Skal dere bruke KI på
personopplysninger?
Da må dere trolig gjøre en vurdering av personvernkonsekvenser, en DPIA. For å gjøre den godt, må dere vite mye om selve teknologien.
Hva er en DPIA?
En DPIA er en vurdering av hvilke konsekvenser en behandling av personopplysninger kan få for dem det gjelder. Personvernforordningen krever den når behandlingen sannsynligvis gir høy risiko, særlig når ny teknologi tas i bruk. Datatilsynet har i tillegg en liste over behandlinger som alltid krever DPIA.
En DPIA er ikke det samme som en databehandleravtale. Avtalen regulerer hva leverandøren får gjøre med opplysningene. DPIA-en vurderer om og hvordan dere bør behandle dem.
Hvis den mangler
Mangler en DPIA der den er påkrevd, kan Datatilsynet gi overtredelsesgebyr og pålegge dere å stanse behandlingen.
Dette skal en DPIA minst inneholde
Beskrivelse
Hva opplysningene brukes til, og hvorfor.
Nødvendighet
Om behandlingen er nødvendig og står i forhold til formålet.
Risiko
Hvilken risiko behandlingen gir for dem det gjelder.
Tiltak
Hva dere gjør for å redusere risikoen.
Kilde: Datatilsynet om kunstig intelligens og personvernkonsekvenser og Datatilsynets veiledning om DPIA.
Der jeg kan hjelpe
For å vurdere en KI-løsning må dere vite hvordan den virker. Hvilke opplysninger får den tilgang til, hvor lagres de, hvem hos leverandøren kan se dem, og hva står i avtalen? Svarene ligger spredt i tekniske dokumenter, avtaler og regelverk, og det tar tid å samle dem.
Her kan jeg komme inn for å samle og forklare informasjonen, slik at dere har et grundig grunnlag når dere tar beslutningen.
Hvordan verktøyet virker
Modell, lagring og hva leverandøren får se.
Hvilke opplysninger
Hva som legges inn, og hva som aldri bør inn.
Hva regelverket krever
Forordningen og Datatilsynets veiledning, satt opp mot deres løsning.
Et samlet grunnlag
Det dere trenger for å skrive vurderingen og ta beslutningen.