Registerutdrag om AI på jobbet: begär insyn
Använder arbetsgivaren AI för planering, uppföljning eller bedömningar som rör dig? Du kan begära besked om personuppgifter som behandlas om dig. Här får du en avgränsad mejlmall, rätt mottagare och ett sätt att granska svaret.
Vad kan ett registerutdrag visa?
IMY beskriver rätten till tillgång som en rätt att få veta om en verksamhet behandlar personuppgifter om dig och, om den gör det, få en kopia av uppgifterna och information om hur de används. Informationen omfattar bland annat ändamål, mottagare, lagringstid och varifrån uppgifterna kommer. Den rätten gäller även när uppgifterna behandlas i ett AI-relaterat arbetsflöde. Att verktyget kallas AI förändrar inte själva frågan: vilka uppgifter om dig behandlas och hur?
Exempelvis kan en arbetsgivare använda ett system för att sammanställa arbetspass eller föreslå utbildningsinsatser. En begäran kan då gälla dina registrerade uppgifter och eventuella bedömningar som kopplas till dig. Exemplet säger inget om vad just din arbetsgivare lagrar. Börja därför med en fråga om systemet faktiskt behandlar uppgifter om dig.
Ett registerutdrag är inte automatiskt en kopia av varje dokument, systemets källkod eller andra anställdas uppgifter. IMY förklarar att en begriplig sammanställning av personuppgifterna kan räcka och att undantag kan begränsa utlämnandet. Vill du förstå den bredare frågan om kontroll på arbetsplatsen finns vår artikel om AI-övervakning på jobbet.
Steg 1: hitta arbetsgivarens dataskyddskanal
Leta först i personalhandboken, integritetspolicyn för anställda eller intranätet efter en kontakt för personuppgifter. IMY anger att arbetsgivare har en långtgående skyldighet att informera anställda om varför personuppgifter samlas in, hur de används och vilka rättigheter som finns. Den befintliga informationen kan ge dig både namnet på systemet och rätt adress.
Skicka begäran till arbetsgivaren som behandlar uppgifterna, via den kontaktväg som arbetsgivaren anger för dataskydd. Om informationen saknas kan du skriva till arbetsgivarens vanliga kontaktadress och be att meddelandet når den personuppgiftsansvariga funktionen. IMY har inte ett samlat register över andra verksamheters personuppgifter och kan därför inte lämna ut arbetsgivarens registerutdrag åt dig.
Steg 2: avgränsa frågan utan att göra den för snäv
Skriv vilken behandling du undrar över: till exempel ett namngivet planeringsverktyg, ett AI-stöd för rekrytering eller en period då en ny bedömning gjordes. Om du inte vet produktnamnet, beskriv arbetsflödet: ”systemet som ger förslag till arbetspass”. Be också om uppgifter som förs vidare till eller kommer från systemet, om de hör till den aktuella behandlingen. Då kan arbetsgivaren förstå vilket område du menar utan att du behöver veta hur tekniken är byggd.
En avgränsning hjälper sökningen men ska inte läsas som att du avstår från din rätt till övriga uppgifter. Om du vill begära tillgång till alla personuppgifter som arbetsgivaren behandlar om dig kan du säga det uttryckligen. Den här guiden använder en smalare begäran för den som vill undersöka ett visst AI-arbetsflöde.
Steg 3: skicka en begäran som går att följa upp
Du kan använda följande text och byta ut hakparenteserna. Den bygger på IMY:s vägledning och brevmall. En begäran kan göras muntligt eller skriftligt; ett mejl gör det lättare att spara datum och ordalydelse.
Ämne: Begäran om tillgång till personuppgifter enligt artikel 15 GDPR
Hej! Jag vill veta om ni behandlar personuppgifter om mig i [systemet eller arbetsflödet] under [period, om relevant]. Om så är fallet vill jag få en kopia av de personuppgifter som behandlas där och information om ändamål, mottagare, planerad lagringstid och varifrån uppgifterna kommer. Jag vill också veta om uppgifterna har använts i ett helt automatiserat individuellt beslut som har rättsliga eller liknande betydande följder för mig. Om det är fallet vill jag få den information om beslutet som reglerna ger rätt till. Meddela gärna hur jag kan bekräfta min identitet på ett säkert sätt om ni behöver det. Vänliga hälsningar, [namn och kontaktuppgift].
