Behöver AI-piloten en konsekvensbedömning? Gör förtestet före inköp
En liten pilot kan behandla stora mängder känsliga uppgifter. Ett stort verktygsköp kan samtidigt börja med helt syntetiska testdata. Därför avgör varken ordet AI, licenspriset eller antalet testanvändare om ni behöver en konsekvensbedömning. Först beskriver ni den verkliga personuppgiftsbehandlingen, sedan prövar ni risksignalerna och dokumenterar beslutet före start.
Förtestet svarar på en smal fråga
En konsekvensbedömning avseende dataskydd, ofta kallad DPIA efter engelskans Data Protection Impact Assessment, krävs när en planerad personuppgiftsbehandling sannolikt leder till hög risk för människors rättigheter och friheter. IMY betonar att organisationen själv måste bedöma den planerade typen av behandling. Det betyder två saker samtidigt: varje AI-test kräver inte en full DPIA, men ordet ”pilot” gör inte heller behandlingen riskfri.
Gör därför förtestet innan avtal, integration och import av verkliga data låser lösningen. Resultatet är inte bara ”ja” eller ”nej”. Det ska visa vilken behandling ni bedömde, vilka riskkriterier som träffade, vilket underlag som saknades, vem som fattade beslutet och när frågan ska omprövas.
Förtestet ersätter inte kontrollen av rättslig grund, personuppgiftsbiträdesavtal, tredjelandsöverföring, säkerhet eller information till registrerade. Lägg behandlingen i ert AI-register, men håll behovsbedömningen som ett eget beslutsunderlag. Registret visar vad ni använder; förtestet visar varför ni gick vidare med eller utan DPIA.
Steg 1: beskriv behandlingen, inte produkten
”Vi ska prova en chattbot” är för vagt. Samma tjänst kan användas för att skriva rubriker ur syntetisk text eller för att sammanfatta patientanteckningar. Börja med en rad som går att granska: ”Tre HR-specialister ska under fyra veckor använda verktyget för att sammanfatta fritext från avslutade medarbetarärenden; namn ersätts med kod före uppladdning och utkastet används inte för automatiska beslut.”
| Fält | Fråga att besvara före förtestet | Otillräckligt svar |
|---|---|---|
| Ändamål | Vilken avgränsad uppgift ska piloten lösa? | ”Testa AI.” |
| Registrerade | Vilka människor handlar uppgifterna om: kunder, barn, patienter, anställda eller andra? | ”Intern data.” |
| Uppgifter | Vilka fält, dokument, promptar, utdata och loggar innehåller personuppgifter? | ”Inga känsliga filer.” |
| Flöde | Varifrån hämtas data, vart skickas den, vilka får åtkomst och hur länge sparas den? | ”Leverantören är säker.” |
| Omfattning | Hur många personer, poster, användare och behandlingstillfällen ingår under vilken tid? | ”Bara en pilot.” |
| Påverkan | Påverkar utdata ett beslut, en prioritering, åtkomst till en tjänst eller hur någon bedöms? | ”En människa är med.” |
Räkna också med leverantörens behandling. Promptloggar, supportåtkomst, återanvändning av data och kopplade system kan ändra riskbilden även om användargruppen är liten. Saknas svar, markera ”osäkert” och utred innan ni skriver ett nej.
Steg 2: pröva IMY:s nio risksignaler
IMY:s huvudregel är att en konsekvensbedömning ska genomföras när minst två av nio kriterier är uppfyllda. Men listan är inte en enkel poängtabell: även ett kriterium kan räcka i ett enskilt fall, och behandlingar utanför listan kan innebära hög risk. Svara därför ja, nej eller osäkert och skriv en mening med bevis för varje svar.
- Utvärdering eller poängsättning: bedömer systemet en persons prestation, beteende, ekonomi, hälsa, preferenser eller lämplighet?
- Betydande automatiserade beslut: används uppgifterna för ett automatiserat beslut med rättsliga eller liknande betydande följder?
