Sjekkliste for leverandøren
Spør enhver KI-leverandør om disse punktene:
- Finnes det en databehandleravtale i henhold til artikkel 28 GDPR?
- Hvor lagres dataene, og hvilke underdatabehandlere finnes?
- Brukes kundedata til trening av KI-modeller?
- Hvordan beskyttes tilgangsdata og konfidensielle felt?
- Hvem i teamet ser hva, og kan dette stilles inn per person?
- Protokollføres det hva KI-en har gjort?
Tilgangsrettigheter: KI-en skal ikke vise mer enn personen
Et ofte oversett punkt: En KI som vet alt, kan utilsiktet gi informasjon til personer som ikke skulle hatt tilgang til den. Derfor må svar fra KI-en følge de samme rettighetene som personen som spør. Personlige oppgaver, private kalender og andres innbokser hører ikke hjemme i svaret til kolleger.
Hva EU AI Act krever i tillegg
Siden februar 2025 må bedrifter som bruker KI, sørge for tilstrekkelig KI-kompetanse hos sine ansatte (artikkel 4). De som kommuniserer med mennesker om en KI, må opplyse om dette (artikkel 50). For høyrisikosystemer gjelder effektiv menneskelig tilsyn (artikkel 14).
Storbritannia, USA og Canada
I Storbritannia gjelder UK GDPR med svært like prinsipper. I USA finnes ingen enhetlig føderal lov, men delstatslover som California Consumer Privacy Act. I Canada regulerer PIPEDA håndtering av personopplysninger i privat sektor. Sjekklisten ovenfor er et godt utgangspunkt overalt.
Hvem gjør hva?
AIRIS forbereder
- Datalagring i EU: Databasen ligger i Frankfurt, filer i datasentre i EU. Kundedata brukes ikke til trening av KI-modeller.
- Rettigheter gjelder også for AIRIS: AIRIS viser kun det hver enkelt har lov til å se. Oppgaver og kalendere er personlige, innbokser tilhører nøyaktig ett firma.
- Protokoll og godkjenninger: Hva AIRIS gjør, blir protokollført. Hvor selvstendig den jobber, bestemmer du per oppgave.
- KI-kompetanse i henhold til EU AI Act: Opplæring med sertifikat for teamet ditt.
Du bestemmer
- Hvilke data som i det hele tatt skal inn i et KI-system, bestemmes av bedriften, ikke av leverandøren.
- Spesielle kategorier som helsedata krever en egen vurdering.
- Denne veiledningen erstatter ikke juridisk rådgivning.
