1. Hva er en DPIA, og når er den nødvendig?
En DPIA er en dokumentert vurdering av hvordan en planlagt behandling av personopplysninger kan påvirke menneskers rettigheter og friheter. Reglene følger av personvernforordningen, GDPR, artikkel 35. Forordningen gjelder som norsk lov gjennom personopplysningsloven § 1. Vurderingen skal beskrive behandlingen, undersøke nødvendighet og forholdsmessighet, identifisere risiko og fastsette tiltak som håndterer risikoen.
Plikten gjelder når behandlingen sannsynligvis vil medføre høy risiko, særlig ved bruk av ny teknologi og sett i lys av behandlingens art, omfang, formål og sammenheng. KI utløser ikke automatisk krav om DPIA. Et avgrenset språkverktøy uten personopplysninger står annerledes enn en løsning som tar opp klientmøter, sammenstiller saksmapper og behandler helseopplysninger eller opplysninger om straffbare forhold i stort omfang.
Advokatfirmaet bør gjennomføre og dokumentere en innledende vurdering av om DPIA er påkrevd. Relevante momenter er blant annet sensitive eller svært personlige opplysninger, sårbare personer, systematisk overvåking, sammenstilling av datasett, stort omfang og innovativ teknologibruk. Datatilsynets gjeldende liste over behandlinger som krever DPIA må også kontrolleres. Momentene er vurderingshjelp, ikke en uttømmende sjekkliste eller en mekanisk opptelling.
DPIA skal gjennomføres før behandlingen starter. En pilot med reelle klientopplysninger er også behandling og er ikke unntatt fordi den kalles en test. Ved utprøving kan syntetiske eller reelt anonymiserte data redusere risikoen. Utskifting av navn er normalt bare pseudonymisering dersom personene fortsatt kan identifiseres gjennom sammenhengen eller tilleggsopplysninger.
2. Avgrens bruken og kartlegg hele informasjonsflyten
Begynn med arbeidsprosessen, ikke produktnavnet. Beskriv om KI skal brukes til lydopptak, transkribering, møtereferat, uttrekk av faktum, tidslinjer eller dokumentutkast. Angi hvem som bruker løsningen, hvilke sakstyper den gjelder for, og hvilke bruksområder som skal være utelukket. En tydelig avgrensning gjør det mulig å vurdere om nytten kan oppnås med færre opplysninger eller mindre inngripende metoder.
Kartlegg hvilke personer og opplysninger som berøres. Et klientmøte kan inneholde opplysninger om klienten, motparter, barn, vitner og familiemedlemmer. Lydopptaket kan dessuten fange opp informasjon som ikke ville blitt skrevet inn i et vanlig notat. Stemmen er en personopplysning når den kan knyttes til en person, men er ikke automatisk en særlig kategori biometriske opplysninger. Det avhenger blant annet av om stemmen behandles teknisk for entydig identifikasjon.
Følg dataene fra innsamling til sletting. Beskriv opptaksenheten, opplasting, transkribering, modellbehandling, lagring, eksport til saksbehandlingssystemet, sikkerhetskopier og logger. Avklar også hvem som kan se opplysningene gjennom kundestøtte, feilsøking eller administrasjon. Det er ikke tilstrekkelig å vite hvor den primære databasen ligger dersom andre aktører kan få tilgang fra andre land.
DPIA-en kan dekke flere lignende behandlinger med tilsvarende høy risiko, men må være konkret nok til å styre faktisk bruk. Et generelt dokument om KI i firmaet kan derfor måtte suppleres med vurderinger av bestemte arbeidsprosesser. Leverandørens dokumentasjon er et viktig underlag, men erstatter ikke firmaets vurdering av egne klienter, saker og bruksmåter.
3. Avklar behandlingsgrunnlag, taushetsplikt og ansvar
En DPIA skaper ikke behandlingsgrunnlag. Firmaet må først identifisere formål og grunnlag etter GDPR artikkel 6 for de aktuelle behandlingene. At opplysninger er nødvendige for et advokatoppdrag, betyr ikke uten videre at lydopptak, KI-analyse og langvarig lagring er nødvendig. Grunnlaget må vurderes konkret, også for personer som ikke er part i oppdragsavtalen.
Ved behandling av særlige kategorier personopplysninger må det i tillegg foreligge et relevant unntak etter artikkel 9. Artikkel 9 nr. 2 bokstav f kan være aktuelt når behandlingen er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav. Dette er ikke et generelt unntak for all KI-bruk i advokatvirksomhet. Opplysninger om straffedommer og lovovertredelser følger særreglene i artikkel 10 og krever en egen vurdering.
Advokatens taushetsplikt må vurderes selvstendig ved siden av personvernreglene. En lovlig behandling etter GDPR er ikke i seg selv tilstrekkelig til å ivareta taushetsplikten. Tilsvarende løser ikke klientens aksept av opptak alle spørsmål om personvern, særlig ikke for opplysninger om andre personer. Firmaet må også vurdere informasjonsplikten etter artikkel 13 og 14, med de unntakene som faktisk kommer til anvendelse.
Avklar rollene ut fra den reelle behandlingen. Når firmaet bestemmer formålet med behandlingen og de vesentlige midlene, er det behandlingsansvarlig. En leverandør som behandler opplysninger på firmaets vegne, vil normalt være databehandler, med krav om databehandleravtale etter artikkel 28. Dersom leverandøren bruker klientdata til egne formål, eksempelvis generell modelltrening, må rollefordeling og lovlighet vurderes særskilt. Dette kan ikke løses bare ved å kalle leverandøren databehandler i avtalen.
