GDPR og AI: personoplysninger i algoritmer og automatiserede beslutninger

GDPR gælder fuldt ud, så snart et AI-system behandler data om en identificerbar person, under træning, i brug eller i dets logfiler. Du skal derefter have et retsgrundlag for hvert trin, du skal forklare systemets logik for de berørte personer, og en beslutning truffet udelukkende af maskinen med betydelige virkninger er kun tilladt under de strenge betingelser i artikel 22 i GDPR.

Den hollandske databeskyttelsesmyndighed (Autoriteit Persoonsgegevens, AP) håndhæver disse regler. EU's AI-lov tilføjer et separat produktsikkerhedslag oveni, men den erstatter eller lempes ikke nogen GDPR-forpligtelser. For spørgsmålet om, hvordan man sammensætter et træningsdatasæt lovligt, se vores artikel om GDPR og big data.

Hvornår gælder GDPR for et AI-system?

GDPR gælder, når personoplysninger behandles, uanset teknologien (artikel 2 i GDPR). I en AI-applikation sker det på tre tidspunkter: træning, brug (inferens) og logning.

En trænet model er ikke automatisk anonym. I udtalelse 28/2024 af 17. december 2024 konkluderede Det Europæiske Databeskyttelsesråd (EDPB), at en model kan opbevare personoplysninger, der kan udtrækkes, hvilket skal vurderes pr. model. Hvis modellen blev trænet på ulovligt behandlede data, kan det også påvirke lovligheden af ​​at bruge den. Det grundlæggende findes i vores introduktion til databeskyttelseslovgivningen.

Hvem er ansvarlig i en AI-kæde?

Ansvar følger beslutningstagning, ikke teknologi. Den part, der bestemmer formålene og midlerne, er den dataansvarlige; den part, der kun følger instruktioner, er databehandleren (artikel 4 i GDPR).

En modelleverandør er normalt en dataansvarlig til egen udvikling og en databehandler til kundens brug. Hvis kontrakten tillader leverandøren at bruge dit input til at forbedre sin egen model, bliver den dataansvarlig til dette formål. Se vores artikler om den dataansvarliges og databehandlerens roller og databehandleraftalen . Hvis data går til udbydere uden for EØS, kræver kapitel V i GDPR også et overførselsværktøj.

Hvornår er en automatiseret afgørelse tilladt?

I henhold til artikel 22 i GDPR er en afgørelse, der udelukkende er baseret på automatiseret behandling, og som har retlige eller tilsvarende betydelige virkninger, i princippet forbudt. Det er kun tilladt, hvis det er nødvendigt for en kontrakt, hjemlet ved lov med sikkerhedsforanstaltninger eller baseret på udtrykkeligt samtykke.

Tre spørgsmål afgør, om artikel 22 finder anvendelse:

• Er afgørelsen udelukkende baseret på automatiseret behandling? En symbolsk menneskelig godkendelse ændrer ikke på det; anmelderen skal have reel autoritet og rent faktisk overveje resultatet.
• Er virkningerne lovlige eller tilsvarende betydelige? Eksempler er afslag på kredit, afslag på en jobansøgning eller blokering af en kunde efter en svindelmarkering.
• Handler det om en person? Generelle prisregler falder udenfor; individuel pointgivning falder indenfor.

I SCHUFA (EU-Domstolen 7. december 2023, C-634/21) fastslog Domstolen, at udarbejdelsen af ​​en kreditvurdering i sig selv er en automatiseret beslutning, hvis en tredjepart i høj grad er afhængig af den til at træffe afgørelse om en kontrakt. Organisationer, der køber kredit-, svig- eller risikovurderinger, skal derfor kontrollere, hvad deres leverandør gør.

Hvor en undtagelse gælder, har personen som minimum ret til menneskelig indgriben, til at udtrykke sine synspunkter og til at anfægte afgørelsen (artikel 22(3) i GDPR). Det kræver en bemandet og dokumenteret procedure med kontrollanter, der ser de underliggende data og registrerer, hvorfor de bekræfter eller afviger fra resultatet.

