AI-verktøy og overføring av data til USA; hva krever GDPR av din virksomhet?

Hvorfor er AI-verktøy et personvernspørsmål?

Når ansatte bruker et AI-verktøy og skriver inn tekst som inneholder navn, e-postadresser, helseopplysninger, opplysninger om kunder eller andre identifiserbare personer, skjer det en behandling av personopplysninger. Denne behandlingen er underlagt GDPR, uavhengig av om det er virksomheten eller den ansatte som tar initiativet til bruken.

De fleste store AI-leverandørene har servere i USA og behandler også brukerdata i der. Det betyr at bruken av disse verktøyene i mange tilfeller innebærer en overføring av personopplysninger til et tredjeland (det vil si et land utenfor EØS-området). En slik overføring er ikke automatisk forbudt, men den krever et særskilt rettslig grunnlag etter GDPR kapittel V.

Viktige eksempler på AI-verktøy som typisk medfører overføring til USA:

• ChatGPT (OpenAI): servere i USA, tredjepartsdata brukes som standard til opplæring av modellen med mindre dette deaktiveres
• Microsoft Copilot: integrert i Microsoft 365, behandling skjer i Microsofts infrastruktur, som kan inkludere USA
• Google Gemini: Googles AI-tjenester, med databehandling globalt (inkludert USA)
• GitHub Copilot: utviklerverktøy fra Microsoft/OpenAI

Overføring av personopplysninger til USA; det rettslige utgangspunktet

GDPR artikkel 44 slår fast at personopplysninger ikke kan overføres til et land utenfor EØS med mindre ett av de lovlige overføringsgrunnlagene i GDPR kapittel V er på plass. USA er et tredjeland og er ikke godkjent av EU-kommisjonen som et land med adekvat (tilstrekkelig) beskyttelse av personvernet.

Det har historisk vært knyttet betydelig usikkerhet til overføringer til USA, særlig etter EU-domstolens avgjørelse i Schrems II-saken (C-311/18) i 2020, som ugyldiggjorde Privacy Shield-avtalen. Siden juli 2023 har det imidlertid eksistert et nytt adekvansbeslutning for USA gjennom EU-US Data Privacy Framework (DPF).

Tilgjengelige overføringsmekanismer

EU-US Data Privacy Framework (DPF): adekvansbeslutning for USA

EU-kommisjonen vedtok i juli 2023 en adekvansbeslutning for virksomheter i USA som er sertifisert under Data Privacy Framework. Dette betyr at personopplysninger kan lovlig overføres fra EØS til sertifiserte amerikanske virksomheter, på samme måte som om mottakeren befant seg innenfor EØS.

Viktige poenger om DPF:

• Kun virksomheter som er sertifisert i DPF-registeret er dekket
• OpenAI, Microsoft og Google er sertifisert under DPF for sine relevante tjenester, sjekk alltid oppdatert status
• DPF er gjenstand for politisk og rettslig usikkerhet. Trump-administrasjonen har svekket en av hovedpilarene for DPF ved å fjerne alle demokratiske representanter fra Privacy and Civil Liberties Oversight Board. Europaparlament har bedt om en revisjon, og det er sannsynlig at adekvansbeslutningen vil angripes rettslig igjen (jf. Schrems II-presedens).
• Virksomheten bør ikke utelukkende basere seg på DPF uten å ha SCC som et supplement for å redusere fremtidig risiko

Standard personvernbestemmelser (SCC)

Standard Contractual Clauses (SCC) er standard personvernbestemmelser vedtatt av EU-kommisjonen, og er den mest brukte overføringsmekanismen der det ikke foreligger adekvansbeslutning. SCC-ene forplikter mottakeren i tredjelandet til å behandle personopplysninger i samsvar med EUs krav.

Mange AI-leverandører tilbyr SCC som en del av sine databehandleravtaler (DPA). Det er imidlertid ikke tilstrekkelig bare å signere SCC. Virksomheten er i tillegg forpliktet til å gjennomføre en overføringsvurdering (Transfer Impact Assessment: TIA). Se under.

