Varför generativ AI blivit en tyst dataskyddsrisk
Generativ AI har på kort tid blivit en självklar del av många medarbetares vardag. Man klistrar in ett kundavtal för att få det sammanfattat, ett personalärende för att få hjälp med formuleringar eller en kravspecifikation för att få den förbättrad. Produktiviteten ökar omedelbart, och det är just därför risken är så lätt att missa. För varje sådan inmatning kan känsliga uppgifter lämna bolagets kontroll, ofta utan att någon fattat ett medvetet beslut om det.
Problemet är inte tekniken i sig, utan var och hur den används. När personuppgifter eller affärshemligheter matas in i ett verktyg som varken är bundet av sekretess eller garanterar att uppgifterna inte lagras eller används för att träna modellen, riskerar bolaget att bryta mot dataskyddet. Den här artikeln förklarar var riskerna ligger, hur leverantörsavtal för AI bör utformas och hur ni låter medarbetarna dra nytta av generativ AI utan att exponera bolaget.
Var GDPR möter generativ AI
Dataskyddet bryr sig inte om huruvida ett verktyg är nytt eller smart, utan om vad som händer med personuppgifterna. Generativ AI utmanar flera av regelverkets grundbultar samtidigt.
Rättslig grund och ändamål
All behandling av personuppgifter kräver en rättslig grund och ett tydligt ändamål. Att mata in uppgifter i ett AI-verktyg är en behandling, och om ändamålet är oklart eller den rättsliga grunden saknas är behandlingen i sig problematisk, oavsett hur nyttigt resultatet känns. Bolag behöver alltså veta inte bara att de använder AI, utan på vilken grund och för vilket syfte.
Var hamnar uppgifterna?
Den avgörande frågan är vad verktyget gör med det som matas in. Lagras uppgifterna? Används de för att träna modellen? Förs de över till länder utanför EU? Ett allmänt konsumentverktyg ger sällan tydliga garantier på dessa punkter, och utan dem förlorar bolaget kontrollen över uppgifterna i samma stund de klistras in. Specialiserade lösningar som avtalat bort lagring och träning, och som håller uppgifterna inom rätt geografi, gör samma uppgift utan samma exponering.
Leverantörsavtalet är där risken avgörs
För de flesta bolag avgörs dataskyddsrisken inte av hur AI fungerar tekniskt, utan av vad som står i avtalet med leverantören. Ett genomtänkt avtal klargör om leverantören är personuppgiftsbiträde och binder den vid att behandla uppgifterna enbart enligt instruktion. Det reglerar konfidentialitet, förbjuder eller begränsar användning av era uppgifter för modellträning, fastställer var uppgifterna får behandlas och säkrar era rättigheter till radering och granskning.
Utan dessa villkor bär bolaget en risk det kanske inte ens känner till. Med dem förvandlas generativ AI från en okontrollerad exponering till ett verktyg på bolagets villkor. Att granska och förhandla dessa avtal är därför inte en teknisk detalj utan kärnan i en ansvarsfull AI-användning.
Praktiskt exempel: sammanfattningen som blev ett dataskyddsbrott
Tänk er ett bolag där HR-avdelningen börjat använda ett allmänt AI-verktyg för att sammanfatta och strukturera känsliga personalärenden, inklusive uppgifter om hälsa och konflikter. Det sparar tid, och rutinen sprider sig snabbt i teamet.
Vad ingen tänkt på är att verktyget varken är avtalat som personuppgiftsbiträde eller garanterar att uppgifterna inte lagras eller används för träning, och att särskilt känsliga personuppgifter därmed lämnat bolagets kontroll utan rättslig grund. När frågan väcks internt står bolaget med en pågående olaglig behandling, en oklar bild av var uppgifterna tagit vägen och en anmälningsbar incident att hantera. En tydlig policy för vad som får matas in var, och ett verktyg med rätt avtal, hade gett samma tidsvinst utan brottet.
Vanliga misstag som företag gör
Det första misstaget är att betrakta AI-verktyg som vilket kontorsverktyg som helst och förbise att varje inmatning av personuppgifter är en behandling som GDPR styr.
