GDPR og AI-forordningen: virksomhedens pligter

I har sikkert allerede et opdateret register over behandlingsaktiviteter, og måske en konsekvensanalyse (DPIA) for rekrutteringsværktøjet, HR har brugt i et par år. Så tilføjer leverandøren en AI-drevet kandidatrangering til samme værktøj, stille og roligt, som en opdatering blandt alle de andre. Nu har nogen læst, at AI-forordningen også gælder for jer, og den første reaktion er ofte: skal alt laves om fra bunden for hver eneste AI-funktion, der allerede findes i systemerne? Svaret er nej — det meste af det GDPR-arbejde, I allerede har på plads, holder og fungerer som grundlag. Men databeskyttelsesforordningen (GDPR) og AI-forordningen stiller ikke helt det samme spørgsmål, og den, der behandler dem som én og samme øvelse, efterlader huller, som Datatilsynet — eller en anden myndighed — kan finde.

To regler, ét spørgsmål? Nej, to forskellige spørgsmål

GDPR stiller et afgrænset spørgsmål: behandles personoplysninger lovligt, korrekt og til et bestemt formål. AI-forordningen stiller et bredere spørgsmål: udgør systemet en risiko for menneskers sundhed, sikkerhed eller grundlæggende rettigheder, uanset om der behandles personoplysninger eller ej. Et værktøj til CV-screening, en kundevendt chatbot eller et kreditscoringsystem havner næsten altid under begge spørgsmål samtidig. GDPR har gældt i Danmark siden 2018 og ændres ikke af, at AI-forordningen kommer til — den lægges oveni, den erstatter ingenting.

Datatilsynet: dobbelt rolle, ikke en ny myndighed

Datatilsynet har været Danmarks uafhængige databeskyttelsesmyndighed, siden databeskyttelsesforordningen trådte i kraft i 2018, og den rolle fortsætter uændret. Som vi gennemgår i vores guide til AI-forordningen for danske SMV'er, er den formelle udpegning af de markedsovervågningsmyndigheder, som artikel 70 i AI-forordningen kræver, endnu ikke fuldt afklaret i Danmark på tidspunktet for denne artikel. Men for ethvert AI-system, der behandler personoplysninger — hvilket dækker langt de fleste situationer, en dansk virksomhed støder på i praksis: rekruttering, kundescoring, chatbots med adgang til kundedata — forbliver Datatilsynet under alle omstændigheder kompetent myndighed via GDPR, uanset hvordan artikel 70-opgaven ender med at blive fordelt.

Artikel 22 i GDPR og bilag III i AI-forordningen: to forskellige tests

Artikel 22 i GDPR giver enhver ret til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, herunder profilering, når afgørelsen har retsvirkning eller på tilsvarende vis betydeligt påvirker personen — en jobansøgning, der afvises helt uden menneskelig involvering, for eksempel. Bilag III i AI-forordningen klassificerer derimod visse systemer som højrisiko ud fra anvendelsesområdet, blandt andet rekruttering og udvælgelse af kandidater, evaluering af medarbejdere og kreditvurdering, uanset hvor automatiseret den endelige afgørelse er. Et kandidatudvælgelsesværktøj, hvor en rekrutteringsmedarbejder manuelt bekræfter hvert resultat, undgår som regel artikel 22, fordi afgørelsen ikke er fuldautomatisk. Det forbliver alligevel i de fleste tilfælde et højrisikosystem efter bilag III, fordi det er anvendelsesområdet — rekruttering — der afgør klassificeringen, ikke graden af menneskelig kontrol. "Der er altid nogen, der kigger på resultatet" lukker spørgsmålet om artikel 22, men rører ikke ved AI-forordningens egne krav: risikostyring, teknisk dokumentation, formaliseret menneskeligt tilsyn.

DPIA og FRIA: supplér, gør det ikke om

Konsekvensanalysen vedrørende databeskyttelse (DPIA), obligatorisk efter artikel 35 i GDPR, kræves, når en behandling sandsynligvis medfører høj risiko for de registreredes rettigheder — en betingelse, de fleste AI-systemer, der behandler personoplysninger, opfylder. Artikel 27 i AI-forordningen indfører en konsekvensanalyse vedrørende grundlæggende rettigheder (FRIA), som dog gælder for en mere afgrænset kreds: primært offentlige myndigheder og visse private udbydere af samfundsvigtige tjenester, som banker og forsikringsselskaber, når de anvender et højrisikosystem. For de fleste danske SMV'er, der køber et rekrutteringsværktøj eller et kundeserviceværktøj med AI-funktioner, bliver FRIA-kravet derfor sjældent aktuelt med det samme — men DPIA'en er det allerede, og den bør bygges, så den kan udvides, hvis virksomheden senere falder ind under FRIA'ens anvendelsesområde.

Hvad I bør tjekke, system for system

Fremfor at lære lovtekst udenad betaler det sig at gennemgå hvert AI-system, der faktisk bruges i virksomheden, med nogle konkrete spørgsmål:

• Træffes den endelige afgørelse helt uden menneskelig involvering (artikel 22 GDPR), og/eller falder anvendelsesområdet under bilag III i AI-forordningen? De to svar er uafhængige af hinanden.
• Findes der en dokumenteret DPIA, og er den bygget, så den kan suppleres med en FRIA efter artikel 27, stk. 4, hvis jeres virksomhed bliver omfattet — i stedet for at starte forfra?
• Er retsgrundlaget dokumenteret for data, der bruges til at træne, finjustere eller tilpasse en model, også når det hviler på legitim interesse?
• Er en AI-leverandør uden for EU/EØS blevet spurgt om overførsel af data, uafhængigt af leverandørens egne udsagn om overholdelse af AI-forordningen?
• Nævner jeres eksisterende privatlivspolitikker AI-brugen udtrykkeligt, eller er de skrevet, før de værktøjer blev indført? Det gælder ikke mindst, hvis systemerne trækker på CPR-nummeret eller andre registerdata, som mange danske virksomheder har adgang til via offentlige snitflader.

Generel information, ikke juridisk rådgivning

Alt ovenstående er generel vejledende information, ikke juridisk rådgivning om jeres specifikke situation. Sammenhængen mellem GDPR og AI-forordningen afhænger af jeres konkrete behandlinger, jeres branche og hvilke leverandører der er involveret — detaljer, en enkelt artikel ikke kan dække fuldt ud. Når Komplya udgiver denne type indhold, skelner vi tydeligt mellem, hvad der er juridisk gennemgået, og hvad der stadig er et arbejdsdokument, så I kan bruge materialet med den viden.

Den hurtigste måde at se, hvor jeres virksomhed faktisk står, er at gennemgå jeres AI-systemer ét ad gangen, koblet til de personoplysninger de behandler. Besvar et kort spørgeskema om jeres AI-brug, og få et letforståeligt billede af jeres forpligtelser efter GDPR og AI-forordningen.