Hvordan håndtere EU-compliance når man bruker AI-API-er som kanskje ikke er godkjent for EU?

Vurder bruk av EU-hostede alternativer for databehandling. Det er nødvendig å utarbeide en Data Processing Agreement (DPA) og foreta en grundig vurdering opp mot AI Act og GDPR for å sikre at databehandlingen er 'godt nok'.

La oss forklare begrepene først. GDPR (General Data Protection Regulation, på norsk personvernforordningen) er EU/EØS-regelverket for behandling av personopplysninger – altså all data som direkte eller indirekte kan knyttes til en person. Det stiller blant annet krav om gyldig behandlingsgrunnlag, dataminimering (samle minst mulig), åpenhet overfor brukerne, og særlige regler for å overføre persondata ut av EØS. AI Act er EUs nye regelverk spesifikt for kunstig intelligens, som klassifiserer AI-systemer etter risiko (fra minimal til høy risiko) og stiller strengere krav jo høyere risikoen er. Bruker du AI i produktet ditt, må du forholde deg til begge.

At et AI-API "kanskje ikke er godkjent for EU" handler ofte om hvor dataene fysisk behandles og lagres. Hvis du sender persondata til en leverandør som prosesserer dem utenfor EØS (for eksempel i USA), utløser det krav om et lovlig overføringsgrunnlag, og det er her risikoen for brudd oppstår. Derfor er rådet å vurdere EU-hostede alternativer – altså leverandører eller "regioner" som garanterer at databehandlingen skjer innenfor EØS (mange skytjenester og AI-leverandører tilbyr nå nettopp EU-regioner). Det reduserer kompleksiteten betydelig.

Uansett leverandør må du inngå en DPA – Data Processing Agreement (databehandleravtale). Det er en juridisk avtale mellom deg (behandlingsansvarlig) og leverandøren (databehandler) som regulerer hvordan de behandler dataene på dine vegne, og GDPR krever at en slik avtale finnes. Konkret bør du: kartlegge hvilke persondata du faktisk bruker, sjekke hvor de behandles, signere DPA med hver leverandør, og gjøre en dokumentert vurdering opp mot GDPR og AI Act. "Godt nok" betyr ikke perfekt fra dag én, men at du har gjort en forsvarlig, dokumentert vurdering og truffet rimelige tiltak. Tips: skriv ned vurderingene dine – dokumentasjon er ofte nettopp det som skiller en seriøs aktør fra en uforsiktig en, og Spark* kan hjelpe deg å finne juridisk veiledning.