Mange SMV'er hører om AI-governance, AI-politikker og EU's AI-forordning – og spørger sig selv, om det er noget nyt, de skal købe. Kort svar: For de fleste små og mellemstore virksomheder starter AI-reglerne med den GDPR-styring, I allerede skal have. Her er forskellen, og hvad I konkret skal gøre.

Hvad er GDPR-styring?

GDPR-styring er det løbende arbejde med at dokumentere og kontrollere, hvordan virksomheden behandler personoplysninger:

En behandlingsfortegnelse efter art. 30
Databehandleraftaler med jeres leverandører (art. 28)
En privatlivspolitik og en cookiepolitik på hjemmesiden
En databrudsprocedure, så I kan overholde 72-timers fristen

Hvad er AI-governance?

AI-governance handler om at styre, hvordan virksomheden bruger kunstig intelligens: hvilke værktøjer er godkendt, hvilke data må indtastes, hvem har ansvaret, og hvordan output kontrolleres. Større virksomheder bruger ofte særlige proxy-lag, der fjerner persondata, før de sendes til en AI-model.

Må medarbejdere bruge ChatGPT til personoplysninger?

Kun hvis tjenesten er godkendt, der er indgået en databehandleraftale, og træningsbrug er slået fra. Indtaster en medarbejder kundedata i en gratis, privat AI-konto, er det en videregivelse til uvedkommende – og dermed et brud på persondatasikkerheden, der skal risikovurderes. Læs guiden ChatGPT og persondata: Er det et databrud?.

Hvad kræver EU AI Act af små virksomheder?

De fleste SMV'er er idriftsættere af AI til generelle formål og ikke udbydere af højrisiko-systemer. Det vigtigste krav i praksis er AI-kompetence (art. 4): medarbejdere, der bruger AI, skal have tilstrækkelig viden om, hvad værktøjerne kan, og hvilke risici de indebærer. Bruger I AI over for kunder, gælder også gennemsigtighedskravene i art. 50.

5 regler for medarbejdernes brug af AI i SMV'en

Lav en positivliste over godkendte AI-værktøjer – med databehandleraftale.
Ingen personoplysninger i ikke-godkendte værktøjer. Anonymisér først – test med Anonymiserings-tjekket.
Slå træningsbrug fra i de godkendte værktøjer.
Et menneske godkender altid AI-output, før det bruges over for kunder eller i afgørelser.
Registrér AI-tjenesterne i jeres behandlingsfortegnelse og databehandlerregister.

Hvor overlapper GDPR og AI-governance?

Næsten overalt, når der er persondata involveret. AI-tjenesten er en databehandler, brugen skal fremgå af behandlingsfortegnelsen, og fejl er databrud efter GDPR. Derfor er god GDPR-styring fundamentet for AI-governance – ikke omvendt.

Hvad skal en SMV starte med?

Få styr på behandlingsfortegnelse og databehandleraftaler.
Skriv en kort AI-politik ud fra de 5 regler ovenfor.
Giv medarbejderne en kort introduktion til AI og persondata.
Hav en databrudsprocedure klar, hvis det går galt.

Sådan bruger GDPRdesk selv AI

GDPRdesk bruger AI til at forklare – ikke til at træffe afgørelser. Klassificering og risiko afgøres af en deterministisk motor, kundedata bruges ikke til træning, og platformen advarer, hvis du indtaster CPR-numre, e-mails eller telefonnumre. Læs hele AI-erklæringen.

Ofte stillede spørgsmål

Skal en SMV have en AI-politik?

Der er intet formelt krav om en skriftlig AI-politik, men AI Act art. 4 kræver AI-kompetence hos medarbejderne, og GDPR kræver passende foranstaltninger. En kort AI-politik er den enkleste måde at dokumentere begge dele.

Er det et databrud at indtaste persondata i ChatGPT?

Ja, hvis det sker i en tjeneste uden databehandleraftale. Bruddet skal risikovurderes og dokumenteres – og anmeldes til Datatilsynet inden for 72 timer, hvis det indebærer en risiko. Test det med Skal jeg anmelde?.

Hvad koster AI-governance i forhold til GDPR-styring?

Særskilte AI-governance-platforme er typisk enterprise-løsninger. For en SMV dækker GDPR-styring det meste: GDPRdesk koster fra 69 kr./md. – se priserne.