SCC er vedtatt i en oppdatert versjon fra 2021 og finnes i fire moduler avhengig av partskonstellasjonen:

• Modul 1: Behandlingsansvarlig → Behandlingsansvarlig
• Modul 2: Behandlingsansvarlig → Databehandler (typisk ved bruk av AI-tjenester)
• Modul 3: Databehandler → Databehandler
• Modul 4: Databehandler → Behandlingsansvarlig

Bindende virksomhetsregler (BCR)

For internasjonale konserner med enheter både innenfor og utenfor EØS kan Binding Corporate Rules (BCR) være et alternativ. BCR er interne konsernregler for behandling av personopplysninger, som må godkjennes av en nasjonal tilsynsmyndighet. Dette er imidlertid en omfattende og tidkrevende prosess, og er normalt ikke aktuelt for selskaper som benytter tredjepartsleverandørers AI-tjenester.

Overføringsvurdering (TIA), alltid nødvendig ved SCC

Etter Schrems II-dommen er det ikke lenger tilstrekkelig å bare inngå SCC. Virksomheten er forpliktet til å gjennomføre en overføringsvurdering (Transfer Impact Assessment: TIA) for å fastslå om mottakerlandets lovgivning og praksis faktisk muliggjør etterlevelse av SCC-forpliktelsene.

En TIA skal typisk vurdere:

• Mottakerlandets overvåkingslovgivning og myndighetenes tilgang til data (i USA: FISA 702, Executive Order 14086) og myndighetspraksis
• Hvilke typer personopplysninger som overføres og omfanget av overføringen
• Hvilke tekniske og organisatoriske tiltak som er iverksatt for å redusere risikoen (f.eks. kryptering, pseudonymisering)
• Om de tekniske tiltakene faktisk er effektive gitt mottakerlandets rettssystem

Mange AI-leverandører publiserer TIA-dokumentasjon som et hjelpemiddel, men dette fratar ikke virksomhet din ansvaret for å foreta en selvstendig vurdering. TIA-en skal dokumenteres og inngå i virksomhetens internkontrollsystem.

Krav til databehandleravtale

Når din virksomhet benytter en AI-leverandør til å behandle personopplysninger på vegne av dere, er leverandøren å anse som en databehandler etter GDPR. Det er da lovpålagt å inngå en databehandleravtale (DPA) i tråd med GDPR artikkel 28.

Dette forutsetter imidlertid at leverandøren faktisk opptrer som en databehandler, og ikke som selvstendig behandlingsansvarlig (noe som er mer vanlig dersom leverandøren bruker dataene til egne formål som modelltrening). Det er avgjørende å avklare dette spørsmålet konkret for hvert AI-verktøy virksomheten benytter.

Databehandleravtalen skal som minimum regulere:

• Hva slags personopplysninger som behandles og til hvilke formål
• At databehandleren kun handler etter dokumenterte instrukser fra kunden (behandlingsansvarlig)
• Krav til forsvarlig informasjonssikkerhet
• Regler for bruk av underdatabehandlere
• Plikt til å bistå med de registrertes rettigheter
• Varsling ved databrudd
• Sletting eller tilbakelevering av data ved avslutning av forholdet

Les mer om kravene til databehandleravtaler og hva de skal inneholde.

DPIA-plikt ved bruk av AI

En personvernkonsekvensvurdering (DPIA: Data Protection Impact Assessment) er lovpålagt dersom en planlagt behandling av personopplysninger sannsynligvis vil medføre høy risiko for de registrertes rettigheter og friheter. Dette vil ofte være tilfelle ved innføring av AI-verktøy, særlig der personopplysninger skal behandles.

Bruk av AI utløser typisk DPIA-plikt når:

• Verktøyet brukes til automatisert beslutningstaking eller profilering som kan ha rettslig eller tilsvarende betydelig virkning for enkeltpersoner
• Behandlingen involverer særlige kategorier av personopplysninger (sensitive personopplysninger), f.eks. helseopplysninger eller fagforeningsmedlemskap
• Behandlingen skjer i stor skala
• Ny teknologi (som KI) benyttes og personvernkonsekvensene er usikre
• Det er tale om systematisk overvåking av ansatte eller andre registrerte

En DPIA skal gjennomføres før behandlingen starter. Den skal inneholde en systematisk beskrivelse av behandlingen, en vurdering av nødvendighet, proporsjonalitet og risiko, samt en konkret plan for risikoreduserende tiltak. Til slutt skal ledelsen godkjenne vurderingen. Dersom risikoen ikke kan reduseres til et akseptabelt nivå, skal Datatilsynet konsulteres.

Les mer om DPIA: hva det er og hva det skal inneholde.

Behandlingsgrunnlag for selve AI-bruken

I tillegg til spørsmålet om lovlig overføring til USA, må virksomheten ha et gyldig behandlingsgrunnlag etter GDPR artikkel 6 for selve behandlingen av personopplysninger gjennom AI-verktøyet.

