Tilsyn: slik forbereder du virksomheten

Hva et tilsyn faktisk ser etter

Tilsyn handler sjelden om perfekte løsninger. Det handler om hvorvidt virksomheten har oversikt, har gjort vurderinger, kan vise dem, og følger opp tiltakene sine. Et ærlig dokumentert avvik med plan er langt bedre enn taushet.

Dokumentasjonen som bør ligge klar

• Behandlingsprotokoll etter artikkel 30, oppdatert og datert
• Oversikt over KI-systemer med klassifisering og begrunnelse
• DPIA-er, og eventuelle FRIA-er
• Databehandleravtaler med underleverandørlister
• Interne retningslinjer for bruk av KI
• Opplæringsplan og gjennomføringslogg
• Avvikslogg med behandling og læringspunkter
• Tiltaksliste med eier, frist og status
• Referat fra siste ledelsesgjennomgang

Rollene som må være avklart

Hvem koordinerer svaret, hvem uttaler seg, hvem henter dokumentasjonen, og hvordan personvernombudet involveres. Uklarhet her koster mer tid enn selve dokumentasjonen.

Fem tegn på at dere er klare

1. Du finner enhver vurdering innen ti minutter.
2. Hver vurdering har dato og navngitt ansvarlig.
3. Tiltakslisten er oppdatert siste kvartal.
4. Registeret stemmer med systemene som faktisk brukes.
5. Avvik er logget, også de små.

Under tilsynet

Svar på det som spørres om, innen fristen. Ikke spekuler. Er noe ikke på plass, si det — sammen med planen og fristen for å rette det. Dokumentér all korrespondanse.

Forberedelse til tilsyn er ikke et prosjekt. Det er resultatet av en oppfølgingsrytme som allerede går.