Hva er AI og personvern?

AI og personvern handler om spenningsfeltet mellom kunstig intelligens sin evne til å analysere enorme mengder data og individets rett til å kontrollere sine egne personopplysninger. AI-systemer trenger data for å fungere – men mye av denne dataen er personlig. Hvordan vi balanserer nytteverdien av AI med retten til privatliv er et av de viktigste spørsmålene i den digitale tidsalderen.

Kort forklart AI og personvern handler om å bruke kunstig intelligens på en måte som respekterer folks rett til å kontrollere sine persondata – i tråd med lover som GDPR og etiske prinsipper.

Hvorfor er dette viktig?

AI-systemer samler og analyserer persondata i en skala som aldri før har vært mulig. Språkmodeller trenes på tekst som kan inneholde personlig informasjon. Ansiktsgjenkjenning kan identifisere individer i sanntid. Anbefalingssystemer bygger detaljerte profiler av brukernes preferanser. Prediktive modeller kan utlede sensitiv informasjon fra tilsynelatende uskyldige data.

For norske borgere og bedrifter er personvern en grunnleggende rettighet beskyttet av GDPR – og AI-bruken må respektere denne rettigheten.

GDPR og AI

GDPR (General Data Protection Regulation) er EUs personvernforordning som også gjelder i Norge via EØS-avtalen. Den setter strenge rammer for hvordan persondata kan brukes i AI-systemer.

Sentrale GDPR-prinsipper for AI

Lovlig grunnlag krever at du har et gyldig rettslig grunnlag for å behandle persondata i AI-systemer – enten samtykke, berettiget interesse, avtaleoppfyllelse eller annet grunnlag definert i GDPR.

Dataminimering betyr at du bare skal samle og bruke den persondata som er strengt nødvendig for formålet. AI-systemer som suger opp all tilgjengelig data «for sikkerhets skyld» bryter dette prinsippet.

Formålsbegrensning innebærer at data samlet for ett formål ikke kan brukes til et helt annet uten nytt grunnlag. Data samlet for kundeservice kan ikke automatisk brukes til å trene en AI-modell.

Retten til forklaring gir individer rett til informasjon om automatiserte beslutninger som påvirker dem vesentlig. Hvis en AI avslår en lånesøknad, har søkeren rett til å forstå hvorfor.

Retten til sletting betyr at individer kan kreve at deres data slettes. For AI-modeller reiser dette komplekse spørsmål om hvorvidt en modell kan «glemme» spesifikke treningsdata.

AI Act

EUs AI Act, vedtatt i 2024, er verdens første omfattende AI-lovgivning. Den klassifiserer AI-systemer etter risiko og stiller strengere krav til høyrisikobruk som kredittscoring, ansettelsesprosesser, justis og helse. For norske bedrifter gjelder AI Act via EØS-avtalen.

Personvernutfordringer med AI-chatboter

Når du bruker AI-assistenter som ChatGPT, Claude eller Gemini, deler du potensielt personlig informasjon i samtalene. Viktige hensyn er at samtaledata kan lagres og brukes til å forbedre modellene i noen tjenester, at sensitiv informasjon som helseopplysninger eller finansielle detaljer bør behandles med forsiktighet, at bedriftshemmeligheter og intern informasjon kan havne i treningsdata, og at opplysninger om tredjeparter som kunder, ansatte eller partnere kan deles utilsiktet.

For å beskytte personvernet bør du aldri dele passord, personnummer eller betalingsinformasjon, være forsiktig med å dele informasjon om identifiserbare personer, bruke bedriftsversjoner med databehandlingsgarantier for forretningssensitiv informasjon, og lese personvernpolicyen til AI-tjenesten du bruker.

Treningsdata og personvern

Store språkmodeller trenes på milliarder av dokumenter fra internett, som kan inneholde personopplysninger. Dette reiser spørsmål om samtykke der personene som opprinnelig publiserte informasjonen kanskje ikke samtykket til AI-trening, om retten til sletting der det er teknisk utfordrende å fjerne en persons data fra en allerede trent modell, og om datalekkasje der modeller i sjeldne tilfeller kan gjengi personinformasjon fra treningsdataene.

AI-selskaper adresserer dette gjennom filtrering av treningsdata for å fjerne personopplysninger, teknikker som differential privacy for å redusere risiko, opt-out-mekanismer der individer kan be om å bli ekskludert, og robots.txt-respektering for å ikke scrape nettsider som blokkerer det.

AI på arbeidsplassen

AI-bruk på arbeidsplassen reiser egne personvernspørsmål. Overvåking med AI der analyseverktøy som måler produktivitet, analyserer e-poster eller overvåker tastaturbruk berører arbeidstakers personvern. Automatiserte HR-beslutninger der AI brukt i rekruttering, prestasjonsvurdering eller oppsigelse må overholde GDPR-krav til transparens og forklaring. Ansattes data i AI-verktøy der bedrifter bør ha retningslinjer for hvilken informasjon ansatte kan dele med AI-assistenter.

For norske bedrifter er det viktig å involvere tillitsvalgte og verneombud i beslutninger om AI-implementering som berører ansattes personvern.

Ansvarlig AI-bruk i Norge

Datatilsynet er tilsynsmyndigheten for personvern i Norge og har gitt veiledning om AI og personvern. Nøkkelpunkter fra Datatilsynets veiledning er å gjennomføre konsekvensutredning (DPIA) for AI-systemer som behandler persondata i stor skala, å implementere innebygd personvern (privacy by design) i AI-systemer fra starten, å dokumentere databehandlingen med oversikt over hvilke data som brukes, hvordan og hvorfor, og å gi informasjon til de registrerte om hvordan AI-systemer bruker deres data.

Praktiske tiltak for bedrifter

For norske bedrifter som bruker AI anbefales det å kartlegge AI-bruk ved å dokumentere alle AI-verktøy og systemer som bruker persondata. Vurdere rettslig grunnlag for å sikre gyldig behandlingsgrunnlag for all persondata i AI-systemer. Lage retningslinjer med klare regler for hva ansatte kan og ikke kan dele med AI-verktøy. Velge riktige verktøy ved å prioritere AI-tjenester med gode databehandleravtaler og GDPR-overholdelse. Trene ansatte til å forstå personvernrisiko ved AI-bruk. Gjennomføre DPIA for høyrisikobruk med persondata i AI.

Personvernvennlige AI-alternativer

For bedrifter med strenge personvernkrav finnes det alternativer. Lokale modeller kan kjøres på egen infrastruktur uten å sende data til tredjeparter – åpne modeller som Llama kan hostes privat. On-premise AI-løsninger prosesserer data innenfor bedriftens nettverk. Anonymiseringsverktøy fjerner personidentifiserende informasjon før data sendes til AI-systemer. Europeiske AI-tjenester kan ha enklere GDPR-overholdelse.

Fremtiden for AI og personvern

Utviklingen går mot sterkere regulering gjennom AI Act, GDPR-oppdateringer og nasjonal lovgivning, bedre teknologi med teknikker som federated learning, differential privacy og homomorf kryptering, økt bevissthet der brukere stiller høyere krav til personvern, og personvernbevarende AI der modeller som kan lære uten tilgang til rå persondata blir en realitet.