Hvad skal du forklare om en algoritme?

For automatiserede afgørelser kræver artikel 13, 14 og 15 i GDPR, at du fortæller folk, at afgørelsen er automatiseret, giver meningsfuld information om den involverede logik og forklarer konsekvenserne. Dette gælder, når du indsamler dataene, og igen på anmodning.

I Dun & Bradstreet Austria (EU-Domstolen 27. februar 2025, C-203/22) fastslog Domstolen, at forklaringen skal beskrive den procedure og de principper, der faktisk anvendes, så personen kan kontrollere sine data og anfægte afgørelsen. Hvis du mener, at forklaringen vil afsløre forretningshemmeligheder, kan du ikke blot nægte: du skal give oplysningerne til tilsynsmyndigheden eller retten, som afgør, hvad der skal videregives. Se også vores artikel om retten til indsigt i henhold til artikel 15 og vores vejledning til en privatlivspolitik i Holland.

Hvilket juridisk grundlag har du brug for til træning og brug?

Hvert behandlingstrin kræver sit eget retsgrundlag i henhold til artikel 6 i GDPR, og grundlaget for træning er ikke automatisk grundlaget for brug. I praksis er mulighederne samtykke, nødvendighed af en kontrakt og legitim interesse.

En rent kommerciel interesse kan være en legitim interesse, som Domstolen bekræftede i den hollandske KNLTB-sag (EU-Domstolen 4. oktober 2024, C-621/22), men kun hvis behandlingen virkelig er nødvendig, og interesseafvejningen holder stik. Skriv den vurdering ned, før du starter.

Særlige kategorier af data, såsom helbredsdata, biometriske data til identifikation og data, der afslører etnisk oprindelse, må kun behandles i henhold til en undtagelse i artikel 9 i GDPR. Dette gælder også, hvis modellen udleder en sådan egenskab fra almindelige data. Se vores artikel om biometriske data og GDPR-overholdelse.

Output om en identificerbar person, såsom en risikoscore eller en genereret erklæring, er personoplysninger. De skal være nøjagtige, og personen har ret til indsigt og berigtigelse (artikel 15 og 16 i GDPR).

Hvordan håndterer loven bias og diskrimination?

En algoritme, der systematisk producerer dårligere resultater for en beskyttet gruppe, udgør en indirekte sondring i henhold til den hollandske lov om ligebehandling (Algemene wet gelijk behandeling, AWGB). Dette er ulovligt, medmindre det er objektivt begrundet i et legitimt formål og passende og nødvendige midler.

Det Nederlandske Institut for Menneskerettigheder (College voor de Rechten van de Mens) behandler klager over dette. I SyRI-sagen fastslog byretten i Haag, at lovgivningen bag et system til risiko for svig var i strid med artikel 8 i Den Europæiske Menneskerettighedskonvention, fordi systemet ikke var gennemsigtigt eller verificerbart (ECLI:NL:RBDHA:2020:865, 5. februar 2020).

Hvem fører tilsyn med AI og algoritmer i Holland?

AP fører tilsyn med GDPR sammen med den hollandske GDPR-implementeringslov (UAVG) og har en separat afdeling til koordinering af algoritmetilsyn; se vores artikel om den hollandske databeskyttelsesmyndighed . GDPR-bøder kan nå op på 20 millioner euro eller 4 % af den globale årlige omsætning (artikel 83 i GDPR).

Sektortilsynsmyndigheder beholder deres egne beføjelser, såsom de finansielle tilsynsmyndigheder for modeller inden for bank- og forsikringssektoren. Statslige organer skal også opfylde Awb-kravene om, at en beslutning skal udarbejdes med behørig omhu og være korrekt begrundet; "systemet frembragte dette resultat" er ikke en begrundelse.

Hvordan hænger AI-loven sammen med GDPR?

AI-loven regulerer AI-systemer som produkter, efter risikoklasse. Den giver ikke et retsgrundlag for behandling af personoplysninger; hvor et AI-system behandler personoplysninger, gælder begge ordninger side om side.

