Tjeklisten for udbyderen
Spørg enhver AI-udbyder om disse punkter:
- Findes der en databehandleraftale i henhold til artikel 28 GDPR?
- Hvor gemmes dataene, og hvilke underdatabehandlere findes der?
- Bruges kundedata til træning af AI-modeller?
- Hvordan beskyttes adgangsoplysninger og fortrolige felter?
- Hvem i teamet ser hvad, og kan det indstilles pr. person?
- Logges det, hvad AI'en har gjort?
Adgangsrettigheder: AI'en må ikke vise mere end mennesket
Et ofte overset punkt: En AI, der ved alt, kan utilsigtet give oplysninger til personer, der ikke burde se dem. Derfor skal de samme rettigheder gælde for AI'ens svar som for den person, der spørger. Personlige opgaver, private kalendere og fremmede postkasser hører ikke hjemme i svaret til kolleger.
Hvad EU AI Act yderligere kræver
Siden februar 2025 skal virksomheder, der anvender AI, sikre tilstrækkelig AI-kompetence hos deres medarbejdere (artikel 4). Personer, der kommunikerer med en AI om en person, skal oplyse om dette (artikel 50). For højrisikosystemer gælder effektiv menneskelig overvågning (artikel 14).
UK, USA og Canada
I Storbritannien gælder UK GDPR med meget lignende principper. I USA findes der ingen ensartet føderal lov, men delstatslove som California Consumer Privacy Act. I Canada regulerer PIPEDA håndteringen af personoplysninger i den private sektor. Tjeklisten ovenfor er et godt udgangspunkt overalt.
Hvem gør hvad?
AIRIS forbereder
- Datalagring i EU: Databasen er placeret i Frankfurt, filer i datacentre i EU. Kundedata bruges ikke til træning af AI-modeller.
- Rettigheder gælder også for AIRIS: AIRIS viser kun hver enkelt, hvad de selv må se. Opgaver og kalendere er personlige, postkasser tilhører præcis ét firma.
- Log og godkendelser: Hvad AIRIS gør, logges. Hvor selvstændigt den arbejder, bestemmer du pr. opgave.
- AI-kompetence i henhold til EU AI Act: Kurser med certifikat til dit team.
Du beslutter
- Hvilke data der overhovedet skal ind i et AI-system, bestemmer virksomheden, ikke udbyderen.
- Særlige kategorier som sundhedsdata kræver en separat vurdering.
- Denne vejledning erstatter ikke juridisk rådgivning.