Det andra misstaget är att sakna en policy för vad medarbetarna får mata in i vilka verktyg. Utan tydliga regler uppstår skuggbruk, där väl menande medarbetare exponerar bolaget i jakt på effektivitet.
Det tredje misstaget är att förlita sig på ett verktygs allmänna marknadsföring om säkerhet i stället för på vad som faktiskt står i avtalet. Det är avtalsvillkoren, inte löftena, som avgör var uppgifterna hamnar.
Juridiska risker
Riskerna är konkreta och kumulativa. Behandling utan rättslig grund, otillräcklig information till de registrerade eller överföring av uppgifter utanför EU utan rätt skydd är alla överträdelser som dataskyddets sanktionssystem omfattar, med betydande maxavgifter. Inmatning av affärshemligheter i ett verktyg utan sekretess kan dessutom röja information bolaget har ett starkt intresse av att skydda.
Utöver sanktionerna finns förtroenderisken. Kunder, anställda och partner förväntar sig att deras uppgifter hanteras varsamt, och ett bolag som visar sig ha läckt känslig information genom oförsiktig AI-användning skadar ett förtroende som tar lång tid att bygga upp igen.
Rekommenderade åtgärder
Börja med att kartlägga var i organisationen generativ AI redan används och vilka uppgifter som matas in. Fastställ därefter en tydlig policy för vad som får matas in i vilka verktyg, och säkerställ att medarbetarna förstår den.
Granska och förhandla avtalen med era AI-leverantörer så att de reglerar biträdesförhållande, konfidentialitet, träning, geografi och era rättigheter. Välj specialiserade lösningar för känsliga uppgifter, och säkerställ rättslig grund och information till de registrerade där det krävs. Behandla detta som en levande fråga och se över både policy och avtal i takt med att användningen och regelverket utvecklas.
Vanliga frågor om generativ AI och GDPR
Är det olagligt att använda generativ AI i vårt bolag?
Nej, men det måste ske inom dataskyddets ramar. Med rättslig grund, tydlig policy och rätt leverantörsavtal kan generativ AI användas lagligt. Risken uppstår när känsliga uppgifter matas in i verktyg utan dessa skydd.
Vad är det farligaste misstaget?
Att klistra in personuppgifter eller affärshemligheter i ett allmänt AI-verktyg som varken är bundet av sekretess eller garanterar att uppgifterna inte lagras eller används för träning. Då lämnar uppgifterna bolagets kontroll.
Hur vet vi om vårt AI-verktyg är säkert ur GDPR-synpunkt?
Svaret ligger i avtalet, inte i marknadsföringen. Kontrollera om leverantören agerar personuppgiftsbiträde, om era uppgifter används för träning, var de behandlas och vilka rättigheter ni har till radering och granskning.
Behöver vi ett personuppgiftsbiträdesavtal med vår AI-leverantör?
Om leverantören behandlar personuppgifter för er räkning behövs i regel ett sådant avtal. Det binder leverantören vid att behandla uppgifterna enbart enligt era instruktioner och med rätt skyddsåtgärder.
Räcker det att utbilda personalen?
Utbildning är viktig men inte tillräcklig. Den behöver kombineras med en tydlig policy och med leverantörsavtal som faktiskt skyddar uppgifterna, eftersom även en välutbildad medarbetare behöver säkra verktyg att arbeta i.
Sammanfattning
Generativ AI är ett kraftfullt verktyg, men det möter dataskyddet i samma stund personuppgifter matas in. De bolag som hamnar i trubbel gör det sällan av illvilja, utan för att väl menande medarbetare sökt effektivitet i verktyg som aldrig var avtalade för bolagets känsliga information. De som i stället sätter en tydlig policy, väljer rätt verktyg och förhandlar rätt avtal kan dra full nytta av generativ AI utan att förlora kontrollen över sina uppgifter.
Lawgent hjälper bolag att använda generativ AI på ett sätt som håller juridiskt, från policy och kartläggning till granskning och förhandling av leverantörs- och biträdesavtal. Vi kombinerar erfaren affärsjuridisk rådgivning med AI-driven effektivitet, så att ni får tydlig och praktisk vägledning snabbare och mer kostnadseffektivt än hos en traditionell byrå. Vill ni veta om er AI-användning håller måttet enligt GDPR? Kontakta Lawgent för en genomgång.