- Systematisk övervakning: följs människor återkommande genom exempelvis aktivitet, kommunikation, plats eller användningsmönster?
- Känsliga eller mycket personliga uppgifter: förekommer exempelvis hälsa, biometrik, politiska åsikter, fackligt medlemskap, ekonomi eller detaljerade privata förhållanden?
- Stor omfattning: är antalet personer, datamängden, behandlingens varaktighet eller geografiska räckvidd stor i sitt sammanhang?
- Sammanföring på oväntat sätt: kombineras källor så att resultatet avviker från vad de registrerade rimligen kunnat förvänta sig?
- Sårbara registrerade: berör piloten personer i beroendeställning eller underläge, såsom barn, anställda, patienter, äldre eller asylsökande?
- Ny teknik eller ny organisatorisk lösning: innebär behandlingen teknik eller arbetssätt vars följder organisationen saknar erfarenhet av?
- Hinder till tjänst eller avtal: kan behandlingen avgöra om någon får tillgång till en tjänst eller möjlighet att ingå avtal?
Ny teknik är alltså en signal bland flera, inte ett bevis för att varje AI-funktion kräver DPIA. IMY:s rapport om generativ AI lyfter ny teknik, stor omfattning, känsliga uppgifter och automatiserat beslutsfattande som faktorer som kan aktualiseras. Rapporten säger samtidigt uttryckligen att bedömningen görs från fall till fall.
Steg 3: dokumentera ett av tre beslut
| Beslut | När det passar | Vad som händer nu |
|---|---|---|
| Gör DPIA | Behandlingen träffar huvudregeln, finns i IMY:s obligatoriska exempel eller bedöms på annat sätt sannolikt medföra hög risk. | Starta den dokumenterade konsekvensbedömningen före behandlingen. Rådfråga dataskyddsombudet om ett sådant finns. |
| Utred först | Ett avgörande svar är osäkert, leverantörsflödet är okänt eller pilotens avgränsning går inte att verifiera. | Pausa verkliga personuppgifter. Begär underlag, minska omfånget eller prova med syntetiska data tills beslutet kan motiveras. |
| Ingen DPIA nu | Den beskrivna behandlingen bedöms inte sannolikt leda till hög risk och inga andra obligatoriska fall träffar. | Spara motiveringen, genomför övriga GDPR-kontroller och ange vad som utlöser en ny bedömning. |
Ett nej ska vara lika spårbart som ett ja. Skriv inte bara ”låg risk”. Beskriv varför omfattningen är begränsad, varför uppgifterna inte är känsliga, hur mänsklig kontroll faktiskt fungerar och vilka skyddsåtgärder som ingår i den planerade lösningen. Ange underlagsversion, beslutsfattare och datum.
Exempel: en liten HR-pilot kan ge flera träffar
Anta att två chefer ska prova en AI-funktion på 200 tidigare medarbetarsamtal för att hitta kompetensbehov. Organisationen kallar försöket litet eftersom bara två användare deltar. Men förtestet visar uppgifter om anställda i beroendeställning, material som kan innehålla hälsa eller fackliga förhållanden, utvärdering av arbetsprestation och en ny teknisk lösning. Antalet användare säger lite om riskerna för personerna i materialet.
Rätt nästa steg är inte att räkna fyra kryss och mekaniskt förklara saken avgjord. Dokumentera vilka kriterier som faktiskt är uppfyllda, kontrollera om behandlingen finns bland IMY:s obligatoriska exempel och bedöm den samlade sannolikheten och allvaret. I det här scenariot finns starka skäl att gå vidare med en DPIA innan verkliga samtalsanteckningar används.
Om piloten i stället använder helt syntetiska samtal utan koppling till identifierbara personer behandlas inga personuppgifter i själva testmaterialet. Om inte heller användarkonton, loggar eller andra delar av testflödet innehåller personuppgifter är just det testet inte samma behandling som en senare drift med verkliga uppgifter. Beslutet kan då säga ”ingen DPIA för det syntetiska testet” och ska kräva ett nytt förtest innan verkliga data kopplas in.
