EDPB: Nye retningslinjer for GDPR-compliance ved anvendelse af AI

EDPB har udarbejdet retningslinjer om, hvordan virksomheder kan bruge persondata til at udvikle og anvende kunstig intelligens, der overholder GDPR. Retningslinjerne fremhæver tre centrale områder. 

Anonymitet i AI-modeller 

Med hensyn til anonymitet bør myndighederne (i Danmark Datatilsynet) vurdere fra sag til sag, om en AI-model er anonym. For at en model kan være anonym bør det være meget usandsynligt 1) direkte eller indirekte at identificere personer, hvis data blev brugt til at oprette modellen, og 2) at udtrække sådanne personoplysninger fra modellen gennem forespørgsler.  

Retningslinjerne indeholder en ikke bindende og en ikkeudtømmende liste over metoder til påvisning af anonymitet. Der skal således stadig foretages grundige overvejelser til vurdering af, om anonymitet i den enkelte AI-løsning foreligger. 

Legitim interesse som retsgrundlag 

Retningslinjerne skitserer en tretrinsmodel, der hjælper virksomheder med at afgøre, hvornår legitim interesse kan fungere som retsgrundlag for behandling af persondata i AI-udvikling. EDPB fremhæver AI-løsninger til cybersikkerhed og forbedret brugervenlighed som eksempler. Behandlingen skal dog opfylde krav om nødvendighed og balancere rettigheder og interesser korrekt.  

Retningslinjerne tager heller ikke stilling til behandling af særlige kategorier af personoplysninger ved anvendelse af AI (f.eks. helbredsoplysninger, oplysninger som seksualitet, biometriske oplysninger, osv.).  

Retningslinjerne indeholder også en række kriterier, der skal hjælpe databeskyttelsesmyndighederne med at vurdere, om enkeltpersoner med rimelighed kan forvente visse anvendelser af deres personoplysninger.   

Ulovligt behandlet persondata 

Brug af ulovligt behandlet persondata i en AI-model skaber udfordringer for lovligheden af AI-modellens anvendelse. EDPB understreger, at virksomheder kan bevare lovligheden, hvis de anonymiserer data tilstrækkeligt. 

Du kan læse hele udtalelsen her.  

LES’ kommentarer 

EDPB’s retningslinjer er relevante for virksomheder, der udvikler og anvender AI med persondata. Det giver retningslinjer for de overvejelser, som en virksomhed står overfor for at sikre korrekt håndtering af første- og tredjepartsdata. Retningslinjerne foreslår også konkrete tekniske løsninger, som beskytter individers rettigheder og fremmer transparens i AI-processer. Dette bekræfter, at GDPR understøtter innovation frem for at hindre den og skaber et fundament for ansvarlig og bæredygtig AI-udvikling. 

Virksomheder, der følger disse retningslinjer og implementerer tekniske og juridiske tiltag tidligt i processen, reducerer både risici og styrker tilliden fra kunder og samarbejdspartnere. 

Retningslinjerne er fortsat meget overordnede, og du skal som virksomhed stadig foretage en del overvejelser, inden du opsætter processer mv. Kontakt derfor IT-certificeret advokat Torsten Hylleberg, hvis du ønsker rådgivning om, hvordan I kan sikre, at jeres AI-modeller overholder GDPR.