Databehandleravtale for KI-verktøy: dette må være på plass

01

Hva er en databehandleravtale?

En databehandleravtale er en bindende avtale mellom den behandlingsansvarlige, som bestemmer formålet med behandlingen, og databehandleren, som behandler personopplysningene på oppdrag. Når en kommune eller et selskap bruker et KI-verktøy til møtereferater, er virksomheten behandlingsansvarlig og leverandøren databehandler.

Møteopptak inneholder mye personopplysninger: stemmer, navn, hva hver enkelt har sagt, og noen ganger helseopplysninger eller andre særlige kategorier. Derfor må avtalen være på plass før de første møtene tas opp, ikke etter at verktøyet allerede er i bruk.

02

Hva skal stå i en databehandleravtale?

GDPR artikkel 28 nr. 3 lister opp hva avtalen minst skal inneholde. I tillegg skal den beskrive behandlingens gjenstand og varighet, formål, typen personopplysninger, kategoriene av registrerte og den behandlingsansvarliges plikter og rettigheter. Databehandleren skal:

• bare behandle personopplysningene etter dokumenterte instrukser fra dere, også når det gjelder overføring til land utenfor EØS
• sørge for at de som behandler opplysningene, har taushetsplikt
• gjennomføre sikkerhetstiltakene som artikkel 32 krever
• bare bruke underleverandører (underdatabehandlere) etter forhåndsgodkjenning, med de samme forpliktelsene videreført
• hjelpe dere med å oppfylle de registrertes rettigheter, som innsyn og sletting
• hjelpe dere med sikkerhet, avviksmelding, DPIA og forhåndsdrøfting (artikkel 32 til 36)
• slette eller levere tilbake alle personopplysninger når avtalen slutter
• gi dere informasjonen som trengs for å vise at kravene følges, og åpne for revisjon

03

Spørsmålene som avgjør for KI-verktøy

Artikkel 28 er minstekravet. For KI-tjenester som tar opp og analyserer samtaler, er det disse spørsmålene som skiller leverandørene. Få svarene skriftlig, gjerne som vedlegg til avtalen:

• Hvor lagres og behandles opptak, utskrifter og sammendrag? Alt innenfor EU/EØS, eller også i USA?
• Hvilke underleverandører brukes, også for selve KI-modellen, og hvor holder de til?
• Brukes deres data til å trene KI-modeller, hos leverandøren eller hos KI-underleverandøren?
• Lagrer KI-underleverandøren forespørsler og svar, eller er det avtalt null datalagring?
• Hvordan krypteres data i hvile og under overføring, og hvem har nøklene?
• Hva skjer når dere sletter et opptak, også i sikkerhetskopier?
• Kan dere kreve tofaktorinnlogging og innlogging med egen identitetsleverandør (SSO)?
• Har leverandøren en uavhengig sikkerhetssertifisering, for eksempel ISO/IEC 27001?
• Finnes det et alternativ i egen drift (on-premise eller privat sky) for de mest sensitive møtene?

04

Overføring til USA og andre land utenfor EØS

GDPR kapittel V krever et gyldig overføringsgrunnlag når personopplysninger sendes ut av EØS. For USA finnes EU–US Data Privacy Framework, EU-kommisjonens adekvansbeslutning fra juli 2023. Den dekker bare amerikanske selskaper som er sertifisert under rammeverket.

Forgjengeren Privacy Shield ble underkjent av EU-domstolen i 2020 (Schrems II). Mange offentlige virksomheter, advokatfirmaer og helseaktører velger derfor leverandører som behandler alt innenfor EU/EØS, slik at avtalen ikke hviler på et overføringsgrunnlag som kan falle bort.

05

Trenger dere en vurdering av personvernkonsekvenser (DPIA)?

En DPIA er påkrevd etter GDPR artikkel 35 når en behandling sannsynligvis innebærer høy risiko for de registrertes rettigheter og friheter. Datatilsynet har publisert en liste over behandlinger som alltid krever DPIA. Tre punkter på listen er særlig relevante for KI-verktøy til møter: innovativ teknologi sammen med minst ett annet kriterium, biometriske opplysninger brukt til å identifisere enkeltpersoner sammen med minst ett annet kriterium, og systematisk monitorering av ansatte.

Stemmegjenkjenning som kjenner igjen samme person på tvers av møter, kan være biometrisk identifisering. Ta det med i vurderingen, og bestem om funksjonen skal være på. I Klang kan administrator slå taleridentifisering av og på for hele arbeidsområdet, mens vanlig taleradskillelse i ett opptak fortsatt fungerer.

Er dere usikre på om DPIA er påkrevd, anbefaler Datatilsynet å gjennomføre den. Det gjelder særlig når opptakene kan inneholde helseopplysninger eller gjelder sårbare grupper som barn og klienter. Personvernombudet skal involveres.

En god DPIA for et KI-referatverktøy beskriver hvilke møter som tas opp, hvem som har tilgang, hvor lenge opptak og utskrifter lagres, hvilke underleverandører som behandler dataene, og hvilke tiltak som reduserer risikoen, som sletting av lyd når referatet er godkjent.

06

Slik innfører dere et KI-verktøy for møter, steg for steg

Rekkefølgen som gir færrest overraskelser:

• Beskriv formålet og hvilke møter verktøyet skal brukes i, og hvilke det ikke skal brukes i.
• Gjør leverandørvurderingen med spørsmålene over, og hent inn sikkerhetsdokumentasjon.
• Vurder behovet for DPIA sammen med personvernombudet.
• Inngå databehandleravtale før første opptak.
• Drøft med tillitsvalgte hvis opptakene kan brukes til kontroll av ansatte.
• Sett lagringstid, tilgangsstyring og innloggingskrav i verktøyet.
• Lag en kort rutine for deltakerne: hvordan opptak varsles, og hvordan man ber om at det stoppes.