Säkerhet börjar med vad tjänsten faktiskt gör.
Den här sidan beskriver principerna för en avgränsad pilot. Exakta tekniska val, avtal och verifieringar fastställs tillsammans med den köpande organisationen.
Avgränsa informationen
Första användningen utgår från redan publicerade informationssidor. Ingen inloggning, uppladdning av handlingar eller åtkomst till ett enskilt ärende ingår i pilotidén. Även en publik sida kan leda till att någon skriver personuppgifter i en fråga, så den risken behöver hanteras i gränssnitt, loggning och villkor.
Fastställ dataflödet innan drift
Före en verklig pilot behöver vi redovisa var innehåll och frågor behandlas, vilka modell- och driftleverantörer som används, hur länge data finns kvar och om uppgifter används för modellträning. Dessa uppgifter ska kunna kontrolleras i teknisk dokumentation och avtal. Vi lovar inte en viss leverantör, region eller certifiering innan den lösningen är vald och verifierad.
Granska språk och felrisk
AI kan misstolka regler och nyanser, särskilt vid översättning. Därför bör juridiskt eller ekonomiskt betydelsefulla texter granskas av ansvarig verksamhet och kvalificerad språkkompetens före användning. Stödet ska visa källan, kunna markera osäkerhet och ha en väg för att anmäla fel. Ansvarsgränser måste skrivas in i avtal och arbetsprocess.
Personuppgiftsansvar och avtal
Om leverantören behandlar personuppgifter för organisationens räkning kan ett personuppgiftsbiträdesavtal krävas även om inga frågor sparas permanent. Roller, rättslig grund, eventuell konsekvensbedömning och underbiträden avgörs utifrån det verkliga upplägget. Det räcker inte att kalla tjänsten ”GDPR-säker”.
Vad ska gå att få inför en pilot?
En relevant förfrågan bör kunna besvaras med systemöversikt, dataflöden, underleverantörer, raderingsrutiner, säkerhetsåtgärder, tillgänglighetsplan och ansvarsfördelning. Inga certifieringar eller färdiga avtal påstås här.
Läs vidare hos Integritetsskyddsmyndigheten om personuppgiftsbiträdesavtal.
Ta upp era krav tidigt.
Det gör piloten möjlig att avgränsa efter er risknivå och era faktiska inköpsvillkor.