GDPR-sjekklisten før AI-avtalen

De fleste AI-avtaler signeres under tidspress: Piloten har lyktes, virksomheten vil videre, og leverandørens papirer ser profesjonelle ut. Det er nettopp da en sjekkliste gjør størst nytte. Her er kravene dere bør stille før signering, delt inn i det dere skal kreve, det dere skal spørre om, og det dere aldri kan gi fra dere. Listen er bevisst leverandørnøytral: De samme kravene gjelder uansett om avtalen dreier seg om en chattetjeneste, et utviklerverktøy eller en API-plattform, og den fungerer like godt ved reforhandling som ved en ny avtale.

Dokumentene dere skal kreve

Fire dokumenter utgjør grunnpakken. Mangler ett av dem, er det en grunn til å stoppe opp, ikke til å forhandle videre:

Be om daterte versjoner og ta vare på dem i innkjøpsdokumentasjonen. En underleverandørliste uten dato er i praksis verdiløs ved en kontroll to år senere. Les listen aktivt, ikke som en formalitet: Den viser ofte at kjeden er lengre enn salgspresentasjonen antydet, med en modelleverandør, en hyperscaler og noen ganger analysetjenester i tredje ledd. Hvert ledd er et eget spørsmål om region og lagringstid.

Spørsmålene som skiller leverandørene

Dokumentene ovenfor har de fleste seriøse leverandører. Forskjellene, og risikoene, viser seg først i oppfølgingsspørsmålene:

• Lagringstid og zero data retention per endepunkt. Et ZDR-løfte kan gjelde noen funksjoner, men ikke andre. Spør per endepunkt dere faktisk bruker, ikke per produkt.
• Hvor misbruksdeteksjonen skjer. Mange leverandører kontrollerer prompter for misbruk, noen ganger utenfor EØS og noen ganger ved at mennesker leser dem. Spør hvor, av hvem og med hvilken lagring.
• Varslingsfrist ved avvik. Standardformuleringen «uten ugrunnet opphold» gir dere ingenting å planlegge etter. Forhandle inn en konkret frist i timer i et avtaletillegg. Dere har selv 72 timer på dere overfor tilsynsmyndigheten og trenger margin.

Et eksempel på hvorfor endepunktnivået betyr noe: En bedrift kjøper inn en AI-assistent til kundeservice og nøyer seg med leverandørens «vi tilbyr zero data retention». Ved en gjennomgang viser det seg at ZDR gjelder chatteflyten, men ikke transkripsjons-API-et som alle telefonsamtaler går gjennom. Samtalene har vært lagret i 30 dager utenfor EØS. Ett eneste oppfølgingsspørsmål per endepunkt ville ha fanget det opp før avtalen. Lærdommen er generell: Jo nærmere de faktiske kallene deres spørsmålet stilles, desto ærligere blir svaret. Og be om svarene skriftlig også når de virker selvsagte i møtet. Det er forskjellen på et minne og et grunnlag.

Deres eget ansvar kan ikke delegeres

Uansett hvor god leverandøren er, forblir tre forpliktelser hos dere som behandlingsansvarlig, og et fjerde punkt hører også hjemme der:

1. DPIA: vurderingen av personvernkonsekvenser for behandlinger med høy risiko.
2. Protokoll over behandlingsaktiviteter: AI-verktøyet og kjeden av underleverandører bak det skal inn i protokollen etter artikkel 30.
3. Logger: deres egen sporbarhet over hva som er sendt inn, og hva systemet har gjort.
4. Plan for AI-kompetanse: at de som bruker verktøyet, forstår hva det får og ikke får brukes til. EUs KI-forordning krever slik kompetanse, men den er ennå ikke tatt inn i EØS-avtalen.

Leverandørens dokumenter er grunnlag for disse punktene, aldri en erstatning for dem. En kontrollør spør etter vurderingene deres, ikke etter leverandørens brosjyre. Punktene er dessuten det beste vernet mot skygge-AI: En virksomhet som vet hvilke verktøy som får brukes til hva, og logger hvordan de brukes, oppdager uregelmessigheter før de blir hendelser.

Dater verifiseringen, og gjør den på nytt

Alt ovenfor er et øyeblikksbilde. Vilkår, underleverandører og modellversjoner endres fortløpende, så sjekklisten må kjøres på nytt før produksjonssetting og ved hver modelloppgradering. Dater hver verifisering og ta vare på versjonshistorikken. Det gjør sjekklisten om fra et engangsritual til et levende vern. Et praktisk format er en enkel tabell per leverandør med kravpunkt, svar, kilde og dato: kjedelig å fylle ut, uvurderlig den dagen noen spør.

Står dere foran en AI-avtale og vil ha en teknisk motpart som har sett formuleringene før? Vi i Weapp jobber med AI-løsninger der avtalespørsmålene håndteres sammen med arkitekturen. Ta kontakt, så går vi gjennom situasjonen deres.