Det nederlandske tilsynet publiserer en egenvurdering for generativ KI

Det nederlandske datatilsynet har gjort tilgjengelig et egenvurderingsverktøy for generative KI-systemer: et løp som får virksomheten til å kontrollere om den har tilstrekkelige styringstiltak, etter hvilke kriterier den velger et system som følger personvernforordningen, hvordan systemet settes i drift, og hvordan bruken følges opp.

Hvorfor et slikt verktøy trengs nå

Det praktiske problemet disse månedene er ikke forbudet: det er at generativ KI kommer inn i virksomheten bakveien. Ikke med et prosjekt, men med en avkrysning inne i et fagsystem leverandøren har oppdatert, eller med et abonnement en avdeling har tegnet uten å spørre noen. Når personvernombudet oppdager det, har behandlingen pågått i måneder.

En egenvurdering løser ikke dette, men gjør det mulig å snakke om: den gir ombudet et dokument å legge på bordet som ikke ser ut som en personlig innvending, og den behandlingsansvarlige en rekke spørsmål som må besvares skriftlig.

De fire beslutningene som må skrives ned

Spørsmålene samler seg om fire øyeblikk: om det i det hele tatt finnes styring før et verktøy tas i bruk; etter hvilke kriterier leverandøren velges; på hvilke vilkår systemet settes i drift; og hvem som følger opp bruken over tid. Det er de samme fire punktene et tilsyn ber om regnskap for — og de samme fire som det som regel ikke finnes en linje skrevet om.

La det være klart: verktøyet tilhører det nederlandske tilsynet og binder ikke de andre. Det skaper ingen presumsjon om samsvar og erstatter ikke vurderingen av personvernkonsekvenser etter artikkel 35 der den kreves. Men spørsmålene er ikke nederlandske: det er de samme et personvernombud ville stilt i Italia, Portugal eller Norge.

Hva man konkret gjør med det

Den nyttige bruken er som kartlegging, ikke som eksamen. En runde e-poster til klientene med tre spørsmål — hvilke generative KI-verktøy er i bruk, hvem har godkjent dem, hvilke data havner inn i dem — gir nesten alltid en overraskelse, og den overraskelsen er det egentlige utgangspunktet.

Og hold rekkefølgen: først avklares det om behandlingen er lovlig og om den krever en konsekvensvurdering, deretter velges leverandøren. Motsatt rekkefølge — system først, så en vurdering skrevet for å rettferdiggjøre det — er den raskeste måten å gjøre en plikt om til fiksjon.