GDPR och AI-förordningen: företagens skyldigheter

Ni har troligen redan ett aktuellt register över personuppgiftsbehandling, och kanske en DPIA för rekryteringsverktyget som HR-avdelningen använt i ett par år. Sedan lade leverantören till en AI-driven kandidatrankning i samma verktyg, ungefär i tysthet, som en uppdatering bland alla andra. Nu har någon läst att AI-förordningen också gäller er, och den första reaktionen är ofta: måste allt göras om från grunden för varje AI-funktion som redan finns i systemen? Svaret är nej — det mesta av GDPR-arbetet som redan är på plats håller och fungerar som grund. Men GDPR och AI-förordningen ställer inte exakt samma fråga, och den som behandlar dem som en och samma övning lämnar luckor som IMY, eller en annan tillsynsmyndighet, kan hitta.

Två texter, en fråga? Nej, två olika frågor

GDPR ställer en avgränsad fråga: behandlas personuppgifter lagligt, korrekt och för ett bestämt ändamål. AI-förordningen ställer en bredare fråga: utgör systemet en risk för människors hälsa, säkerhet eller grundläggande rättigheter, oavsett om personuppgifter behandlas eller inte. Ett verktyg för CV-screening, en kundvänd chattbot eller ett kreditscoringsystem hamnar nästan alltid under båda frågorna samtidigt. GDPR har gällt i Sverige sedan 2018 och ändras inte av att AI-förordningen tillkommer — den läggs till, den ersätter ingenting.

IMY: dubbel roll, inte en ny myndighet

Integritetsskyddsmyndigheten (IMY) har varit Sveriges dataskyddsmyndighet sedan GDPR trädde i kraft 2018, och den rollen fortsätter oförändrad. Som vi går igenom i vår guide till AI-förordningen för svenska SMF har myndigheten en historik av att agera tidigt mot AI-driven behandling av personuppgifter. Den formella utnämningen av marknadskontrollmyndigheter enligt artikel 70 i AI-förordningen är, liksom i flera andra medlemsstater, ännu inte helt klar när den här texten skrivs — men IMY har redan signalerat en central roll för AI-system som behandlar personuppgifter, vilket i praktiken täcker de flesta situationer ett rekryteringsverktyg eller en kundtjänstbot stöter på.

Artikel 22 GDPR och bilaga III i AI-förordningen: två olika tester

Artikel 22 GDPR ger var och en rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inklusive profilering, när beslutet har rättsverkan eller på liknande sätt i betydande grad påverkar personen — en jobbansökan som avslås helt utan mänsklig inblandning, till exempel. Bilaga III i AI-förordningen klassificerar däremot vissa system som högrisk utifrån användningsområdet, bland annat rekrytering och urval av kandidater, utvärdering av anställda och kreditvärdighetsbedömning, oavsett hur automatiserat det slutgiltiga beslutet är. Ett kandidaturvalsverktyg där en rekryterare manuellt bekräftar varje resultat undgår i regel artikel 22, eftersom beslutet inte är helt automatiserat. Det förblir ändå i de flesta fall ett högrisksystem enligt bilaga III, eftersom det är användningsområdet — rekrytering — som avgör klassificeringen, inte graden av mänsklig kontroll. "Någon tittar alltid på resultatet" stänger frågan om artikel 22, men lämnar AI-förordningens egna krav orörda: riskhantering, teknisk dokumentation, formaliserad mänsklig tillsyn.

DPIA och FRIA: komplettera, inte göra om

Konsekvensbedömningen avseende dataskydd (DPIA), obligatorisk enligt artikel 35 GDPR, krävs när en behandling sannolikt medför hög risk för registrerades rättigheter — ett villkor som de flesta AI-system som behandlar personuppgifter uppfyller. Artikel 27 i AI-förordningen inför en konsekvensbedömning avseende grundläggande rättigheter (FRIA), som dock gäller ett mer avgränsat antal användare: främst offentliga myndigheter och vissa privata leverantörer av samhällsviktiga tjänster, som banker och försäkringsbolag, när de använder ett högrisksystem. För de flesta SMF som köper in ett rekryteringsverktyg eller ett kundserviceverktyg med AI-funktioner blir FRIA-kravet därför sällan aktuellt direkt — men DPIA:n är det redan, och bör byggas så att den kan utökas om verksamheten senare hamnar inom FRIA:ns tillämpningsområde.

Vad ni bör kontrollera, system för system

Snarare än att memorera lagtext lönar det sig att gå igenom varje AI-system som faktiskt används i verksamheten med några konkreta frågor:

• Fattas slutbeslutet helt utan mänsklig inblandning (artikel 22 GDPR), och/eller faller användningsområdet under bilaga III i AI-förordningen? De två svaren är oberoende av varandra.
• Finns det en dokumenterad DPIA, och är den uppbyggd så att den kan kompletteras med en FRIA enligt artikel 27.4 om ert företag omfattas, i stället för att börja om från noll?
• Är den rättsliga grunden dokumenterad för uppgifter som används för att träna, finjustera eller anpassa en modell, även när den grundar sig på berättigat intresse?
• Har en AI-leverantör utanför EU/EES tillfrågats om överföring av uppgifter, oberoende av leverantörens egna påståenden om efterlevnad av AI-förordningen?
• Nämner era befintliga integritetspolicyer AI-användningen uttryckligen, eller är de skrivna innan de verktygen infördes?

Allmän information, inte juridisk rådgivning

Allt ovanstående är allmän vägledande information för att komma igång, inte juridisk rådgivning om er specifika situation. Sambandet mellan GDPR och AI-förordningen beror på era exakta behandlingar, er bransch och vilka leverantörer som är inblandade — detaljer som en enskild artikel inte kan täcka fullt ut. När Komplya publicerar den här typen av innehåll skiljer vi tydligt på vad som är juridiskt granskat och vad som fortfarande är ett arbetsdokument, så att ni kan använda materialet med den vetskapen.

Det snabbaste sättet att se var ert företag faktiskt står är att gå igenom era AI-system ett i taget, kopplat till de personuppgifter de behandlar. Svara på ett kort frågeformulär om er AI-användning och få en lättbegriplig bild av era skyldigheter enligt GDPR och AI-förordningen.