Checklista för leverantören
Fråga varje AI-leverantör om dessa punkter:
- Finns ett biträdesavtal enligt artikel 28 GDPR?
- Var lagras data, och vilka underbiträden finns?
- Används kunddata för att träna AI-modeller?
- Hur skyddas åtkomstuppgifter och konfidentiella fält?
- Vem i teamet ser vad, och kan det ställas in per person?
- Loggas vad AI:n har gjort?
Åtkomsträttigheter: AI:n får inte visa mer än människan
En ofta förbisedd punkt: En AI som vet allt kan oavsiktligt ge information till personer som inte borde se den. Därför måste samma rättigheter gälla för AI:ns svar som för personen som frågar. Personliga uppgifter, privata kalendrar och andras inkorgar hör inte hemma i svaret till kollegor.
Vad EU AI Act kräver ytterligare
Sedan februari 2025 måste företag som använder AI säkerställa tillräcklig AI-kompetens hos sina anställda (artikel 4). Den som kommunicerar med människor om en AI måste uppge detta (artikel 50). För högrisksystem gäller effektiv mänsklig tillsyn (artikel 14).
Storbritannien, USA och Kanada
I Storbritannien gäller UK GDPR med mycket liknande principer. I USA finns ingen enhetlig federal lag, men delstatslagar som California Consumer Privacy Act. I Kanada reglerar PIPEDA hanteringen av personuppgifter inom privat sektor. Checklistan ovan är en bra utgångspunkt överallt.
Vem gör vad?
AIRIS förbereder
- Datalagring i EU: Databasen finns i Frankfurt, filer i datacenter inom EU. Kunddata används inte för att träna AI-modeller.
- Rättigheter gäller även för AIRIS: AIRIS visar bara för var och en vad de själva får se. Uppgifter och kalendrar är personliga, inkorgar tillhör exakt ett företag.
- Loggning och godkännanden: Vad AIRIS gör loggas. Hur självständigt den arbetar bestämmer ni per uppgift.
- AI-kompetens enligt EU AI Act: Utbildningar med certifikat för ert team.
Du bestämmer
- Vilken data som överhuvudtaget ska ingå i ett AI-system bestäms av företaget, inte av leverantören.
- Särskilda kategorier som hälsodata kräver en egen granskning.
- Denna guide ersätter inte juridisk rådgivning.
