Regler och rekommendationer

• Rekommendation
• Generativ AI

Användningen av allmänt tillgängliga generativa AI-tjänster eller integrerade generativa AI-tjänster bör ske under verksamhetens ledning och översyn. Det bör vara tydligt för medarbetarna vad tjänsten får användas till och vilken information som får behandlas i tjänsten. Vid användning av integrerade generativa AI-tjänster, som innebär att tjänsten får tillgång till verksamhetsdata, krävs god informationshantering och behörighetsstyrning. Det är viktigt att ha kunskap om verktyg som används och dess möjligheter och begränsningar.

• Kommun
• Region
• Statlig myndighet

• Rekommendation
• Generativ AI

Det är möjligt att förena användning av generativ AI med dataskyddsförordningens bestämmelser om säkerhet. Vilka säkerhetsåtgärder som behöver vidtas är beroende av risken med behandlingen. Verksamheter som avser att använda generativ AI behöver alltså utföra riskbedömningar innan en behandling med generativ AI påbörjas. Användningen behöver dessutom kontinuerligt följas upp ur ett säkerhetsperspektiv. En konsekvensbedömning enligt dataskyddsförordningen behöver genomföras om personuppgiftsbehandlingen sannolikt medför höga risker för enskilda. Exempel på risker med användning av generativ AI innefattar övertro på AI-systemets förmågor, bristande förståelse för dess begränsningar och risk för dataläckage. Dessa risker kan kräva åtgärder såsom en tydlig styrningsstruktur, mänsklig kontroll och tekniska säkerhetsåtgärder.

• Kommun
• Region
• Statlig myndighet

• Rekommendation
• Generativ AI

Verksamheter behöver vidta åtgärder för att säkerställa enskildas rättigheter enligt dataskyddsförordningen vid användning av generativ AI. Verksamheten behöver till exempel överväga om det krävs uppdateringar av verksamhetens integritetspolicy eller liknande dokument som informerar enskilda om behandlingen av deras personuppgifter. Vidare bör verksamheten sträva efter att använda generativ AI med inbyggt skydd för enskildas rättigheter.

• Kommun
• Region
• Statlig myndighet

• Rekommendation
• Generativ AI

Vid användning av generativ AI kan bestämmelser i dataskyddsförordningen om automatiserat beslutsfattande och överföring av personuppgifter till tredjeland aktualiseras. För att myndigheter ska kunna använda generativ AI för automatiserat beslutsfattande behöver förvaltningslagens krav på proportionalitet, objektivitet och legalitet följas. Om användningen av AI innebär att personuppgifter förs över till ett land utanför EU/EES måste särskilda villkor enligt dataskyddsförordningen vara uppfyllda.

• Kommun
• Region
• Statlig myndighet

• Rekommendation
• Generativ AI

När generativ AI används för att uppfylla verksamhetens uppdrag kan det finnas rättslig grund för att behandla personuppgifter. Kravet på nödvändighet kan vara uppfyllt om användningen sker för att effektivisera verksamheten. Ju större riskerna är med den behandling av personuppgifter som sker vid användning av generativ AI, desto högre krav ställs på den rättsliga grunden.

• Kommun
• Region
• Statlig myndighet

• Rekommendation
• Generativ AI

Den verksamhet som använder generativ AI för att utföra sitt uppdrag är personuppgiftsansvarig för personuppgiftsbehandlingen. En leverantör av ett AI-system som behandlar personuppgifter för verksamhetens räkning kan vara personuppgiftsbiträde. I sådana fall krävs ett personuppgiftsbiträdesavtal mellan den ansvarige och biträdet.

• Kommun
• Region
• Statlig myndighet

• Rekommendation
• Generativ AI

Användning av generativ AI kan ske på ett sätt som är förenligt med de grundläggande principerna för dataskydd. Detta förutsätter att åtgärder vidtas bland annat för att minimera användningen av personuppgifter och att behandlingen av personuppgifter sker på ett öppet sätt i förhållande till den enskilde. En verksamhet måste säkerställa att principerna efterlevs innan personuppgiftsbehandlingen påbörjas och också tillämpa dem löpande så länge behandlingen pågår.

• Kommun
• Region
• Statlig myndighet

• Rekommendation
• Generativ AI

Verksamheter som avser att använda generativ AI behöver ofta se till att användningen är förenlig med dataskyddsregelverket, det vill säga i huvudsak dataskyddsförordningen (GDPR) och kompletterande lagstiftning. Dataskyddsfrågor som då behöver hanteras är bland annat vem som ansvarar för användningen, vilket rättsligt stöd som finns för användningen och vilka risker som finns med användningen och hur de riskerna lämpligen hanteras.

• Kommun
• Region
• Statlig myndighet

• Rekommendation
• Generativ AI

Genom att arbeta proaktivt med informationssäkerhet minskar ni risken för negativa följder av incidenter som påverkar, eller hade kunnat påverka, organisationens information. Ni kan även effektivisera er informationshantering, öka nyttan av informationen och på sikt minska kostnaderna för informationshantering och informationsskydd.

• Kommun
• Region
• Statlig myndighet