Avklar personvern før AI-prosjektet - ikke etter.

Hvem er behandlingsansvarlig?

Avklar først hvem som bestemmer formål og midler for databehandlingen - som regel dere som kunde. Leverandøren behandler normalt data på deres vegne, og da trengs databehandleravtale før personopplysninger deles. Dette bør være signert før piloten får se ekte data.

Minimer data fra start

Gi piloten minst mulig data som fortsatt beviser verdi: et avgrenset utvalg, anonymiserte eksempler eller syntetiske data der det holder. Jo mindre personopplysninger piloten ser, jo enklere er både avtaleverk og risikovurdering.

Sensitive data krever eget opplegg

Helse, religion, politikk, biometri og barns data har særskilte regler. Inneholder arbeidsflyten slike data, si det i første melding - da legger vi opp anonymisering, tilgangsstyring og logging før noe annet skjer.

Slik avklarer Aprex dette med deg

Før vi bygger, kartlegger vi datakilder, roller, godkjenninger og risiko sammen med dere. Kilder skal være synlige, mennesker godkjenner der feil kan få konsekvenser, og automatisk innhold merkes. Er caset for risikabelt for AI, sier vi det - også når det koster oss oppdraget.

Ansvar

Hvem er behandlingsansvarlig, og hvem er databehandler?

Data

Hvilke personopplysninger trengs - og hva kan anonymiseres?

Tilgang

Hvem ser dataene hos leverandøren, og hvordan logges det?

Lagring

Hvor lagres data, hvor lenge, og hvordan slettes de?

Godkjenning

Hvor må mennesker godkjenne før AI får handle?

Kan vi bruke anonymiserte data i piloten?

Ofte, ja. Et avgrenset eller anonymisert utvalg holder i mange piloter. Si hva dere har, så foreslår vi et opplegg som beviser verdi med minst mulig personopplysninger.

Trenger vi databehandleravtale før piloten?

Ja, hvis leverandøren skal behandle personopplysninger på deres vegne. Avtalen bør være signert før ekte data deles - ta det opp i første møte.

Hva gjør dere hvis caset er for risikabelt?

Da sier vi det og foreslår alternativ - smalere scope, mer menneskelig kontroll, eller å la være. En pilot skal redusere risiko, ikke flytte den.

Er denne siden juridisk rådgivning?

Nei. Dette er praktisk veiledning fra et programvaremiljø. Ved tvil om lovtolkning, bruk personvernombud eller jurist.