AI-mødeassistent og GDPR: tjeklisten til IT, DPO og indkøb

01

Det korte svar: hvornår er en AI-mødeassistent GDPR-lovlig?

En AI-mødeassistent optager, transskriberer og opsummerer samtaler, der næsten altid indeholder personoplysninger: navne, stemmer, holdninger og nogle gange helbreds- eller personaleforhold. Jeres organisation er dataansvarlig, og leverandøren er databehandler. GDPR forbyder ikke værktøjet, men stiller krav til, hvordan I bruger det, og til den leverandør, I vælger.

• Retsgrundlag og formål for optagelserne, fastlagt før I går i gang (artikel 6, og artikel 9 for følsomme oplysninger)
• Information til deltagerne om, at mødet optages, hvorfor og hvor længe (artikel 13)
• En databehandleraftale med leverandøren, der opfylder artikel 28
• Styr på, om data overføres til lande uden for EU/EØS (artikel 44-46)
• En konsekvensanalyse (DPIA), når behandlingen sandsynligvis indebærer en høj risiko (artikel 35)
• Passende sikkerhed, adgangsstyring og sletning (artikel 5 og 32)

02

Databehandleraftalen: det skal artikel 28 dække

Leverandøren af mødeassistenten behandler optagelserne på jeres vegne og skal derfor have en databehandleraftale med jer. Artikel 28, stk. 3, opregner, hvad aftalen skal sikre. Brug listen, når I læser leverandørens aftale, og vær særligt opmærksom på underdatabehandlere og på, om data bruges til andet end at levere tjenesten.

• Leverandøren behandler kun data efter jeres dokumenterede instruks, også ved overførsel til tredjelande
• Medarbejdere med adgang er underlagt fortrolighed
• Sikkerhedsforanstaltningerne efter artikel 32 er på plads
• Underdatabehandlere bruges kun med jeres forudgående godkendelse og på samme vilkår
• Leverandøren hjælper jer med de registreredes rettigheder, fx indsigt og sletning
• Leverandøren hjælper med sikkerhed, brud på persondatasikkerheden og konsekvensanalyser
• Data slettes eller leveres tilbage, når aftalen ophører
• I kan få de oplysninger, der viser, at aftalen overholdes, herunder revision

03

Hvor behandles møderne? EU, USA og CLOUD Act

Overfører leverandøren data til et land uden for EU/EØS, skal overførslen have et grundlag efter GDPR's kapitel V. EU-Domstolen underkendte Privacy Shield i Schrems II-dommen (C-311/18) den 16. juli 2020. Siden 10. juli 2023 har EU-Kommissionen en tilstrækkelighedsafgørelse for EU-U.S. Data Privacy Framework, som dækker amerikanske virksomheder, der er certificeret under ordningen.

Mange organisationer vurderer også den amerikanske CLOUD Act fra 2018, der giver amerikanske myndigheder mulighed for at kræve data udleveret fra amerikanske tjenesteudbydere, også når data ligger uden for USA. At data hostes i EU, er derfor ikke hele svaret: Se på hele kæden af underdatabehandlere, hvem der ejer dem, i hvilken region de behandler data, og om de gemmer noget.

Spørg derfor ikke kun, hvor serveren står. Bed om listen over underdatabehandlere, deres region og deres opbevaringsvilkår. Klang hoster data i EU og offentliggør sine underdatabehandlere i Trust Center. Listen omfatter europæiske udbydere, men også amerikanske eller amerikansk ejede selskaber som Microsoft Azure, AWS, Recall.ai (mødeassistenten) og ElevenLabs, alle med EU-region og nul dataopbevaring hos AI-leverandørerne. Klang træner aldrig AI på kundedata. Tag listen med i jeres egen vurdering.

04

Skal I lave en konsekvensanalyse (DPIA)?

Efter artikel 35 skal der laves en konsekvensanalyse, før en behandling, der sandsynligvis indebærer en høj risiko for de registrerede, især ved brug af ny teknologi. De europæiske datatilsyns retningslinjer (WP248) peger på kriterier som systematisk overvågning, følsomme oplysninger, behandling i stort omfang, sårbare registrerede, herunder medarbejdere over for deres arbejdsgiver, og innovativ teknologi. Opfylder behandlingen to eller flere, er en DPIA som regel nødvendig.

En mødeassistent, der bruges i almindelige projektmøder, er ikke nødvendigvis højrisiko. Skal den bruges til personalesager, borgersamtaler, sundhedsoplysninger eller i stor skala på tværs af organisationen, bør I lave en DPIA. Kommunerne kan tage udgangspunkt i KL's skabelon til konsekvensanalyse af AI-løsninger.

05

Oplysningspligt og retsgrundlag i praksis

Deltagerne skal vide, at mødet optages, før det sker. I onlinemøder vises Klang-assistenten som deltager med navnet Klang.ai, så alle kan se den. Skriv det også i mødeindkaldelsen, og henvis til en side, hvor I forklarer formålet, opbevaringstiden og deltagernes rettigheder. Datatilsynets vejledning om optagelse af telefonsamtaler fra april 2024 anbefaler netop den model: de vigtigste oplysninger med det samme, og et direkte link til resten.

Retsgrundlaget afhænger af, hvem I er. En myndighed vil typisk støtte sig på opgaver i offentlighedens interesse eller myndighedsudøvelse, en virksomhed på en legitim interesse, som skal afvejes mod deltagernes. I ansættelsesforhold gælder databeskyttelseslovens § 12, og samtykke fra en medarbejder er sjældent frivilligt nok til at bære alene. Indeholder møderne helbredsoplysninger eller andre følsomme oplysninger, gælder artikel 9.

Taleridentifikation, hvor værktøjet genkender den samme stemme på tværs af møder, bør I vurdere særskilt. I Klang kan en administrator slå Taler-ID fra for hele arbejdsområdet; Klang adskiller stadig talerne i hver optagelse.

06

AI-forordningen og mødeassistenter

EU's AI-forordning (forordning 2024/1689) trådte i kraft den 1. august 2024 og indfases gradvist. Fra 2. februar 2025 skal virksomheder og myndigheder, der tager AI i brug, træffe foranstaltninger, der fremmer medarbejdernes AI-færdigheder (artikel 4, som ændret ved AI-omnibussen i 2026).

Et værktøj, der transskriberer og skriver referater, er ikke i sig selv et højrisiko-system. Men AI, der bruges til at overvåge og evaluere medarbejderes præstationer og adfærd, eller til at træffe beslutninger om forfremmelse og afskedigelse, er opført som højrisiko i bilag III, punkt 4. Brug derfor ikke mødeanalyser til at bedømme enkeltpersoner uden at have vurderet det særskilt.

07

Sådan kommer I i gang uden at springe over trin

De organisationer, der kommer hurtigst i drift, gør det i en fast rækkefølge: afgræns brugen, vurder leverandøren, informer medarbejderne, og start småt.

• Beskriv, hvilke møder værktøjet må bruges til, og hvilke det ikke må, fx personalesager i første omgang.
• Send leverandøren spørgsmålene i tabellen nedenfor, og få databehandleraftalen gennemgået.
• Lav en DPIA, hvis brugen rammer kriterierne, og opdatér jeres fortegnelse over behandlingsaktiviteter.
• Slå SSO til, sæt tofaktorgodkendelse som krav, og styr adgang med mapper og roller.
• Fastsæt en slettefrist for optagelser, og skriv den i jeres retningslinjer.
• Start en pilot i én eller to afdelinger, og evaluer efter fire uger.