Aktuelle behandlingsgrunnlag avhenger av sammenhengen:

• Berettiget interesse (GDPR art. 6 nr. 1 bokstav f): Kan være aktuelt dersom AI-bruken effektiviserer interne prosesser og de registrertes interesser i liten grad blir tilsidesatt. Krever en dokumentert interesseavveining.
• Nødvendig for oppfyllelse av avtale (GDPR art. 6 nr. 1 bokstav b): Dersom AI-bruken er nødvendig for å levere en tjeneste den registrerte har inngått avtale om.
• Samtykke (GDPR art. 6 nr. 1 bokstav a): Samtykke er i teorien alltid mulig, men er et krevende grunnlag å opprettholde og egner seg sjelden i arbeidsforhold grunnet ujevn maktbalanse mellom arbeidsgiver og ansatt.

Grunnlaget må identifiseres og dokumenteres før behandlingen starter. Det er ikke mulig å velge behandlingsgrunnlag i ettertid.

Les mer om behandlingsgrunnlag og hva som kreves for gyldig samtykke.

Praktiske tiltak: en sjekkliste for virksomheten

Her er en praktisk sjekkliste for norske virksomheter som bruker eller vurderer å ta i bruk AI-verktøy:

• Kartlegg hvilke AI-verktøy som brukes i virksomheten og om disse behandler personopplysninger
• Avklar om leverandøren opptrer som databehandler eller selvstendig behandlingsansvarlig
• Sjekk om leverandøren er sertifisert under EU-US Data Privacy Framework
• Sørg for at det foreligger gyldig databehandleravtale (inkl. SCC der dette er nødvendig)
• Gjennomfør en overføringsvurdering (TIA) og dokumenter denne
• Identifiser og dokumenter behandlingsgrunnlaget for bruken av AI-verktøyet
• Vurder om bruken utløser DPIA-plikt, og gjennomfør DPIA før oppstart dersom dette er tilfelle
• Oppdater behandlingsprotokollen (RoPA) med AI-behandlingene
• Utarbeid retningslinjer for ansattes bruk av AI-verktøy og gi nødvendig opplæring
• Oppgi overføringen til USA i virksomhetens personvernerklæring

Hva kan gå galt? Typisk risiko og Datatilsynets oppmerksomhet

Datatilsynet og europeiske tilsynsmyndigheter har økt oppmerksomheten rundt AI og personvern betydelig de siste årene. Noen av de vanligste feilene ser vi i praksis:

• Manglende overføringsmekanisme: Virksomheter bruker AI-tjenester i USA uten å ha SCC, DPF-dekning eller annet lovlig overføringsgrunnlag på plass. Dette er en direkte overtredelse av GDPR artikkel 44 og kan medføre overtredelsesgebyr på inntil 20 millioner euro eller 4 % av global årsomsetning.
• Manglende databehandleravtale: Leverandøren benyttes uten at det er inngått en databehandleravtale etter GDPR artikkel 28.
• Ingen DPIA gjennomført: AI-løsningen er tatt i bruk uten forutgående DPIA, til tross for at risikoen tilsier dette.
• Ansattes «skyggbruk»: Ansatte bruker gratis forbrukerversjoner av AI-verktøy (f.eks. ChatGPT uten enterprise-avtale), der data kan brukes til modelltrening, uten at virksomheten er klar over det.
• Manglende informasjon i personvernerklæringen: De registrerte er ikke informert om overføringen til USA og grunnlaget for denne.

Trenger din virksomhet hjelp?

Bruk av AI-verktøy reiser sammensatte personvernspørsmål som krever konkret vurdering av den enkelte virksomhetens situasjon. Bulls faggruppe for personvern bistår norske virksomheter med hele spekteret av GDPR-compliance (etterlevelse), inkludert:

• Gjennomgang og utarbeidelse av databehandleravtaler for AI-leverandører
• Overføringsvurderinger (TIA) og valg av riktig overføringsmekanisme
• Gjennomføring av DPIA ved AI-prosjekter
• Risikovurdering og gap-analyse av virksomhetens AI-bruk
• Utarbeidelse av interne retningslinjer og opplæring for ansatte
• AI og personvern – les mer om vår tjeneste
• Overføring av persondata til tredjeland – les mer om vår tjeneste
• DPIA – personvernkonsekvensvurdering – les mer om vår tjeneste

Ta kontakt med oss for en uforpliktende samtale om din virksomhets behov.