Retlige risici ved DeepSeek og lignende modeller
Udbredelsen af nye sprogmodeller øger presset på organisationer for hurtig implementering, men fravær af gennemsigtighed i træningsdata og modelarkitektur udløser væsentlige retlige og sikkerhedsmæssige risici. Flere europæiske aktører – herunder offentlige myndigheder – har midlertidigt forbudt brugen af bestemte apps på arbejdsenheder, fordi det ikke kan dokumenteres, hvordan data behandles, eller om europæisk ret efterleves.
For virksomheder betyder det, at både GDPR og AI-forordningen skal tænkes sammen: Har leverandøren et lovligt grundlag, tilstrækkelige informationer om datakilder og passende sikkerhedsforanstaltninger? Er der styr på rollefordelingen mellem dataansvarlig og databehandler, på overførsler til tredjelande samt på logning, sporbarhed og risikostyring? Uden klare svar bør anvendelsen begrænses eller sættes på pause.
Europæiske initiativer og datasuverænitet
EU og danske aktører arbejder parallelt på egne sprogmodeller og dataøkosystemer for at styrke lovmedholdelighed, kvalitet og sproglig diversitet. European Language Data Space skal skabe adgang til lovlige og højkvalitets træningsdata, mens nationale initiativer udvikler modeller, der understøtter mindre sprog som dansk. Målet er praktisk anvendelige, åbne og dokumenterbare løsninger.
Debatten om at betragte AI som kritisk infrastruktur intensiveres. Afhængighed af eksterne platforme kan påvirke samfundsvigtige funktioner, hvilket peger på behovet for teknologisk kontrol, robuste kontrakter og beredskab. Samspillet mellem AI-forordningen, NIS2 og klassiske informationssikkerhedsstandarder gør styrings- og dokumentationskrav mere forudsigelige – men også mere omfattende.
Virksomheders næste skridt
En risikobaseret tilgang bør være udgangspunktet. Start med formålsafgrænsning: Hvilke opgaver er ikke-egnede til generativ AI, og hvilke kan forsvarligt automatiseres? Fastlæg interne politikker, værktøjswhitelists og retningslinjer for klassifikation af input- og outputdata, så følsomme oplysninger aldrig forlader kontrollerede miljøer.
Samtidig bør organisationer sikre, at leverandører kan dokumentere datakilder, modelstyring og sikkerhed. Uden troværdig dokumentation om træning, finjustering og drift, herunder overførsler til tredjelande, bør anvendelsen begrænses. En praktisk ramme kan indeholde følgende elementer:
- Data- og formålsklassifikation med klare no-go-kategorier.
- DPIA og sikkerhedsvurdering, inkl. logging, adgangsstyring og outputkontrol.
- Leverandørdue diligence, kontraktkrav og standardkontraktbestemmelser ved overførsler.
- Kontinuerlig modelgovernance: versionsstyring, evalueringsmetrik og incident-håndtering.
- Beredskabsplaner og exit-strategi for at reducere leverandørafhængighed.
På kort sigt kan organisationer kombinere internationale modeller med europæiske alternativer til opgaver med højere risikoprofil. På længere sigt vil bedre dokumentation, stærkere datasæt og øget reguleringsklarhed støtte en ansvarlig anvendelse af sprogmodeller – uden at kompromittere sikkerhed, rettigheder eller forretningskritiske hensyn.
