GDPR og KI: hvilket behandlingsgrunnlag gjelder?

Grunnlaget må velges før systemet tas i bruk

Behandles personopplysninger med KI, kreves et behandlingsgrunnlag etter GDPR artikkel 6 — og for særlige kategorier i tillegg artikkel 9. Grunnlaget skal velges før behandlingen starter, og kan ikke byttes underveis fordi det opprinnelige viste seg upraktisk.

De aktuelle grunnlagene

Samtykke. Krever frivillighet, spesifisitet og reell mulighet til å trekke seg. Sjelden egnet i arbeidsforhold eller overfor tjenestemottakere, fordi maktforholdet gjør frivilligheten tvilsom.

Avtale. Kun det som er nødvendig for å oppfylle avtalen med den enkelte. Analyse og produktforbedring dekkes normalt ikke.

Rettslig forpliktelse. Krever en konkret plikt i lov eller forskrift.

Allmennhetens interesse eller offentlig myndighet. Hovedgrunnlaget for kommuner og statlige virksomheter — men det må finnes et rettslig grunnlag i nasjonal rett for oppgaven.

Berettiget interesse. Krever en dokumentert interesseavveining, og kan ikke brukes av offentlige myndigheter for utøvelse av myndighet.

Særlige kategorier

Helse, biometri, etnisitet, religion, fagforeningsmedlemskap og seksuelle forhold krever et eget unntak etter artikkel 9 — typisk eksplisitt samtykke, helse- og omsorgsformål med hjemmel, eller viktige allmenne interesser med rettsgrunnlag. KI som utleder slike opplysninger indirekte, behandler dem likevel.

Automatiserte avgjørelser

Artikkel 22 begrenser avgjørelser som utelukkende er automatiserte og har rettsvirkning eller tilsvarende betydelig virkning. Har du et slikt tilfelle, må du ha et særskilt grunnlag, informere om logikken og gi rett til menneskelig overprøving. Reell menneskelig kontroll — der saksbehandleren kan og faktisk gjør noe annet enn forslaget — er ofte den enkleste løsningen.

Dokumentasjonspunkter

• Formål, formulert konkret
• Valgt grunnlag med begrunnelse
• Dataminimering: hvilke felt er faktisk nødvendige
• Lagringstid og slettedato
• Informasjon til de registrerte, og hvor den er gitt
• Om artikkel 22 kommer til anvendelse

Klarer du ikke å skrive formålet i én setning, er grunnlagsvurderingen ikke ferdig.