Skicka inte en kopia av legitimation eller känsliga uppgifter i första mejlet om arbetsgivaren inte har bett om det. IMY anger att verksamheten i vissa fall kan behöva ytterligare uppgifter för att kontrollera att den lämnar uppgifter till rätt person. Spara en kopia av begäran och datumet den togs emot.
Steg 4: skilj mellan uppgifter och beslut
En AI-rekommendation och ett automatiserat beslut är inte samma sak. IMY förklarar att de särskilda reglerna om automatiserat individuellt beslutsfattande gäller beslut som fattas utan mänsklig inblandning och har rättsliga eller liknande betydande följder. Om en människa fattar själva beslutet med AI som stöd är det som utgångspunkt inte ett sådant beslut. Undantag från huvudregeln finns också.
Du kan fortfarande begära tillgång till personuppgifter som behandlas om dig även om arbetsgivaren använder AI endast som stöd. Om svaret säger att ett betydande beslut var helt automatiserat blir nästa fråga vilken information om logik, betydelse och förutsedda följder som ska lämnas i just det fallet. Rätten till tillgång innebär däremot inte en generell rätt att få systemets modellkod. Se även vår guide om AI i lönekartläggning för ett annat arbetsrelaterat användningsområde.
Steg 5: läs svaret med fyra kontrollfrågor
Kontrollera först om arbetsgivaren tydligt svarar ja eller nej på om uppgifter om dig behandlas i det avgränsade arbetsflödet. Vid ja: kan du identifiera själva personuppgifterna, till exempel en registrerad bedömning eller ett inmatat underlag? Kontrollera sedan om du får veta varför uppgifterna används, vem som får dem, hur länge de sparas och varifrån de kommer. Slutligen: om du frågade om ett helt automatiserat beslut, framgår det om ett sådant beslut faktiskt har förekommit?
Ett svar kan vara en sammanställning i stället för originalhandlingar. Det är enligt IMY inte i sig ett tecken på ett felaktigt svar. Om en post verkar saknas, fråga konkret: ”Jag har fått information om indata men inte om någon bedömning av mig som skapades i systemet. Behandlas en sådan bedömning?” Om arbetsgivaren hänvisar till ett undantag, be om en förklaring av vad avslaget avser och varför.
Prov och facit: vad saknas i svaret?
Prov: Du frågade om ett AI-stöd som föreslår arbetspass. Svaret säger: ”Vi använder ett planeringssystem med AI. Dina uppgifter behandlas enligt vår policy.” Är det tillräckligt för att du ska förstå vilka uppgifter om dig som behandlas och hur?
Facit: Nej, svaret ger varken en identifierbar kopia av personuppgifterna eller konkret information om användningen i det efterfrågade arbetsflödet. Svara med en avgränsad följdfråga: ”Vilka uppgifter om mig finns i planeringssystemet, vilka eventuella förslag eller bedömningar har sparats, varifrån kommer uppgifterna och hur länge lagras de?” Det betyder inte att varje fråga måste besvaras med ett särskilt dokument. Verksamheten kan behöva förklara ett undantag eller bekräfta din identitet.
IMY anger att verksamheten ska svara utan onödigt dröjsmål, som huvudregel senast inom en månad efter att begäran kommit in. Om svaret uteblir eller du inte får den information du har rätt till kan du lämna klagomål till IMY. Spara din begäran, eventuella följdfrågor och svar så att det går att visa vad du faktiskt bad om.
Källor
- IMY: Rätt till tillgång – vad du kan begära, form, svar, begränsningar och klagomål.
- IMY: Information till anställda – arbetsgivarens informationsskyldighet.
- IMY: Automatiserat beslutsfattande – skillnaden mellan beslutsstöd och helt automatiserade beslut.