det tar tid. Det kortaste svaret är en lösning där hela kedjan kan köras i er egen miljö. Då lämnar uppgifterna aldrig verksamheten.
Nära det ligger frågan om träning. Används era uppgifter för att träna modeller? Svaret ska vara ett tydligt nej. Det ni skriver in ska användas för att svara på era frågor och för ingenting annat, varken hos er eller hos någon annan kund.
Vem som ser vad
En AI-assistent får aldrig bli en genväg förbi behörigheterna. Om en medarbetare inte har rätt att läsa ett dokument ska assistenten inte heller kunna återge det. Det låter självklart, men det kräver att lösningen läser samma roller som era övriga system, i stället för en egen kopia som snart är inaktuell.
Fråga därför hur inloggning fungerar och om den sker med det konto medarbetarna redan har. Fråga hur roller styr åtkomsten och om känsliga ändringar kräver att två personer godkänner. Ett bra svar beskriver en lösning där principen om minsta möjliga åtkomst gäller från början.
Hur länge allt sparas
GDPR kräver att personuppgifter inte sparas längre än nödvändigt. Det gäller också frågor, svar och de loggar som en AI-assistent skapar. En bra lösning låter er styra lagringstider per typ av uppgift, så att historik rensas när den inte längre behövs.
Till sist gäller det de registrerades rättigheter. När någon begär ut sina uppgifter, eller vill att de raderas, ska det gå att göra för en enskild användare utan ett eget projekt. Fråga hur export och radering fungerar i praktiken. Fråga också hur det ser ut när uppgifter måste bevaras längre än vanligt, till exempel inför en tvist, och om det finns stöd för legal hold. Ett säkert svar visar att leverantören har tänkt på hela livscykeln, från första dagen till avslut.
Så fungerar det i iSearch
Hela kedjan i iSearch kan köras i er egen miljö, språkmodellen inräknad. Då lämnar personuppgifterna aldrig verksamheten. Om ni hellre vill att vi sköter driften får ni en egen, separat installation och ett personuppgiftsbiträdesavtal.
Inloggning sker med SSO och MFA, och rollbaserad åtkomst och fyraögonsprincip styr vem som ser och ändrar vad. Lagringstider sätts per typ av uppgift, uppgifter kan exporteras och raderas per användare och legal hold ingår. Era uppgifter används aldrig för att träna modeller.
Läs mer om säkerheten, vår integritetspolicy eller boka en genomgång.