Håll DPIA, AI-riskklass och FRIA isär
Tre bedömningar kan förekomma i samma projekt men besvarar olika frågor. DPIA hör till GDPR och granskar risker från behandlingen av personuppgifter. AI-förordningens riskklassning avgör vilka regler som gäller för AI-systemet utifrån dess avsedda ändamål och användning. En bedömning av konsekvenser för grundläggande rättigheter, ofta kallad FRIA, är ytterligare en skyldighet för vissa aktörer och vissa högrisksystem enligt AI-förordningen.
Ett nej i DPIA-förtestet betyder därför inte automatiskt att systemet är lågrisk enligt AI-förordningen. En klassning som högrisk-AI är inte heller i sig den dokumenterade analys som GDPR artikel 35 kräver. Använd separata rubriker, ansvariga och beslut. Se krav och skyldigheter enligt AI-förordningen för den andra bedömningen.
När ska ni eskalera?
Koppla in dataskyddsombudet tidigt när ni inte kan avgränsa behandlingen, när flera kriterier träffar eller när verksamheten och leverantören ger olika bilder av dataflödet. Om organisationen har ett dataskyddsombud ska ombudet rådfrågas när en DPIA genomförs. Ombudet ger råd och övervakar arbetet; ansvaret för beslutet ligger kvar hos den personuppgiftsansvariga.
En DPIA ska identifiera risker och åtgärder innan behandlingen börjar. Om den visar att en hög risk ändå kvarstår trots planerade skyddsåtgärder krävs förhandssamråd med IMY före start. Då är ”vi kör piloten medan vi väntar” inte ett neutralt testupplägg, eftersom behandlingen som ska bedömas redan har börjat.
Avsluta förtestet med en tydlig grind: ingen åtkomst till verkliga personuppgifter förrän beslutet är dokumenterat, nödvändigt underlag finns och eventuella villkor är uppfyllda. Skriv också vem som får öppna grinden. En inköpare kan samla leverantörssvar, men den personuppgiftsansvariga måste kunna visa hur slutsatsen drogs.
Kontroll före pilotstart
- Beskriv ändamål, personer, data, flöde, omfattning och beslutspåverkan.
- Markera varje av IMY:s nio kriterier med ja, nej eller osäkert och skriv skälet.
- Kontrollera IMY:s förteckning och obligatoriska exempel; använd inte bara antalet kryss.
- Dokumentera beslutet ”gör DPIA”, ”utred först” eller ”ingen DPIA nu”.
- Rådfråga dataskyddsombudet vid DPIA och tidigare när osäkerheten motiverar det.
- Håll GDPR-bedömningen separat från AI-förordningens klassning och eventuell FRIA.
- Ange vilka ändringar som kräver omprövning: nya datakällor, fler registrerade, nytt ändamål, ny modell, integration eller ökad beslutspåverkan.
- Starta inte behandling med verkliga personuppgifter om beslutet eller nödvändigt underlag saknas.
Källor
- IMY: När ska en konsekvensbedömning genomföras? (öppnas i ny flik) – tröskeln, de nio kriterierna, huvudregeln och exemplen.
- IMY: GDPR vid användning av generativ AI (öppnas i ny flik) – riskbedömning före införande och bedömning från fall till fall.
- IMY: Steg 5 – skydda personuppgifter och förebygga risker (öppnas i ny flik) – ordningen riskbedömning, DPIA och förhandssamråd.
- EDPB: Data protection impact assessment (öppnas i ny flik) – DPIA:s syfte, tidpunkt och kvarstående hög risk.
- IMY: Dataskyddsförordningen i fulltext (öppnas i ny flik) – artikel 35 om dataskyddsombudets råd och artikel 36 om förhandssamråd.