Hur gäller GDPR för AI?
GDPR gäller för AI så snart personuppgifter behandlas, i frågor, i dokument som AI läser eller i svaren den ger.
Dataskyddsförordningen gör ingen skillnad på AI och andra system. Det som avgör är om personuppgifter behandlas. I en intern assistent händer det ofta, eftersom dokument och frågor nämner människor.
Samma grundregler gäller som för annan behandling. Det behövs en rättslig grund, uppgifterna ska begränsas till det som behövs och de ska skyddas. När behandlingen kan innebära hög risk för de registrerade krävs en konsekvensbedömning.
Var uppgifterna behandlas spelar stor roll. Sker det hos en extern leverantör blir den personuppgiftsbiträde. Sker det utanför EU och EES tillkommer regler om överföring.
Så fungerar det
Personuppgifter kan finnas på flera ställen i ett AI-flöde. I dokumenten som AI söker i, i frågorna som ställs, i svaren och i loggarna. Varje ställe behöver ett ändamål, en rättslig grund och en plan för hur länge uppgifterna sparas.
De registrerade har samma rättigheter som annars. De har rätt att få veta hur deras uppgifter används, att få dem rättade och i vissa fall raderade.
Därför spelar det roll
En AI-tjänst kan sprida uppgifter till sammanhang där de inte hör hemma. Ett ärende som var känt för en handläggare kan bli sökbart för fler. Att tänka igenom dataskyddet från början är enklare än att rätta i efterhand.
Att tänka på
Kravet på riktighet gäller även AI-svar. Om en assistent hittar på uppgifter om en person är det felaktiga personuppgifter.
Beslut som enbart fattas automatiskt och som har rättsliga eller liknande följder för någon omfattas av särskilda regler. Låt en människa fatta beslutet.
Vad det betyder för er
Ta reda på var era uppgifter behandlas och vem som kan nå dem innan ni väljer en AI-tjänst.
Vanliga frågor
Får vi använda AI med personuppgifter?
Ja, om behandlingen följer GDPR. Det behövs en rättslig grund, ett tydligt ändamål och skydd för uppgifterna. Reglerna är desamma med eller utan AI.
Behöver vi göra en konsekvensbedömning?
Ja, när behandlingen kan innebära hög risk för de registrerade. Användning av ny teknik är en av omständigheterna som talar för det. Läs mer om konsekvensbedömning.
Får vi skicka personuppgifter till en AI-tjänst utanför EU?
Bara under vissa villkor, till exempel ett beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder. Läs mer om tredjelandsöverföring.
Får leverantören använda våra uppgifter för att träna modeller?
Ett personuppgiftsbiträde får bara behandla uppgifterna enligt era instruktioner. Använder leverantören dem för egna syften blir den själv ansvarig för den behandlingen. Kontrollera vad avtalet säger.
Källor: Förordning (EU) 2016/679 på EUR-LexVägledning om GDPR och AI från IMY
Relaterade begrepp
Läs mer
Alla begrepp Uppdaterad