AI-baserede behandlinger af personoplysninger vil ofte udløse pligt til at gennemføre en konsekvensanalyse (DPIA) efter GDPR, før behandlingen påbegyndes. Kravet afhænger af, om behandlingen sandsynligvis medfører høj risiko for de registreredes rettigheder. Mange AI-implementeringer rammer flere højrisikokriterier, men en konkret vurdering er afgørende.
Pligt til konsekvensanalyse ved AI efter GDPR art. 35
En DPIA er en systematisk vurdering af behandlingsaktiviteten, dens nødvendighed og proportionalitet samt de risici, den indebærer, og de foranstaltninger, der reducerer disse risici. Hvis en DPIA er påkrævet, må behandlingen ikke starte, før analysen er færdig og risici håndteret tilstrækkeligt.
I AI-konteksten rammer man som udgangspunkt kriteriet om anvendelse af ny teknologi. Ofte opfyldes yderligere kriterier, fx behandling af særlige kategorier, behandling i stort omfang eller behandling vedrørende sårbare registrerede. Derfor vil AI-projekter i praksis ofte kræve en DPIA, men simple løsninger med begrænset databehandling kan falde uden for – forudsat en dokumenteret, konkret vurdering.
Kriterier for høj risiko og myndighedspraksis
EDPB og Datatilsynet peger på en række indikatorer for høj risiko. Som hovedregel udløses DPIA-pligt, hvis mindst to kriterier er opfyldt, og Datatilsynet har desuden publiceret en positivliste over behandlinger, der altid kræver DPIA.
Ved AI bør man derfor tidligt screene projektet op imod kriterierne og positivlisten. Det styrker den interne beslutningsproces, og det reducerer risikoen for forsinkelse i implementeringen.
Typiske højrisikokriterier omfatter blandt andet:
- Evaluering eller scoring, herunder profilering og forudsigelser.
- Automatiske afgørelser med retlig eller tilsvarende væsentlig virkning.
- Systematisk overvågning.
- Behandling af særlige kategorier eller meget personlige oplysninger.
- Behandling i stort omfang.
- Matching eller kombination af datasæt.
- Oplysninger om sårbare registrerede.
- Anvendelse af ny teknologi.
Opfyldes to eller flere af disse, taler det stærkt for DPIA-pligt. Er der tvivl, bør risikoniveauet dokumenteres og genbesøges ved ændringer i formål, dataomfang eller modeladfærd.
Gennemførelse af DPIA i praksis og typiske faldgruber
En forsvarlig DPIA forudsætter overblik over datakilder, dataflow, adgangsstyring, modelarkitektur og integrationer. Juridisk kræves afklaring af roller (dataansvarlig/databehandler), behandlingsgrundlag, databehandleraftaler, licens- og tjenestevilkår samt privatlivspolitikker. Overføres data uden for EU/EØS, bør der udarbejdes Transfer Impact Assessment.
Faldgruber opstår ofte, når tekniske og forretningsmæssige forudsætninger ikke er modne, eller når analysen reduceres til skemaudfyldelse uden reel risikovurdering. Involvering af de rette kompetencer – juridiske, sikkerhedsmæssige, tekniske og forretningsmæssige – samt ledelsesbeslutninger om risikotolerance er centrale for en holdbar konklusion.
Skabeloner, governance og effektivisering af arbejdet
Der findes anvendelige DPIA-skabeloner fra EDPB, Datatilsynet og CNIL. Skabelonerne er et godt udgangspunkt, men kræver tilpasning til organisationens governance, risikokriterier og portefølje af AI-use cases. En modulær tilgang – hvor generiske dele genbruges på tværs af løsninger – kan reducere omkostninger og sikre konsistens.
Leverandører kan med fordel stille en systemnær DPIA til rådighed, som kunderne kan bygge videre på. Det giver transparens om model, data og kontroller og kan blive en reel konkurrencefordel. Læs mere i Datatilsynets vejledning om konsekvensanalyser: https://www.datatilsynet.dk/regler-og-vejledning/behandlingssikkerhed/konsekvensanalyse.
