En DPIA, en konsekvensanalyse efter art. 35, skal laves, når en behandling sandsynligvis medfører høj risiko for personers rettigheder. For et AI-værktøj, I køber, er vurderingen konkret, og Datatilsynets skabelon fra 2024 er et godt arbejdsredskab. Skabelonen er bygget til både udvikling og drift. Køber I færdigt, kan store dele om træning og test sættes ud af spil med en kort begrundelse, så tyngden kommer til at ligge på formål, grundlag, leverandør, rettigheder og drift. Virksomheden laver analysen, DPO’en rådgiver, og ledelsen godkender.
Skal der laves en analyse?
Datatilsynet skriver i vejledningen om offentlige myndigheders brug af AI fra oktober 2023, at behandling som led i udvikling eller drift af AI-løsninger “næsten altid vil udløse flere af de kriterier”, der afgør, om der skal laves en analyse. Tilsynet begrunder det med, at AI anses for ny teknologi, og at brugen ofte rummer følsomme oplysninger, sårbare personer eller stort omfang.
Forbeholdet er vigtigt. Vejledningen retter sig mod offentlige myndigheder, og vi har ikke fundet en dansk tekst, der siger det samme om private virksomheders kontorværktøjer. Skabelonen er derimod lagt ud til både virksomheder og myndigheder, og dens tekst siger, at høj risiko normalt vil foreligge ved udvikling og brug af AI. Kriterierne i WP248 gælder også jer: i de fleste tilfælde skal en analyse overvejes, når to kriterier er opfyldt.
Et værktøj, der retter sprog i produkttekster, når næppe dertil. Et værktøj, der læser alle medarbejderes mail, eller som sorterer kunder, gør det formentlig. Vælger I ikke at lave en analyse, så skriv begrundelsen ned. Se skal vi lave en DPIA?.
Skabelonen på et købt værktøj
Skabelonen er et regneark med otte faner. Sådan kan de bruges, når I hverken træner eller udvikler selv.
Resume og scope. Afgræns behandlingen. Skal værktøjet køre på eksisterende infrastruktur, kan I henvise til de vurderinger, der findes af den, og koncentrere jer om det nye.
Beskrivelse af aktivitet. Punkt 1.1 til 1.9 spørger om formål, datastrømme, registrerede, deling og kontekst. Datastrømmene er den svære del. Tegn, hvad der går ind, hvor det behandles, hvad der gemmes, og hvem der får det. Her kommer leverandørens dokumentation i brug, og her viser det sig, om I har forstået produktet.
Vurdering af lovlighed. Her ligger hovedarbejdet: behandlingsgrundlag, art. 9, strafbare forhold, CPR og principperne i art. 5. Skabelonen vil have udvikling og drift vurderet hver for sig. Bruger I en færdig model uden egen træning, skriver I det under udvikling og går videre. Punkt 2.11 til 2.15 om trænings- og testdata kan i så fald stå som ikke relevante, med en henvisning til aftalen om, at jeres data ikke bruges til træning. Punkterne om drift gælder fuldt ud: urimelige svar, forklaring, begrænsning af input og korrekthed. Punkterne om rettigheder, databehandlere og tredjelande skal udfyldes under alle omstændigheder, når de er relevante for jer.
Evalueringskriterier. Skabelonen har en skala fra 1 til 4 for sandsynlighed og for konsekvens med beskrivelser af hvert trin. Konsekvensen måles for de registrerede.
Risici. Fanen har rækker opdelt efter livscyklus: afgrænsning, udvikling, test, drift og monitorering. For hver risiko skal I beskrive et konkret scenarie, vurdere før og efter foranstaltninger og pege på en risikoejer. Ved et købt værktøj er det især rækkerne om manglende ansvarsfordeling, formål, der glider, forkert output, misbrug, usikker håndtering af output og manglende menneskelig kontrol.
Mitigerende foranstaltninger. Fanen er en lang liste, hvoraf meget er rettet mod udviklere. Tag det relevante. Skabelonen siger om tredjepartsmodeller, at leverandører og vilkår skal undersøges på forhånd, og at vilkårene bør følges løbende. Det gælder også for jer.
Interessentinddragelse. Her står DPO’ens synspunkter (art. 35, stk. 2), de registreredes eller deres repræsentanters synspunkter, hvis det er relevant, en eventuel høring af Datatilsynet efter art. 36 og ledelsens godkendelse.
Det, leverandøren skal bidrage med
Databehandleren skal efter art. 28, stk. 3, litra f, hjælpe med konsekvensanalysen. Bed om konkret dokumentation af datastrømme, opbevaring, underdatabehandlere og sikkerhed. I sit svar om en regions påtænkte brug af Microsoft 365 fra 2024 lagde Datatilsynet vægt på, at den dataansvarlige skal kortlægge, hvilke oplysninger der behandles og til hvilke formål, og afdække, om leverandøren behandler dem til egne formål. Svaret var rettet til en region, og private har et andet grundlag end en myndighed. Spørgsmålene om leverandørens egne formål er dog de samme for jer.
Standardvilkår kan være tilstrækkelige, og pligten til at kunne dokumentere det ligger stadig hos jer. Hvad der skal læses, står i databehandleraftale med en AI-leverandør.
Hvem gør hvad
Analysen ejes af den, der ejer behandlingen, med IT som bidragyder til datastrømme og sikkerhed. DPO’en rådgiver om, hvorvidt analysen skal laves, om metoden og om foranstaltningerne, og vurderer til sidst, om den er korrekt gennemført. Skrev DPO’en selv analysen, skulle DPO’en bedømme sit eget arbejde, så opgaven bør blive hos virksomheden.
Er risikoen stadig høj, efter foranstaltningerne er på plads, skal Datatilsynet høres, inden behandlingen går i gang. Se høj restrisiko og forudgående høring.
Analysen er heller ikke færdig, når den er godkendt. Datatilsynet kalder den en løbende forpligtelse ved dynamiske AI-løsninger. Sæt en dato for næste gennemgang, og gentag den, når leverandøren ændrer vilkår eller tilføjer funktioner.
Det skal I lade være med
- At starte, når værktøjet er rullet ud · analysen skal ligge før behandlingen.
- At slette rækker uden forklaring · skriv, hvorfor et punkt ikke er relevant.
- At kopiere leverandørens materiale ind som jeres analyse · det beskriver produktet, og analysen skal beskrive jeres brug.
Det skal I kræve af den eksterne
- ☐ En vurdering af, om analysen skal laves, med begrundelse.
- ☐ Rådgivning om, hvilke dele af skabelonen der er relevante for et købt værktøj.
- ☐ Kritisk gennemlæsning af datastrømme og risici.
- ☐ Skriftlige synspunkter i feltet til DPO’en.
- ☐ En dato for opfølgning.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679: art. 28, stk. 3, litra f, og art. 35 og 36.
- Datatilsynet: Nye skabeloner til konsekvensanalyser, 22/5 2024: AI-skabelonen åbnet og læst 5/11 2026.
- Datatilsynet: Kunstig intelligens: vejledning til offentlige myndigheder, oktober 2023, afsnit 6.
- WP248 og Datatilsynets liste.
- Datatilsynet: Region Syddanmarks påtænkte brug af Microsoft 365, 2024.
Senest gennemgået: november 2026.
Næste skridt
Læs også: DPO’ens rolle, når virksomheden indfører AI · DPIA før kontrakten
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