4. Vurder risikoen for dem opplysningene gjelder
Risikovurderingen skal handle om konsekvenser for mennesker, ikke bare firmaets omdømme, økonomi eller bøter. Beskriv konkrete hendelser og vurder både sannsynlighet og alvorlighet. Aktuelle konsekvenser er tap av fortrolighet, identitetstyveri, diskriminering, belastning i familierelasjoner eller svekket mulighet til å ivareta egne interesser i en rettslig prosess.
For opptak og transkribering bør vurderingen omfatte utilsiktet opptak, feil deling, for vide tilgangsrettigheter og lagring utover behovet. For generativ KI kommer risiko for uriktige sammendrag, oppdiktede hendelser og sammenblanding av personer eller saker. Dersom en feil tidslinje eller et uriktig faktum videreføres til et prosesskriv, kan dette få vesentlige konsekvenser selv om ingen uvedkommende har fått tilgang til opplysningene.
Undersøk også tekniske og organisatoriske angrepsflater. Dokumenter kan inneholde instruksjoner som forsøker å styre KI-verktøyet, ofte omtalt som promptinjeksjon. Betydningen av dette avhenger særlig av hvilke dokumenter løsningen leser, og om den kan hente flere opplysninger, sende meldinger eller utføre andre handlinger. Risikoen øker dersom systemet får brede tilganger uten tydelig avgrensning mellom saker.
Vurder risiko både før og etter planlagte tiltak, og synliggjør usikkerhet. En enkel risikomatrise kan være nyttig, men må ledsages av begrunnelser. Manglende kunnskap om modellleverandører, logging eller sletting er ikke dokumentasjon på lav risiko. Beskriv hva som må avklares, hvem som skal gjøre det, og hvilke forhold som hindrer oppstart.
5. Velg tiltak og kontroller leverandøren
Start med dataminimering og personvern som standard, jf. GDPR artikkel 5 og 25. Vurder om et kort, manuelt notat er tilstrekkelig fremfor et fullstendig opptak, og om navn eller vedlegg kan utelates fra KI-behandlingen. Fastsett separate lagringsfrister for lyd, transkripsjoner og ferdige dokumenter. Behovet for å bevare saksdokumenter begrunner ikke automatisk like lang lagring av alle rådata og mellomprodukter.
Sikkerhetstiltak etter artikkel 32 bør tilpasses risikoen. Aktuelle tiltak er rollebasert tilgang, flerfaktorautentisering, kryptering, sporbarhet, sikker sletting og effektiv adskillelse mellom klienter og saker. Avklar også håndtering av sikkerhetskopier og eksporterte filer. For genererte tekster bør arbeidsrutinen kreve kontroll mot kildematerialet før innholdet brukes videre; en generell beskjed om at KI kan gjøre feil er ikke tilstrekkelig.
Be leverandøren dokumentere hvilke underleverandører og modellleverandører som brukes, hvor data behandles, hvor lenge logger beholdes, og om innhold inngår i trening eller annen produktutvikling. Undersøk hvordan endringer varsles, hvordan avvik håndteres, og hvilken bistand firmaet får med innsyn, retting, sletting og DPIA. Sertifiseringer og revisjonsrapporter kan støtte vurderingen, men erstatter ikke kontroll av de konkrete avtalene og innstillingene.
Dersom opplysninger overføres til mottakere utenfor EØS, må kravene i GDPR kapittel V vurderes. Lagring i EØS utelukker ikke at fjernaksess eller bruk av underleverandører kan innebære en overføring. Der standard personvernbestemmelser brukes som overføringsgrunnlag, må firmaet også vurdere forholdene i mottakerlandet og behovet for supplerende tiltak. En databehandleravtale er ikke alene et overføringsgrunnlag.
6. Dokumenter beslutningen og følg opp bruken
Et praktisk sluttdokument bør samle formål og omfang, dataflyt, roller, behandlingsgrunnlag, vurderingen av nødvendighet og forholdsmessighet, risikoscenarier og tiltak. For hvert tiltak bør det fremgå hvem som er ansvarlig, når det skal være gjennomført, og hvordan effekten skal kontrolleres. Beslutningen om oppstart bør angi godkjente bruksområder, begrensninger og gjenværende risiko.
Ledelsen må sikre at beslutningen tas på riktig nivå, og at tiltakene faktisk gjennomføres. Har firmaet personvernombud, skal ombudets råd innhentes ved DPIA, jf. artikkel 35 nr. 2. Det skal også vurderes om de registrertes eller deres representanters synspunkter bør innhentes der det er hensiktsmessig. Hvis behandlingen fortsatt vil medføre høy risiko som ikke kan reduseres tilstrekkelig, krever artikkel 36 forhåndsdrøfting med Datatilsynet før oppstart.
For et verktøy som Sakly bør vurderingen knyttes til de funksjonene firmaet faktisk vil bruke, enten det gjelder opptak, transkribering, referat, faktum, tidslinjer eller dokumentutkast. Funksjonene kan ha ulike dataflyter og kontrollbehov. Advokaten har alltid ansvaret for den faglige vurderingen og bruken av resultatet; leverandøren har samtidig ansvar for sine egne plikter etter regelverket.
DPIA er ikke et engangsskjema. Vurderingen må gjennomgås ved endringer i risikoen, for eksempel nye modeller, underleverandører, sakstyper, integrasjoner eller treningsvilkår. Avvik og erfaringer fra stikkprøver bør brukes til å forbedre rutinene. Artikkelen gir generell veiledning; den konkrete løsningen og behandlingen må vurderes særskilt.