AI på jobbet: personuppgifter, känslig information och ansvar
Vilken information kan ni använda i en AI-tjänst? Om personuppgifter, företagsinformation och vad ni behöver ta reda på innan ni börjar.
Generativ AI kan sammanfatta dokument, föreslå texter och hjälpa till att hitta information. Men en enkel prompt kan också innebära att personuppgifter eller företagshemligheter lämnas till en extern tjänst.
Det betyder inte att AI måste förbjudas. Det betyder att nyttan behöver vägas mot riskerna och att val av tjänst och användningsområde bör göras medvetet.
Om innehållet: Råden är en introduktion. Val av lösning och bedömning av krav behöver anpassas till er verksamhet.
Personuppgifter försvinner inte för att de hamnar i en prompt
Namn, e-postadresser, kundärenden, CV:n, mötesanteckningar och supportloggar kan innehålla personuppgifter. När sådant material behandlas i en AI-tjänst gäller GDPR på samma sätt som vid annan personuppgiftsbehandling.
IMY framhåller att arbetsgivaren kan bli personuppgiftsansvarig när en medarbetare använder en generativ AI-tjänst i arbetet. Det gör att frågor om syfte, rättslig grund och lämpliga skyddsåtgärder kan bli aktuella.
Varför verksamheten behöver tydliga ramar
När medarbetare själva väljer AI-tjänster kan information börja behandlas utanför verksamhetens vanliga kontroll. Tydliga ramar gör det lättare att skilja mellan vardagliga användningsområden och situationer som kräver en mer noggrann bedömning.
Hur sådana ramar bör utformas beror på vilken information verksamheten hanterar, vilka avtal som gäller och hur AI-resultatet ska användas. En generell policytext räcker sällan som enda underlag.
Tjänstens villkor och utformning spelar roll
AI-tjänster kan skilja sig åt i hur information lagras, används och delas med underleverantörer. Avtalsform, kontotyp och teknisk arkitektur kan därför påverka om en tjänst är lämplig för ett visst användningsområde.
Företagsversioner och interna lösningar kan ge andra kontrollmöjligheter än privata gratiskonton. Vilken lösning som är motiverad behöver bedömas utifrån informationens känslighet och den nytta verksamheten vill uppnå.
AI är en verksamhetsfråga – inte bara ett verktyg
AI påverkar arbetssätt, kvalitet, ansvar och ibland relationen till kunder och anställda. Därför behöver införandet ses som en verksamhetsförändring snarare än enbart installation av ännu ett program.
En lämplig väg framåt kan se olika ut beroende på organisationens mognad, informationsflöden och mål. En förstudie eller rådgivande insats kan hjälpa till att avgränsa möjligheterna utan att skapa onödiga risker.
Fördjupning och originalkällor
Källor
Länkarna går till ansvariga myndigheter, lagtext eller leverantörernas egen dokumentation. Externa sidor öppnas i en ny flik.
- GDPR och AI – vägledningIntegritetsskyddsmyndigheten
- GDPR vid användning av generativ AIIntegritetsskyddsmyndigheten
- Dataskyddsförordningen i fulltextIntegritetsskyddsmyndigheten