Personvernforordningen ble skrevet før språkmodellene kom. Likevel er den det viktigste regelverket for KI-bruk i norske bedrifter i dag.
Se også det mer utfyllende svaret: Hva må vi tenke på med GDPR når vi tar i bruk KI?
GDPR nevner ikke KI spesifikt, men gjelder fullt ut så snart et KI-verktøy behandler personopplysninger. Da må dere ha lovlig grunnlag, informere folk, ha databehandleravtale med leverandøren, og aldri la maskinen alene avgjøre viktige spørsmål om enkeltpersoner.
GDPR handler ikke om verktøy, den handler om personopplysninger. Om opplysningene behandles i et regneark, et fagsystem eller en språkmodell spiller ingen rolle for reglene. Det som endrer seg med KI, er hvor lett det er å trå feil. Å lime en kundeliste inn i en samtalerobot føles mindre alvorlig enn å sende den til en ukjent leverandør, men juridisk er det ofte akkurat det samme.
De fire kravene under dekker det meste av det en vanlig norsk bedrift møter.
All behandling av personopplysninger trenger en grunn loven godtar, for eksempel avtale, samtykke eller berettiget interesse. Å legge kundedata i et KI-verktøy er en behandling, og trenger sitt eget grunnlag.
Kunder og ansatte skal kunne vite hvordan opplysningene deres brukes. Tar dere i bruk KI som behandler persondata, skal personvernerklæringen speile det, i klart språk.
Behandler leverandøren personopplysninger på deres vegne, kreves en databehandleravtale. Gratisversjoner av KI-verktøy mangler som regel dette, virksomhetsversjoner har det.
Beslutninger med stor betydning for enkeltpersoner, som ansettelse eller kreditt, kan ikke tas av maskinen alene. Et menneske må reelt kunne overprøve resultatet.
Start med en oversikt over hvilke KI-verktøy som er i bruk, og hvilke av dem som ser personopplysninger. Sørg for virksomhetsavtaler der det trengs, og oppdater personvernerklæringen. Det er en overkommelig jobb, og den gjøres én gang skikkelig i stedet for å ryddes opp i etterpå. Vi har også svart på om dere må ha databehandleravtale for KI-verktøy, og hva som gjelder når dere vil legge kundedata i en språkmodell.
Trenger dere hjelp til å få dette inn i en helhetlig plan, er det kjernen i vår AI-strategi. Og bygger vi automatisering eller AI-agenter for dere, ligger personvernkravene inne fra første skisse, ikke som et vedlegg til slutt.
Vi går gjennom verktøyene og gir dere en konkret liste over hva som eventuelt må på plass. Første samtale er uforpliktende.