Utveckling och införande av AI tjänster

Utveckling av AI tjänster

Innan en AI-tjänst, AI-agent eller integration anskaffas, utvecklas eller testas behöver den planerade användningen bedömas. Detsamma gäller när en befintlig tjänst får ett nytt ändamål eller kopplas till nya informationskällor. Begränsningarna i denna vägledning gäller även vid utveckling och piloter.

Gör så här

• Beskriv behovet, ändamålet, informationskällorna och vilket resultat tjänsten ska skapa.
• Utgå från helt fiktiva eller anonyma testdata och säkerställ att otillåtna uppgifter inte blir tillgängliga genom anslutna system.
• Utse ansvariga för tjänsten, personuppgiftsbehandlingen, säkerheten och den fortsatta förvaltningen.
• Kontakta dataskyddsombudet och informationssäkerhetsfunktionen före anskaffning, utveckling eller pilotstart.
• Genomför nödvändiga bedömningar och säkerställ att avtal, behörigheter, loggning, lagring, uppföljning och avveckling är hanterade före införandet.

Beskriv användningen och ansvarsfördelningen

Dokumentera vilka uppgifter tjänsten behöver, varifrån de hämtas, vilka som får tillgång till dem och hur resultatet ska användas. Det ska vara tydligt vem som ansvarar för tjänsten, personuppgiftsbehandlingen, säkerheten, förvaltningen och uppföljningen. Kontrollera även vilka uppgifter som kan finnas i användarhistorik och loggar.

Bedöm risker och rättsliga förutsättningar

Informationsklassning, risk- och säkerhetsbedömning samt kontroll av ändamål och rättslig grund ska ingå i arbetet. Dataskyddsombudet och informationssäkerhetsfunktionen ger stöd i vilka ytterligare underlag som behövs, inklusive om en konsekvensbedömning avseende dataskydd krävs. En bedömning eller ett avtal innebär inte att otillåtna uppgifter får användas.

Granska leverantören och avtalen

Utred hur information används och sparas, vilka som får tillgång till den, om uppgifter används för att träna eller förbättra modeller och vilka underleverantörer som anlitas. Kontrollera eventuella överföringar av personuppgifter utanför EU/EES och vilka skyddsåtgärder som gäller. Utred behovet av personuppgiftsbiträdesavtal (PUBA) när en leverantör behandlar personuppgifter för Mittuniversitetets räkning.

Planera säkerhet, förvaltning och avveckling

Säkerställ att behörigheter och informationskällor avgränsas så att tjänsten inte får tillgång till otillåtna uppgifter. Planera logggranskning, lagringstider, kvalitetssäkring, incidenthantering och uppföljning av förändringar hos leverantören. Bestäm också hur uppgifter och integrationer ska tas bort när tjänsten avvecklas.

Om Mittuniversitetet i framtiden inför en annan AI-tjänst avsedd för känsliga eller särskilt skyddsvärda personuppgifter måste förutsättningarna utredas och särskilda regler beslutas innan sådan användning kan bli aktuell. Möjligheten till en framtida tjänst innebär inget undantag från de regler som gäller nu.