Seks spørsmål til enhver AI-leverandør før dere overlater kundedata

Mange virksomheter nøler med å ta i bruk AI på grunn av personvern, og ofte med god grunn. Den gode nyheten er at man ikke trenger å være jurist for å identifisere seriøse leverandører. Disse seks spørsmålene bør dere stille enhver leverandør før overføring av kundedata finner sted. En unnvikende holdning er i seg selv et tydelig svar.

1. «Foreligger det en databehandleravtale?»

I henhold til artikkel 28 i GDPR kreves en formell avtale der leverandøren forplikter seg til utelukkende å behandle data etter deres instrukser. Uten en slik avtale skal det aldri deles kundedata.

2. «Hvor lagres dataene, og hvem andre er involvert?»

Be om innsyn i hvilke datasentre og underdatabehandlere som benyttes. Datalagring innenfor EU/EØS forenkler de rettslige rammene betraktelig.

3. «Brukes våre data til modelltrening?»

Det eneste akseptable svaret er nei. Virksomhetens kundedata tilhører dere, ikke leverandørens modell.

4. «Har AI-løsningen videre innsyn enn medarbeideren som stiller spørsmålet?»

Dette er et spørsmål som ofte overses. En AI-modell som har universell tilgang, kan utilsiktet formidle sensitiv informasjon videre til kolleger som ikke har tjenstlig behov – eksempelvis fra private e-postbokser eller personlige kalendere. For AI-genererte svar må det gjelde nøyaktig samme tilgangsrettigheter som for den enkelte ansatte.

5. «Hva kan løsningen foreta seg autonomt, og kan dette justeres?»

For hver enkelt oppgave må det kunne konfigureres hvorvidt modellen kun skal gi forslag, handle etter godkjenning eller arbeide selvstendig – og slike tillatelser må til enhver tid kunne trekkes tilbake.

6. «Kan enhver handling etterprøves?»

En detaljert revisjonslogg over hva modellen gjorde, når handlingen fant sted og på hvilket grunnlag, er fundamentet for forsvarlig kontroll og oppfølging av innsynsbegjæringer.

Hva med land utenfor EU/EØS?

I Storbritannia gjelder UK GDPR med tilsvarende prinsipper, i USA finnes delstatslover som California Consumer Privacy Act, og i Canada regulerer PIPEDA feltet. De seks spørsmålene fungerer uansett som et solid utgangspunkt overalt. De erstatter likevel ikke særskilt juridisk rådgivning.