Forbuddene mod uacceptabel praksis og reglerne for generelle AI-modeller gælder allerede. I henhold til AI Omnibus (forordning (EU) 2026/1744, gældende siden 27. juli 2026) gælder forpligtelserne for højrisikosystemer i bilag III, såsom rekruttering, kreditvurdering og uddannelse, fra den 2. december 2027, og forpligtelserne for AI i produkter reguleret i henhold til bilag I fra den 2. august 2028. Se vores vejledninger til EU's AI-lov og højrisiko-AI-systemer.

En konsekvensanalyse af databeskyttelse (DPIA) i henhold til artikel 35 i GDPR er i praksis påkrævet for de fleste AI-systemer, der evaluerer mennesker. Kombinér den med risikostyringen i henhold til AI-loven og, hvor det er nødvendigt, konsekvensanalysen af ​​grundlæggende rettigheder, så én fil svarer alle tilsynsførende.

Hvad bør I som organisation, der bruger AI, undersøge?

Ansvarlighed betyder, at du skal kunne bevise overholdelse af reglerne (artikel 5(2) i GDPR). Tjek disse punkter, før systemet går i drift.

• Beskriver din behandlingsregistrering træningsdata, input, output og logfiler for hver model?
• Er der et skriftligt retsgrundlag og en vurdering af legitim interesse, hvor du støtter dig på det, for hvert trin?
• Træffer systemet beslutninger inden for rammerne af artikel 22 i GDPR, direkte eller via en leverandørs score?
• Kan du forklare logikken på en måde, som en kunde eller medarbejder forstår?
• Har I testet resultaterne for indirekte diskrimination og registreret resultaterne?
• Har du udført en DPIA og kontrolleret risikoklassen i henhold til AI-loven?

Hvad bør du som person, der er påvirket af en algoritme, kontrollere?

Du kan bruge dine GDPR-rettigheder mod enhver organisation, der bruger dine data i et AI-system. Tjek disse punkter, hvis en beslutning om dig synes automatiseret.

• Blev beslutningen truffet uden reel menneskelig indblanding?
• Har organisationen fortalt jer, at der anvendes automatiseret beslutningstagning?
• Anmod om adgang i henhold til artikel 15 i GDPR, inklusive meningsfuld information om logikken.
• Anmod om menneskelig indgriben og anfægte afgørelsen i henhold til artikel 22(3) i GDPR.
• Hvis organisationen ikke svarer inden for en måned, kan en klage til AP overvejes.

Hvad kan vi gøre for dig med GDPR og AI?

Vores advokater med speciale i databeskyttelse rådgiver virksomheder, der udvikler eller bruger kunstig intelligens, og enkeltpersoner, der er berørt af automatiserede beslutninger.

• Vi vurderer, om dit system falder ind under artikel 22 i GDPR og AI-lovens højrisikoregime.
• Vi udarbejder DPIA'en og vurderingen af ​​den legitime interesse.
• Vi gennemgår AI-leverandørkontrakten for controllerroller, modeltræningsklausuler og overførsler.
• Vi udarbejder en forklaring af logikken bag din privatlivspolitik og dine adgangsanmodninger.
• Vi hjælper dig med en undersøgelse foretaget af Autoriteit Persoonsgegevens.

Resumé

• GDPR gælder fuldt ud for AI-systemer, der behandler personoplysninger, i forbindelse med træning, brug og logning.
• Afgørelser baseret udelukkende på automatiseret behandling med betydelige virkninger er kun tilladt i henhold til artikel 22 i GDPR, med menneskelig indgriben efter anmodning.
• Du skal give meningsfulde oplysninger om logikken; forretningshemmeligheder berettiger ikke en blank afvisning (EU-Domstolen C-203/22).
• AI-loven gælder oven i GDPR; højrisikoforpligtelser i henhold til bilag III gælder fra den 2. december 2027.

Ofte stillede spørgsmål