Hvad er en GDPR-konform chatbot?
En GDPR-konform chatbot er en AI-assistent, hvor behandlingen af persondata lever op til databeskyttelsesforordningens krav: klart retsgrundlag, formålsbegrænsning og dataminimering, uden ukontrolleret overførsel til tredjelande og med respekt for de registreredes rettigheder. I praksis betyder det som regel: drift i EU eller on-premise, ingen træning på brugernes input, og en rettighedsstyring, der afgør, hvem der må se hvilket indhold.
Hvad der tæller juridisk og teknisk
Så snart en chatbot behandler navne, kundedata, personaleoplysninger eller andre persondata, gælder GDPR. Ansvaret ligger altid hos den organisation, der tager chatbotten i brug – ikke hos leverandøren. Leverandøren kan dog skabe de tekniske forudsætninger, der overhovedet gør en lovlig anvendelse mulig.
Det mest kritiske punkt i praksis er overførsel til tredjelande: går forespørgslen til en amerikansk tjeneste, forlader data EU's retsområde. Som amerikanske selskaber er disse leverandører omfattet af CLOUD Act, som kan give myndigheder adgang også til data i europæiske datacentre. Driftsstedet – on-premise eller datacenter i EU – er derfor ikke en detalje, men den afgørende beslutning.
Lige så vigtigt: bruges input til at træne modellen? I så fald kan indhold dukke op igen i senere svar til andre brugere. En databeskyttelsesvenlig opbygning udelukker det. Som supplement giver vejledningerne fra den tyske databeskyttelseskonference (DSK) praktiske pejlemærker.
Sådan genkender I en GDPR-konform chatbot
Behandlingen sker på jeres egen infrastruktur eller i et datacenter inden for EU's retsområde – uden omvej over amerikanske tjenester.
Indhold fra prompts og dokumenter indgår ikke i modeltræningen og dukker ikke op hos andre brugere.
Der findes en aftale efter art. 28 GDPR med klart regulerede forpligtelser, underdatabehandlere og slettefrister.
Assistenten svarer kun ud fra indhold, som den spørgende person alligevel må se – rettigheder styres via roller.
Svar er belagt med kilde, så det forbliver muligt at kontrollere, hvor en oplysning stammer fra.
Indsigt, berigtigelse og sletning er teknisk gennemførlige – også for indhold, der ligger i indekset.
„GDPR-konform“ er ikke et stempel, et produkt bærer af sig selv. Om en konkret anvendelse er lovlig, afhænger altid af anvendelsestilfældet, de behandlede data og den ansvarlige organisations udformning. En leverandør kan skabe forudsætningerne – vurderingen i det enkelte tilfælde, for eksempel i en konsekvensanalyse, ligger hos jer og jeres databeskyttelsesrådgiver. Denne side er ikke juridisk rådgivning.
Ofte stillede spørgsmål
Kan ChatGPT bruges GDPR-konformt?
Til ukritiske opgaver ofte ja; til persondata eller særlige kategorier som regel ikke uden videre. OpenAI er et amerikansk selskab omfattet af CLOUD Act; en konsekvensanalyse er obligatorisk. For erhverv med tavshedspligt rækker selv Enterprise-varianten oftest ikke.
Er et datacenter i EU nok?
Det er et vigtigt skridt, men ikke automatisk tilstrækkeligt: det afgørende er også, hvem der juridisk kan få adgang. Hos amerikanske koncerner forbliver CLOUD Act relevant, selv når serverne står i Europa. En europæisk leverandør eller on-premise-drift lukker det hul.
Hvad med persondata i de uploadede dokumenter?
De er også omfattet af GDPR. Derfor er formålsbegrænsning, en rettighedsstyring og muligheden for målrettet at fjerne indhold vigtige. Grundreglen er: indekser kun de data, der reelt er brug for til formålet.
Kræves der en konsekvensanalyse?
Ofte ja – især ved omfattende behandling af persondata eller ved særlige kategorier. Vurderingen foretages af den ansvarlige organisation, som regel sammen med databeskyttelsesrådgiveren.
Sådan ser det ud med KOSMO
Teori er én ting – på 30 minutter viser vi live, hvordan KOSMO gør det i jeres organisation. Med jeres eget indhold.
