AI Act erstatter ikke GDPR. En AI-anvendelse kan være lavrisiko efter AI-forordningen og stadig indebære ulovlig behandling af personoplysninger. Omvendt gør et databehandlingsgrundlag ikke nødvendigvis et højrisiko-AI-system lovligt efter AI Act.

De to regelsæt skal håndteres sammen.

1. Behandler vi personoplysninger?

Navn og e-mail er oplagte. Men fritekst, sagsbeskrivelser, mødenoter, stemmer, billeder, lokationsdata og kombinationer af oplysninger kan også gøre en person identificerbar. Pseudonymisering er ikke det samme som anonymisering.

2. Hvad er formålet?

»Vi vil bruge AI« er ikke et formål. Et konkret formål kan være: »at skabe et udkast til et internt referat, som mødelederen kontrollerer«. Formålet afgør nødvendighed, dataminimering, information og behandlingsgrundlag.

3. Hvad er behandlingsgrundlaget?

Organisationen skal identificere et gyldigt grundlag for behandlingen. Ved særlige kategorier af personoplysninger kræves desuden en relevant undtagelse. Samtykke er ikke en universalløsning, especielt ikke i relationer med magtubalance.

EDPB understreger, at vurderinger omkring legitim interesse, anonymitet og ulovligt behandlede træningsdata er konkrete og ikke kan afgøres generelt for alle modeller.

4. Hvem modtager data?

Kortlæg leverandør, underdatabehandlere, tredjepartsconnectors, supportadgang, lagring og eventuelle tredjelandsoverførsler. Kontroller kontrakter og den faktiske administratoropsætning - ikke kun markedsføringssiden.

5. Er behandlingen nødvendig og proportional?

Indsæt ikke et helt personaledokument, hvis opgaven kan løses med tre anonymiserede punkter. Dataminimering gælder også prompts, filer, logs og output.

6. Kræves en konsekvensanalyse?

En DPIA kan være nødvendig, når behandlingen sandsynligvis indebærer høj risiko for personers rettigheder og frihedsrettigheder. Det kan være relevant ved ny teknologi, systematisk vurdering, store datamængder, sårbare personer eller følsomme oplysninger. For offentlige myndigheder bør databeskyttelse integreres fra projektets begyndelse - ikke tilføjes lige før lancering.

7. Hvordan udgøver mennesker deres rettigheder?

Organisationen skal kunne håndtere information, indsigt, rettelse, sletning eller indsigelse, hvor reglerne giver ret til det. Det kræver viden om, hvor prompts, output, logs og afledte data findes.

AI-output kan selv indeholde personoplysninger

Risikoen ligger ikke kun i det, brugeren uploader. Modellen kan generere påstande om virkelige personer. Hvis oplysningerne registreres eller bruges, har organisationen ansvar for korrekthed, relevans og lovlighed.

Den gode tommelfingerregel

Hvis du ikke ville sende materialet ukrypteret til en ukendt ekstern konsulent uden aftale, bør du heller ikke indsætte det i en ukontrolleret AI-tjeneste.