DPA för AI: vad avtalet måste täcka utöver standard

Ett personuppgiftsbiträdesavtal – DPA – är standard vid all molnupphandling. Men för AI-tjänster räcker standardlydelsen sällan. Det finns ett antal frågor som bara uppstår när en språkmodell är inblandad, och om avtalet är tyst om dem har ni en lucka. Den här sidan går bortom den generella DPA-definitionen och tittar på just de AI-specifika klausulerna.

Varför standard inte räcker

Ett vanligt DPA reglerar behandling i allmänhet: vad biträdet får göra, säkerhetskrav, radering vid avtalets slut. Det är nödvändigt men inte tillräckligt för AI, eftersom AI för in tre nya beteenden:

• Kunddata kan användas för att träna modellen.
• Data kan sparas olika länge på olika endpoints.
• Modeller fasas ut, ibland med kort varsel, vilket tvingar fram en migrering.

Ingen av dessa fångas av en klausul skriven för en vanlig databas. De behöver in som uttryckliga tillägg.

De fyra AI-tilläggen att leta efter

När du läser ett DPA för en AI-tjänst, sök aktivt efter dessa:

1. Träningsförbud utan uttryckligt medgivande. Avtalet ska slå fast att er data inte används för träning om ni inte aktivt godkänner det. “Kan välja bort” är svagare än “förbjudet om inte medgivet”.
2. Retention- och ZDR-villkor per endpoint. Zero data retention på en endpoint hjälper inte om en annan sparar allt. Villkoren ska anges per endpoint, inte som en svepande mening.
3. Undantag för missbruksdetektering. Nästan alla leverantörer behåller viss data för att upptäcka missbruk. Det ska framgå tydligt vad undantaget omfattar och hur länge – annars urholkar det tyst era retention-krav.
4. Avtalad varseltid för modellutfasning. Ni behöver tid att omvalidera innan en modell försvinner. Utan en avtalad varseltid kan ett byte tvingas fram snabbare än er egen granskning hinner med.

Rollväxlingen på hyperskalarvägen

Ett vanligt misstag är att bara reglera förhållandet till modellbolaget. Kör ni AI via en hyperskalare ser bilden annorlunda ut.

På hyperskalarvägen är det alltså molnleverantörens DPA som är det styrande dokumentet, och modellbolaget hamnar som underbehandlare i kedjan. Kontrollera att båda leden regleras: att molnleverantörens avtal faktiskt täcker er behandling, och att underbehandlaren binds av motsvarande villkor. Regleras bara det ena ledet finns en glipa där ansvaret kan falla mellan stolarna.

Verifieringspunkter ur en granskares perspektiv

Utöver tilläggen finns några punkter som, enligt underlaget, ofta avgör hur en granskning landar:

• SCC-modul och UK-addendum. Rätt modul av standardavtalsklausulerna för er specifika konstellation, och ett UK-addendum om brittisk data är inblandad.
• Incidentnotifieringstid. Standardlydelsen är ofta för generös. Det är en punkt värd att skärpa i ett tillägg, så att ni får besked i tid att agera.
• Exportbara granskningsloggar. Kan ni inte plocka ut loggarna kan ni inte heller visa vad som hänt. Att loggarna är exportbara är skillnaden mellan en dokumenterbar och en odokumenterbar behandling.

Så granskar du avtalet i praktiken

När DPA:t väl ligger på bordet är det lätt att drunkna i text. Ett par konkreta grepp gör granskningen hanterbar. Läs inte igenom allt linjärt – leta riktat efter de AI-specifika klausulerna först, för det är där standardmallar oftast är tysta. Sök på ord som “träning”, “retention”, “utfasning” och “missbruk” och se vad avtalet faktiskt säger, inte vad ni hoppas att det säger.

Var särskilt vaksam på formuleringar som låter betryggande men inte förpliktar. “Vi använder normalt inte kunddata för träning” är inte samma sak som ett förbud. “Data raderas inom rimlig tid” är inte samma sak som en angiven retention per endpoint. Skillnaden mellan en mjuk avsiktsförklaring och en bindande klausul är precis det en granskare letar efter.

En vanlig fallgrop är att nöja sig med leverantörens standard-DPA för att det ser komplett ut. Det täcker det generella men sällan AI-tilläggen – de får ni ofta be om separat. En annan är att bara reglera modellbolaget och glömma att det på hyperskalarvägen är molnleverantörens avtal som styr. Sakna något av leden och ansvaret kan falla mellan stolarna.

Håll avtalet levande

AI-leverantörernas villkor ändras ofta. Begär därför daterade avtalsversioner så att ni vet exakt vilken lydelse som gäller vid varje tidpunkt, och revalidera avtalet vid modell- och villkorsändringar. Ett DPA som skrevs för ett år sedan kan idag reglera en tjänst som inte längre beter sig som när avtalet undertecknades.

Att granska ett AI-DPA rätt kräver att man förstår både juridiken och hur tjänsten tekniskt fungerar. Vill ni ha ett bollplank inför en AI-upphandling kan du läsa om våra AI-tjänster eller höra av dig. Den här sidan är beslutsstöd, inte juridisk rådgivning.