Gustav GDPR er ikke en mur, der forbyder AI. Det er et sæt krav til hvordan du behandler persondata. De fleste AI-projekter kan gennemføres lovligt, hvis du tænker dig om på de rigtige punkter inden du går i gang.
Her er de 8 spørgsmål jeg går igennem med virksomheder, før de tager AI i brug. Du kan svare på dem på ti minutter.
1. Indeholder dataene personoplysninger?
Hvis du kun arbejder med anonyme eller generelle data, er GDPR næsten ikke relevant. Så snart der indgår navne, e-mails, kundeoplysninger, sagsmateriale eller noget der kan identificere en person, gælder reglerne. Start med at afklare det.
2. Hvor sendes dataene hen?
Dette er det vigtigste punkt. Når du skriver noget ind i ChatGPT, sendes det til OpenAIs servere. For mange opgaver er det fint. For klientdata, kontrakter eller helbredsoplysninger er det en reel problemstilling. Find ud af hvor dataene rejser hen, før du sender dem.
3. Har du en databehandleraftale?
Bruger du en cloud-AI-tjeneste til persondata, skal du have en databehandleraftale med leverandøren. De fleste seriøse udbydere tilbyder en. Hvis du ikke kan finde den, er det et rødt flag.
4. Bruges dine data til at træne modellen?
Nogle gratis AI-tjenester bruger det du skriver ind til at træne deres modeller videre. Det betyder dine data potentielt kan dukke op i andres svar. Tjek indstillingerne, og slå træning fra hvis muligt, eller brug en betalt erhvervsversion hvor det er slået fra som standard.
5. Har du et lovligt grundlag?
Du skal kunne pege på en grund til at du må behandle dataene: en aftale, en legitim interesse eller et samtykke. For de fleste interne arbejdsopgaver er grundlaget ligetil, men du skal kunne svare på spørgsmålet hvis det stilles.
6. Er der følsomme data involveret?
Helbred, fagforening, religion, strafbare forhold og lignende er særligt følsomme kategorier med skærpede krav. Er den slags i spil, hæver du barren markant. For brancher som advokatfirmaer og klinikker er det her den lokale tilgang ofte bliver den eneste forsvarlige.
7. Kan du slette og dokumentere?
En person har ret til at få sine data slettet. Kan du det, hvis dataene ligger i en AI-tjeneste? Og kan du dokumentere hvad du gør med data, hvis Datatilsynet spørger? Hvis svaret er nej, skal det på plads først.
8. Den nemme genvej: hold dataene lokalt
Det meste af GDPR-besværet ved AI handler om at data forlader huset. Hvis du kører AI lokalt, på din egen maskine eller server, forsvinder størstedelen af problemet. Ingen data sendes til en tredjepart, ingen databehandleraftale med en cloud-gigant, ingen tvivl om hvor dataene ender.
Det er præcis ideen bag en lokal AI-sekretær: samme nytte som ChatGPT til de fleste opgaver, men alt bliver på din maskine. Læs også om det er sikkert at bruge ChatGPT i din virksomhed og se mere om GDPR-venlig AI.
Kort sagt
GDPR forbyder ikke AI. Det kræver bare at du ved hvor dine data rejser hen, og at du kan stå inde for det. Gå listen igennem, og er du i tvivl efter punkt 2, er lokal AI ofte det enkleste svar.
Vil du have hjælp til at tage AI i brug uden at bryde GDPR, så skriv til mig. Jeg bygger løsninger hvor dataene bliver hos dig.