DSGVO og AI-chatbot: Hvad virksomheder skal vide

Hvilke personoplysninger behandler en KI-chatbot?

Når en bruger interagerer med en AI-chatbot, dannes der data. De mest indlysende er samtaleindholdet selv: tekstindslag, spørgsmål, klager, bookingdetaljer. Disse samtaledata er i mange tilfælde personlige i henhold til GDPR enten fordi de indeholder direkte identifikatorer som navn eller e-mailadresse, eller fordi de kan knyttes sammen med andre tilgængelige data om en person. IP-adresser, der er teknisk overført til Webchat, betragtes også som personlige data.

For chatbots, der anvendes i forbindelse med kundekontoprocesser, tilføjes yderligere kategorier af data: kundens nummer, ordrehistorier, betalingsoplysninger (hvis chatboten er integreret i checkoutprocesser) eller sundhedsdata (i medicinske applikationer). Disse særlige kategorier er underlagt et øget beskyttelsesniveau i henhold til artikel 9 i GDPR og kræver særlige tekniske og juridiske foranstaltninger.

Princippet om dataminimering (art. 5, stk. 1, litra c, DSGVO) kræver, at kun de data behandles, som faktisk er nødvendige for det pågældende formål. For en ren FAQ-chatbot uden autentifikation betyder det: Samtaleindhold bør ikke gemmes permanent, IP-adresser bør anonymiseres, og personlige oplysninger bør kun indsamles, hvis de er absolut nødvendige for serviceprocessen. En omhyggeligt konfigureret chatbot er dermed væsentligt mindre problematisk i forhold til databeskyttelse end en dårligt planlagt en.

GDPR-krav til chatbot-drift

DSGVO stiller en række grundlæggende krav til enhver behandlingsaktivitet. For det første kræver enhver databehandling et retsgrundlag i henhold til art. 6 i DSGVO: enten brugerens samtykke, nødvendigheden for en kontrakt, en legitim interesse hos virksomheden eller et andet af de i loven nævnte grundlag. Retsgrundlaget skal fastlægges og dokumenteres før behandlingen – og i tvivlstilfælde kunne begrundes over for datatilsynsmyndigheden.

For det andet er der en omfattende informationspligt over for de berørte personer. Brugere skal vide, hvilke data der behandles, hvad formålet er med dem, hvor længe de opbevares, hvem der kan blive modtager, og hvilke rettigheder de har herunder retten til oplysninger, rettelse, sletning og begrænsning af behandlingen. Disse oplysninger skal være tilgængelige i klart forståeligt sprog, typisk i databeskyttelseserklæringen og via en meddelelse i chatfenomenet.

For det tredje foreskriver GDPR princippet "Privacy by Design og by Default" (art. 25). Det betyder: Privatlivsvenlige konfigurationer er fra starten standardindstillingen, ikke efterfølgende tilføjelser. For KI-chatbots betyder det i praksis: kortere opbevaringsfrister som standard, anonymisering af logdata, restriktive adgangsrettigheder og muligheden for brugere til på en nem måde at få slettet deres data.

Cloud-AI vs. On-Premises: Hvad betyder det for databeskyttelsen?

En cloud-baseret AI-chatbot sender samtaledata og forespørgsler til en talmodellleverandørs eksterne servere, der behandles og afhængigt af konfigurationen muligvis anvendes til træningsformål. Det afgørende for en GDPR-vurdering er: Hvilket land serverne er placeret i?

On-Premises betyder, at hele infrastrukturen — inklusive AI-modellen — køres på servere, som virksomheden selv kontrollerer. Med lokal AI-udførelse forlader ingen samtaledata virksomhedens egen infrastruktur. Dermed bortfalder behovet for en databehandleraftale (AVV) med en cloud-AI-udbyder fuldstændigt; behandlingen sker udelukkende internt. For virksomheder i regulerede brancher — sundhedsvæsen, juridisk rådgivning, finansielle tjenesteydelser — er on-premises ofte den eneste forsvarlige mulighed.

En hybrid tilgang er også mulig: chatbotinfrastrukturen og vidensdatabasen kører på EU-pladsen på sikre servere, mens der anvendes en cloud-model til visse mindre følsomme anvendelsestilfælde. Zentor App understøtter begge driftsmodus Cloud via en ekstern AI-udbyder og fuldt lokalt og lader virksomhederne selv vælge, hvilken arkitektur der passer til deres databeskyttelsesstrategi.

Forretningsforretningskontrakt (PPA): Hvornår og hvad den indeholder

Databehandleraftalen (AVV) i henhold til artikel 28 i GDPR er det centrale instrument til at regulere ansvarsforholdene mellem en virksomhed (forhandler) og en ekstern tjenesteyder (processor), der behandler personoplysninger på en ordre. Når en AI-chatbot drives via en SaaS-platform, er AVV som regel obligatorisk: Chatbotleverandøren behandler samtaledata på sine servere dette er klassisk orderbehandling.

En AVV skal indgås skriftligt eller i et tilsvarende elektronisk format og dække en række minimumsindhold: genstanden for og varigheden af behandlingen, arten og formålet med behandlingen, kategorierne af personoplysninger og de registrerede personer samt den dataansvarliges forpligtelser og rettigheder. Derudover skal databehandleren garantere at implementere passende tekniske og organisatoriske foranstaltninger (TOMs) og ikke anvende underdatabehandlere uden godkendelse.

