AI og GDPR: Sådan bruger du AI på en ansvarlig måde

Vi bruger AI hver eneste dag.

Til idéudvikling, korrektur, research og planlægning. AI gør os hurtigere og fungerer som en stærk sparringspartner i vores arbejde.

Men vi har også én klar holdning om, at AI skal bruges ansvarligt.

GDPR forbyder ikke brugen af AI. Til gengæld stiller reglerne krav til, hvordan personoplysninger behandles – uanset om det sker i et AI-værktøj eller et hvilket som helst andet system.

I denne artikel gennemgår vi fem ting, som vi mener, alle virksomheder bør have styr på.

Del aldrig personoplysninger med et AI-værktøj, uden at du ved, om det er forsvarligt.

Det lyder måske banalt, men det er den vigtigste regel.

Personoplysninger er langt mere end navne og e-mailadresser. Det kan også være telefonnumre, kundeoplysninger, medarbejderdata, billeder, IP-adresser eller andre oplysninger, der kan identificere en person.

Skal AI hjælpe med at formulere et svar til en kunde eller analysere et dokument, kan det ofte lade sig gøre ved først at anonymisere oplysningerne.

Eksempelvis kan du erstatte navne med "Kunde A" eller "Medarbejder B" og fjerne andre oplysninger, der kan identificere personen.

Jo færre personoplysninger du deler, desto mindre er risikoen.

Ikke alle AI-værktøjer håndterer data på samme måde. 

Vi anbefaler altid, at du undersøger, hvordan et AI-værktøj behandler dine data, før du tager det i brug.

Start med at undersøge:

• Hvor bliver data opbevaret?
• Bliver prompts og dokumenter brugt til at træne AI-modellen?
• Kan denne funktion slås fra?
• Tilbyder leverandøren en databehandleraftale?
• Hvilke sikkerhedsforanstaltninger er implementeret?

Mange betalte AI-løsninger tilbyder bedre databeskyttelse end de gratis versioner. Blandt andet fordi dine data er private, og det er muligt at få en databehandleraftale. Gratis versioner bruger dine data til at træne deres modeller. Derfor bør du som virksomhed tage stilling til, hvilke AI-værktøjer medarbejderne må benytte. 

Mange af de kendte LLM'er kommer fra USA, så det er en fordel at finde ud af, om virksomheden er en del af EU-US Data Privacy Framework. Du kan selv undersøge virksomheden her.

GDPR gælder ikke mindre, når du bruger AI.

Hvis du behandler personoplysninger i et regneark, et CRM-system eller et AI-værktøj, er det de samme regler, der gælder. 

Du har stadig ansvaret for at kunne forklare, hvorfor oplysningerne behandles, og hvorfor behandlingen er nødvendig. Det ansvar kan ikke outsources til et AI-værktøj.

Er du ikke tryg ved at behandle de samme oplysninger i et hvilket som helst andet system, så skal du nok heller ikke dele dem med AI.

AI tager ofte fejl. Også selvom svaret lyder overbevisende.

Derfor bør du altid gennemlæse den information, du får.

AI kan fx:

• misforstå dit spørgsmål
• opfinde fakta eller kilder
• komme med forældet viden
• drage forkerte konklusioner (selvom de kan lyde rigtige)

Det gælder ikke kun i forhold til GDPR, men ved al brug af AI. 

Vi bruger selv AI hver eneste dag, men uanset om AI hjælper os med idéer, research eller korrektur, er det altid et menneske, der vurderer og kvalitetssikrer resultatet.

De fleste virksomheder har allerede retningslinjer for informationssikkerhed. AI bør være en naturlig del af dem.

En AI-politik kan fx beskrive:

• hvilke AI-værktøjer medarbejderne må bruge
• hvilke oplysninger der aldrig må deles med AI
• hvordan AI-genereret indhold kvalitetssikres
• hvem medarbejderne kan kontakte ved tvivl
• hvordan virksomheden dokumenterer sin brug af AI

Klare retningslinjer gør det nemmere for medarbejderne at bruge AI med ro i maven.

Vi synes ikke, virksomheder skal være tilbageholdende med at bruge AI. Tværtimod ser vi et enormt potentiale i teknologien, når den bliver brugt rigtigt.

Men vi mener også, at virksomheder skylder både kunder og medarbejdere at have styr på, hvordan AI bliver brugt.

Det er ikke nødvendigt for medarbejdere at være eksperter i GDPR, men at lade dem vide, hvad der er okay, og hvad der ikke er okay.