Vigtigt: AVV skal være afsluttet før chatboten er i drift ikke efterfølgende. Manglende AVV på trods af ordrebehandling er en GDPR-overtrædelse i sig selv, der er strafbar. Så tjek hos hver chatbot-udbyder, om og i hvilken form en AVV tilbydes, hvilke underleverandører der anvendes (f.eks. cloud-udbydere eller eksterne AI-udbydere) og hvordan de håndteres. Seriøse udbydere som Zentor App stiller standardiserede AVV-templarer og er villige til at offentliggøre deres indhold gennemsigtigt.

Databeskyttelsesrådgiver og chatbot: Hvad skal man være opmærksom på?

Virksomheder, der har en virksomhedens eller en ekstern databeskyttelsesrådgiver (DSB), skal inddrage denne, når de indfører en chatbot. DSB'en har til opgave at sikre, at implementeringen er i overensstemmelse med databeskyttelseslovgivningen, vurdere risici og overvåge overholdelsen af GDPR. Dette handler ikke kun om formel overholdelse, men også om den konkrete tekniske konfiguration: Hvilke data opbevares? Hvor længe? Hvem har adgang? Hvordan håndteres anmodninger fra interessenter om oplysninger?

En af de vigtigste opgaver for DSB'en i chatbot-sammenhæng er at undersøge, om en databeskyttelses-effektvurdering (DSFA) er nødvendig i henhold til artikel 35 i GDPR. En DSFA er påkrævet, når databehandlingen forventes at indebære en høj risiko for rettigheder og frihedsrettigheder for fysiske personer. Dette kan være tilfældet for en chatbot, hvis der systematisk behandles følsomme data, profilering finder sted, eller systemet anvendes til at træffe beslutninger, der har en væsentlig indvirkning på datapersoner.

Selv om der ikke er nogen lovbestemt DSB, anbefales det at undersøge databeskyttelseslovgivningen før man går i live.Særligt for mindre virksomheder, der bruger en chatbot for første gang, ligger der typiske faldgruber: manglende eller forældede databeskyttelseserklæringer, glemt AVM, for lange opbevaringsperioder eller manglende sletningskoncepter.En ekstern rådgivning fra en databeskyttelsesekspert giver langsigtet gevinst og beskytter mod følsomme bøder, der kan pålægges af databeskyttelsesmyndigheder.

Tekniske og organisatoriske foranstaltninger (TOMs) til chatbots

GDPR kræver i artikel 32 passende tekniske og organisatoriske foranstaltninger (TOM'er) for at sikre et risikobeskæftiget beskyttelsesniveau. For AI-chatbots betyder det konkret, at alle dataoverførsler mellem brugerens browser og chatbot-backend skal ske krypteret (TLS/HTTPS). Lagrede samtaledata og vidensdatabasinhold bør også opbevares krypteret både i databasen og på de tilhørende lagringsmedier.

På adgangsssiden fastsætter GDPR princippet om begrænsning af adgang: Kun de medarbejdere og systemer, der faktisk har brug for det til deres arbejde, må få adgang til personoplysninger. Zentor App implementerer dette princip med et rollebaseret adgangskontrol (RBAC) system, der er tilgængeligt som et frit valgbart modul i den individuelle pakke: Forskellige roller får forskellige adgangsrettigheder, og alle adgangsrettigheder logges i audittrail. Dette gør det muligt at finde ud af, hvem der har fået adgang til data, når der er tvivl.

Organisatorisk hører klare interne processer til TOM'erne: Hvem er ansvarlig for vidensdatabasen? Hvordan behandles sletningsanmodninger fra registrerede? Hvordan sikres det, at der ikke gemmes konversationsdata længere end nødvendigt? Hvordan reagerer virksomheden i tilfælde af en databeskyttelseshændelse – f.eks. hvis en chatbot utilsigtet videregiver personoplysninger om en anden bruger? Disse processer skal dokumenteres skriftligt og gennemgås regelmæssigt.

Zentor App og GDPR: EU-hosting og on-premises som muligheder

Zentor App er udviklet med det formål at sikre, at operationen er i overensstemmelse med GDPR. Plattformen kan være hostet på EU-servere Hosting, databaser og applikationslogik er derfor underlagt EU-databeskyttelseslovgivning. Hvis en ekstern AI-udbyder er inddraget, er eventuel brug uden for EU udelukkende baseret på EU-standardkontraktbestemmelser (artikel 46 i GDPR) Dette fjerner de juridiske usikkerheder ved en ukontrolleret overførsel til et tredjeland. For virksomheder, der overvejer en cloudbaseret løsning, er EU-hosting den første og vigtigste vej til GDPR-overensstemmelse.

For virksomheder med højeste databeskyttelseskrav tilbyder Zentor App den fulde on-premise installation. I denne driftsmodel kører hele platformen chatbot-motor, vidensdatabase, omnichannel-inbox og alle behandlingskomponenter på infrastruktur, som virksomheden selv kontrollerer. Med lokal AI-udførelse forlader ingen samtaledata og ingen personlige oplysninger deres eget IT-miljø. Denne tilgang er især velegnet til hospitaler, advokatfirmaer, styring og andre brancher, hvor databeskyttelse er eksistentiel.

Zentor App leverer databehandlerkontrakter (AVV) til cloud-operationen og dokumenterer de underleverandører, der er ansat, med firmaets navn, land, formål og overførselsgrundlag i afsnit 13 i databeskyttelseserklæringen. De tekniske databeskyttelsesfunktioner RBAC, audit-trail, konfigurerbare datalagringsfrister og rollebaserede adgangskontroller kan konfigureres som frit valgbare moduler i den individuelle pakke. Du skaber dermed de tekniske forudsætninger for GDPR-konform chatbotoperation det er altid dit databeskyttelsesteams og din juridiske rådgivers opgave at udforme det juridiske i det enkelte tilfælde.

Ofte stillede spørgsmål